Tesouro Nacional confirma vazamento de dados e alerta para golpes com CPF e chaves Pix

O Tesouro Nacional confirmou ter identificado um acesso não autorizado a dois de seus bancos de dados: o portal e-Serviços, usado para solicitar e acompanhar serviços, e um banco de consultas analíticas usado internamente. O acesso indevido foi detectado em 4 de novembro e comunicado publicamente apenas na noite de 12 de novembro, depois de uma etapa inicial de investigação e contenção. Segundo o órgão, cerca de 30 mil cadastros foram expostos, com nome, CPF e e-mail, além de aproximadamente 4 mil chaves Pix de beneficiários de pagamentos do governo federal e informações sobre essas transações.

O Tesouro afirma que a invasão não causou perda de recursos públicos nem comprometeu seus sistemas centrais, e que o acesso foi detectado e contido por monitoramento de rede. O órgão notificou a Autoridade Nacional de Proteção de Dados (ANPD) e o Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores do governo (CTIR Gov), e abriu investigação técnica para apurar a origem e a extensão exata do vazamento.

Diante da exposição dos dados, o Tesouro e a Caixa Econômica Federal, que opera parte dos pagamentos, alertam que golpistas podem usar essas informações para dar mais credibilidade a ligações, e-mails ou mensagens falsas que imitam comunicados oficiais. A recomendação é não clicar em links recebidos por SMS, WhatsApp ou e-mail, e lembrar que nenhuma instituição pública pede transferência via Pix, senha ou código de segurança por telefone ou mensagem para "liberar" um benefício, restituição ou pagamento.

Quem recebeu pagamentos do governo federal pode conferir se há chaves Pix ou contas vinculadas ao próprio CPF por meio do sistema Registrato, do Banco Central, e reportar dúvidas sobre o vazamento ao encarregado de proteção de dados do Ministério da Fazenda pelo canal Fala.BR. O caso é o mais recente de uma série de incidentes envolvendo exposição de chaves Pix no país, reforçando a recomendação de desconfiar de qualquer contato não solicitado que peça dados pessoais ou pagamentos, mesmo que pareça vir de um órgão oficial.