O Banco Central revelou mais um vazamento de dados relacionados ao PIX. É o terceiro caso já divulgado pela instituição desde que a tecnologia começou a funcionar. O BC é o “responsável técnico” pelo PIX, mas quem opera e faz a gestão dos dados são as instituições financeiras. Os vazamentos acontecem por vulnerabilidades na proteção de dados dentro das empresas.
Partindo desse pressuposto, os vazamentos podem acontecer de várias formas, das mais simples às complexas: invasão ou divulgação indevida de bancos de dados, exposição dos dados fora dos sistemas da instituição, e-mails para remetentes desprotegidos e assim por diante.
“Até o momento, todos os vazamentos não foram do BC. Foram falhas de segurança da própria instituição”, afirma Marcelo Chiavassa, professor de direito digital da Universidade Presbiteriana Mackenzie Campinas. “Em geral, esses vazamentos ocorreram por falha humana, provocado, por exemplo, por alguém que clica num link capaz de roubar toda base de dados”, acrescenta.
Foram registrados três vazamentos envolvendo o PIX. Confira:
– Logbank Soluções em Pagamentos S/A. Houve o vazamento de dados de 2.112 chaves PIX, contendo o nome do usuário, o CPF, a instituição de relacionamento e o número da conta;
– Acesso Soluções de Pagamento. 160.147 chaves expostas. Segundo o BC, as informações obtidas eram de natureza cadastral e não permitiram movimentação de recursos, nem acesso às contas ou a outras informações financeiras;
– Banco do Estado de Sergipe (Banese). Houve consulta a 395.009 chaves PIX que estavam sob a guarda e a responsabilidade da instituição. O BC disse que o vazamento “envolveu informações de natureza cadastral, que não dão margem à movimentação de recursos ou acesso a contas”.
Cada vazamento é diferente, mas as últimas ocorrências envolvendo o PIX deram acesso às chaves de cliente das instituições financeiras, junto com dados relacionados, como CPFs.
De acordo com o Banco Central, as chaves PIX são apenas uma identificação facilitada para recebimento de recursos, como instituição de relacionamento, agência, conta e tipo da conta. Não há, portanto, acesso a saldo, fluxos de pagamentos e outras movimentações bancárias.
O BC informou, ainda, que as pessoas que tiveram seus dados cadastrais expostos a partir do incidente serão notificadas “exclusivamente por meio do aplicativo de sua instituição de relacionamento”. “Nem o BC nem as instituições participantes usarão quaisquer outros meios de comunicação aos usuários afetados, tais como aplicativos de mensagem, chamadas telefônicas, SMS ou e-mail”, acrescentou.
Riscos
O vazamento foi de chaves PIX e dados relacionados. Sem acesso às senhas ou tokens, não é possível movimentar as contas. “Isoladamente, é um problema muito baixo, porque, mesmo com o número do celular ou do CPF, a pessoa não poderá acessar a conta bancária”, diz Chiavassa. Mas o BC alerta que a exposição das informações pode ser utilizada para aplicação de golpes de “engenharia social”, isto é, quando o golpista tentar persuadir a vítima a entregar a liberação ao acesso da conta em questão.
Um exemplo comum é o indivíduo, em posse das informações, fingir ser um funcionário do banco para tentar obter as credenciais do cliente.
Além disso, criminosos podem fazer o cruzamento desses dados com vazamentos antigos de bases de dados e dar mais sofisticação a outros golpes. Podem tentar se passar por alguém em interações com empresas ou praticar golpes como o saque indevido do FGTS (Fundo de Garantia do Tempo de Serviço).
Proteção dos dados
Não há uma forma específica de proteção dos dados fora da escolha de instituições financeiras. “Esse é o paradigma dos tempos atuais. Creio que, em um futuro próximo, o elemento de segurança digital será visto como diferencial, inclusive nas campanhas de marketing dos bancos”, afirma Diniz.
Por ora, existe a Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em 2020, e tem como objetivo garantir mais segurança e transparência no uso de informações pessoais coletadas por empresas públicas e privadas.
O BC informa que suas ações de prevenção fizeram com que “o potencial de chaves expostas fosse bastante reduzido”.
Alertas do BC:
– sempre suspeitar de mensagens SMS ou em aplicativos enviadas por números desconhecidos e nunca clicar em links enviados por tais números;
– ter atenção redobrada ao receber ligações de pessoas se passando por bancos e jamais fornecer informações pessoais, códigos recebidos via SMS ou senhas bancárias, nem tampouco autorizar acesso remoto ao aplicativo ou internet banking;
– ter cuidado com e-mails e páginas falsas que tentem se passar por qualquer instituição financeira;
nunca utilizar senhas fáceis de serem descobertas.
O Sul
