O Banco Central confirmou nesta quinta-feira (24) que um acesso indevido ao sistema Sisbajud, operado em parceria com o CNJ, expôs dados cadastrais de 46,89 milhões de chaves PIX.
O incidente, ocorrido nos dias 20 e 21 de julho, afetou 11.003.398 pessoas, mas não envolveu senhas, saldos ou informações protegidas por sigilo bancário.
Segundo o BC, o vazamento não permite movimentações de recursos nem acesso a contas. A Polícia Federal e a ANPD foram notificadas.
Detalhes do incidente e dados expostos
O acesso indevido foi identificado no sistema Sisbajud, ferramenta de busca de ativos mantida pelo Conselho Nacional de Justiça (CNJ) em parceria com o Banco Central. Segundo comunicado, foram expostos dados cadastrais vinculados a 46.893.242 chaves PIX, pertencentes a 11.003.398 pessoas.
Os dados comprometidos incluem nome do usuário, CPF, instituição de relacionamento, agência, número e tipo da conta, chave PIX, situação da chave, data de criação e exclusão da chave. O BC esclareceu que cada pessoa pode possuir múltiplas chaves PIX, justificando a diferença entre o número de pessoas e de chaves expostas.
O CNJ informou que o problema foi identificado e corrigido imediatamente, com o sistema restabelecido após medidas de segurança adicionais.
Ambos os órgãos ressaltaram que não houve vazamento de dados sensíveis, como senhas, saldos, extratos bancários ou informações protegidas por sigilo bancário.
Riscos, recomendações e contexto legal
Apesar de não permitir movimentações financeiras, o CNJ alertou para riscos de tentativas de golpes e fraudes a partir da exposição dos dados cadastrais. Por isso, recomenda-se atenção a comunicações suspeitas e reforço das práticas de segurança digital.
O CNJ destacou que não realiza contato com os afetados por SMS, e-mail ou telefone, e disponibilizará em seu site um canal exclusivo para consulta sobre o impacto do vazamento.
O incidente ocorre em meio à crescente preocupação com a proteção de dados no Brasil, especialmente após a entrada em vigor da Lei Geral de Proteção de Dados (LGPD). O artigo 48 da LGPD determina a comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares.
A Polícia Federal e a Autoridade Nacional de Proteção de Dados (ANPD) foram oficialmente comunicadas sobre o ocorrido, e acompanham o caso.