O Banco Central comunicou mais
um vazamento de dados pessoais de clientes vinculado a chaves do Pix, agora na
instituição Acesso Soluções de Pagamento S.A.
O incidente ocorreu entre os dias 3 e 5 de dezembro e
envolveu 160.147 chaves Pix, com o vazamento do nome do usuário, CPF,
instituição de relacionamento, número da agência e da conta.
Segundo o Bacen, o incidente de segurança ocorreu em
"razão de falhas pontuais em sistemas" da Acesso, mas que não
foram expostos dados sensíveis, como senhas, movimentações ou saldos
financeiros em contas ou informações sob sigilo bancário. "As
informações obtidas são de natureza cadastral, que não permitem movimentação de
recursos nem acesso às contas ou a outras informações financeiras."
O BC informou ainda que adotou as ações
necessárias para apuração detalhada do caso e que aplicará medidas
sancionadoras previstas na regulação vigente. As pessoas que foram atingidas
pelo vazamento serão notificadas exclusivamente por meio do aplicativo ou pelo
internet banking de sua instituição de relacionamento. "Nem o BC nem as
instituições participantes usarão quaisquer outros meios de comunicação aos
usuários afetados, tais como aplicativos de mensagem, chamadas telefônicas, SMS
ou e-mail".
Segundo o órgão, a legislação não exige a comunicação
desses incidentes ao público, mas o BC resolveu divulgá-los à sociedade "à
vista do compromisso com a transparência que rege sua atuação". O BC
também criou uma página
específica para registrar incidentes de segurança.
Este é o segundo caso de vazamento de dados vinculado a chaves Pix. Em 24 de agosto de 2021, problema semelhante ocorreu no Banco do Estado de Sergipe, com exposição de dados vinculados a 414.526 chaves. Na época, o Banese publicou um comunicado esclarecendo o ocorrido. Segundo a área técnica, foram detectadas consultas indevidas a dados relacionados a 395 mil chaves do Pix, exclusivamente do tipo telefone, de não clientes do banco.
O acesso foi feito a partir de duas contas bancárias de clientes do Banese, provavelmente roubadas por meio de phishing, ou seja, com links maliciosos, e as contas foram canceladas.
