Vazamento de dados no INSS expõe 2,8 milhões de CPFs

Um recente incidente de segurança no Instituto Nacional do Seguro Social (INSS) resultou no vazamento de 2,8 milhões de Cadastro de Pessoas Físicas (CPFs). A Dataprev, empresa estatal responsável pelo processamento de dados da Previdência Social, confirmou o ocorrido nesta terça-feira (26), em reunião do Conselho Nacional da Previdência Social (CNPS).

Apesar do alto volume, a Dataprev informou que 98% dos dados acessados indevidamente eram de cidadãos já falecidos. No entanto, aproximadamente 52 mil segurados ainda vivos tiveram suas informações expostas durante a falha, que ocorreu em abril.

Este número supera a estimativa inicial divulgada pelo próprio INSS, que apontava para cerca de 2 milhões de registros comprometidos.

Dados vazados e acessos

Conforme detalhado pela Dataprev, os acessos não autorizados envolveram CPFs e datas de nascimento de segurados. A estatal esclareceu que um mesmo CPF pode ter sido consultado múltiplas vezes, o que contribui para o expressivo volume de acessos registrados.

A empresa assegurou que não houve liberação indevida de benefícios previdenciários nem contratação automática de empréstimos consignados em decorrência do incidente.

Identificação da falha no sistema

A investigação preliminar sugere que a origem do problema foi uma falha de segurança no aplicativo Meu INSS. Segundo Edmar dos Santos Ferreira Junior, representante da Dataprev no CNPS, uma seção que deveria requerer autenticação de usuário estava acessível sem a devida verificação.

“Era uma consulta que estava dentro de uma interface logada, mas ela aceitava uma resposta para quando você estivesse em um ambiente público”, explicou Ferreira Junior, indicando que o incidente teve duração de um dia.

Medidas de correção e prevenção

A Dataprev agiu prontamente para corrigir a falha assim que ela foi detectada. A estatal também informou estar desenvolvendo novas camadas de segurança para prevenir consultas em massa e simultâneas.

“Como medida de proteção adicional, a Dataprev implementou novos controles de segurança com limites de acesso”, comunicou a empresa. Em nota, o INSS reforçou que a concessão de benefícios possui múltiplos estágios de validação e segurança.

“A concessão de qualquer benefício possui uma série de travas de segurança. O INSS tem reforçado seus controles internos a fim de oferecer maior segurança à análise de seus benefícios”, declarou a autarquia.

Divulgação do caso e preocupações

O vazamento foi identificado em 22 de abril, mas sua divulgação pública ocorreu apenas na semana passada. Tanto a Dataprev quanto o INSS confirmaram que a Autoridade Nacional de Proteção de Dados (ANPD) foi notificada imediatamente após a descoberta do incidente.

O evento gerou preocupação entre especialistas em segurança digital devido à expressiva quantidade de dados expostos.

Potencial de fraude com dados expostos

Embora as autoridades garantam que não houve concessão irregular de benefícios, especialistas em segurança alertam para o risco de que as informações vazadas possam ser utilizadas em golpes e fraudes financeiras.

O banco de dados do INSS contém informações sensíveis de aposentados, pensionistas e beneficiários de programas sociais, incluindo vínculos empregatícios e dados cadastrais detalhados.

Histórico de incidentes de segurança

Este não é o primeiro incidente de segurança a afetar sistemas do INSS. Em 2024, o instituto já havia confirmado outra falha que resultou na exposição de informações sigilosas de aposentados e beneficiários de programas assistenciais.

Naquela ocasião, o governo também declarou ter implementado reforços nos mecanismos de proteção dos sistemas previdenciários.