Ataque cibernético identificado em 6 de novembro expôs nomes, CPFs, endereços e telefones; dados financeiros e senhas não foram comprometidos, diz empresa.
O incidente de segurança cibernética que atingiu a Caixa Vida e Previdência no início de novembro expôs dados cadastrais de 7,6 milhões de clientes ativos da seguradora, além de um contingente não divulgado de ex-clientes. A invasão foi detectada em 6 de novembro, uma sexta-feira, quando a companhia identificou acesso não autorizado e a cópia clandestina de registros para fora de seu ambiente tecnológico. A confirmação pública, no entanto, ocorreu apenas em 12 de novembro, por meio de comunicado ao mercado assinado pela Caixa Seguridade, controlada da Caixa Econômica Federal e holding do braço de seguros do banco público.
O pacote de informações extraído pelos criminosos reúne nomes completos e números de CPF de todos os 7,6 milhões de clientes ativos da base da Caixa Vida e Previdência. Em parte dos registros afetados, a cópia não autorizada também alcançou endereços residenciais, números de telefone, endereços de e-mail e datas de nascimento. A apuração preliminar conduzida pela empresa, no entanto, afastou o comprometimento de dados de natureza financeira ou de autenticação: valores de apólices, saldos de planos de previdência privada, informações bancárias e senhas não teriam sido acessados pelos invasores.
A identificação do ataque foi seguida por um conjunto de medidas emergenciais. A Caixa Vida e Previdência afirmou ter bloqueado os mecanismos utilizados pelos criminosos para acessar seu ambiente tecnológico e implementado camadas adicionais de proteção em seus sistemas. Paralelamente, a companhia contratou uma consultoria externa especializada em perícia forense digital para conduzir uma investigação técnica capaz de determinar a origem da invasão, a extensão do vazamento e os impactos sobre a base de dados. A empresa também iniciou o monitoramento ativo da internet para identificar eventuais publicações ou a comercialização do pacote de informações obtido pelos atacantes.
A comunicação às autoridades ocorreu em 11 de novembro, uma quarta-feira, três dias úteis após a detecção do incidente. A Caixa Vida e Previdência notificou a Autoridade Nacional de Proteção de Dados, a ANPD, e demais órgãos competentes, em cumprimento ao prazo estabelecido pela Resolução CD/ANPD nº 15, de 2024, que fixa em três dias úteis o limite para que controladores informem incidentes que afetem dados pessoais. A agência confirmou o recebimento do comunicado e informou que acompanha as providências adotadas pela instituição, com atenção especial à transparência da comunicação e às medidas de mitigação de possíveis danos aos titulares dos dados.
A notificação aos clientes afetados também foi iniciada. A companhia está enviando comunicados diretos aos titulares que tiveram números de celular e endereços de e-mail expostos, com prioridade para grupos considerados vulneráveis. As mensagens incluem orientações preventivas contra tentativas de golpes e fraudes que possam se valer das informações vazadas, além de recomendações de proteção. Um canal de atendimento exclusivo por e-mail foi disponibilizado para receber dúvidas dos segurados, embora o endereço específico não tenha sido divulgado no comunicado ao mercado. A empresa afirmou ainda que manterá o mercado informado sobre eventuais desdobramentos do caso.
A Caixa Vida e Previdência é uma subsidiária da Caixa Seguridade, criada em 2021 a partir de uma parceria entre a holding do banco público e a francesa CNP Assurances. A companhia atua na venda de seguros de vida e planos de previdência privada e, em março de 2026, ao anunciar 200 bilhões de reais em reservas de previdência, associou sua marca a 1,94 milhão de clientes. O incidente, contudo, atingiu uma base cadastral significativamente maior, que abrange a totalidade dos 7,6 milhões de clientes ativos da seguradora. A Caixa Seguridade declarou que o episódio foi prontamente identificado e contido e que não houve comprometimento da assistência aos clientes nem da continuidade de suas operações.
O caso reforça a preocupação crescente com a segurança cibernética em instituições financeiras e empresas de grande porte que operam bases de dados extensas e sensíveis. A exposição de CPFs e demais informações cadastrais, mesmo sem o comprometimento de credenciais ou dados financeiros, amplia o risco de fraudes, golpes de engenharia social e tentativas de abertura de contas ou obtenção de crédito em nome dos titulares afetados. A atuação da ANPD e a transparência na comunicação à sociedade passam a ser acompanhadas como parte essencial da resposta ao incidente.
Fontes: Tribuna do Norte, Tribuna do Paraná, Estadão, R7, CGN, Poder360 e Times Brasil/CNBC.
