O Banco Central (BC) informou na quarta-feira, 23 de julho, que dados cadastrais vinculados a 11.003.398 chaves Pix, armazenados no Sisbajud (Sistema de Busca de Ativos do Poder Judiciário) e sob responsabilidade do Conselho Nacional de Justiça (CNJ), foram indevidamente acessados.
Trata-se do maior incidente de vazamento de dados da história do sistema de pagamentos instantâneos do BC. Além das chaves Pix, informações pessoais como nome completo e dados bancários, incluindo os números de agência e conta, ficaram acessíveis a agentes não autorizados.
Dados sensíveis que permitiriam a movimentação de recursos — como senhas, extratos e outras informações protegidas por sigilo bancário — não foram expostos. Portanto, não houve prejuízo financeiro às vítimas, segundo o BC.
O comunicado oficial do BC informa que o incidente ocorreu entre o domingo, 20, e a segunda-feira, 21, e será investigado:
"O BC informa que foram adotadas as ações necessárias para a apuração detalhada do caso. Mesmo não sendo exigido pela legislação vigente, por conta do baixo impacto potencial para os usuários, o BC decidiu comunicar o evento à sociedade, à vista do compromisso com a transparência que rege sua atuação"
O CNJ acionou a Polícia Federal e a Autoridade Nacional de Proteção de Dados (ANPD) para auxiliar nas investigações do caso. A entidade reconheceu que o vazamento de dados expõe as vítimas a riscos indesejáveis e reforçou as recomendações de segurança para evitar fraudes e golpes.
Ainda que os dados vazados não permitam o acesso a contas e movimentações financeiras, há o risco de que eles sejam utilizados em golpes de engenharia social. De posse dos dados cadastrais da vítima, criminosos podem aplicar golpes de engenharia social para obter as credenciais de acesso à conta e, assim, realizar operações financeiras.
Caso evidencia vulnerabilidades do sistema financeiro nacional
O incidente envolvendo o Sisbajud e o CNJ foi o 21º caso de vazamento de dados relacionados ao Pix. Desde o lançamento do sistema de pagamento instantâneo em novembro de 2020 até o episódio desta semana, o BC já havia relatado a exposição de dados de 1.002.583 usuários.
O maior vazamento de dados da história do Pix ocorreu menos de um mês depois do roubo de mais de R$ 700 milhões de contas de reserva de seis instituições financeiras no BC.
Considerado o maior crime cibernético da história do sistema financeiro brasileiro, o ataque teve como ponto de partida a C&M Software (CMSW), empresa que fornece infraestrutura tecnológica para instituições financeiras conectadas ao Pix e outros sistemas de pagamento do BC, conforme noticiado pelo Cointelegraph Brasil.