A Caixa Seguridade (CXSE3) confirmou nesta quinta-feira, 12 de novembro, um incidente de segurança cibernética que resultou no acesso não autorizado e na cópia de dados pessoais de clientes e ex-clientes da Caixa Vida e Previdência. A ocorrência foi identificada em 6 de novembro e atingiu uma base cadastral que contempla os 7,6 milhões de clientes ativos da companhia, além de pessoas que já mantiveram contratos com a instituição.
Entre as informações expostas estão nomes e números de CPF. Parte dos registros também continha endereços, telefones, e-mails e datas de nascimento. A empresa afirma que, até o momento, não existem indícios de comprometimento de senhas, dados bancários, saldos de previdência ou valores de apólices.
O comunicado enviado ao mercado confirma que houve transferência de informações para fora do ambiente tecnológico da Caixa Vida e Previdência, mas não especifica quantos registros foram efetivamente copiados. Essa ausência de quantificação impede estabelecer com precisão o número de pessoas cujos dados foram extraídos, apesar da dimensão da base cadastral envolvida.
A distinção é relevante porque os 7,6 milhões representam a totalidade dos clientes ativos informados pela empresa, e não uma contagem individualizada dos registros comprovadamente retirados. Como o banco de dados também contém informações de antigos clientes, o universo de cadastros abrangidos pelo incidente não se limita necessariamente aos contratos em vigor.
A Caixa Seguridade informou que a ocorrência foi comunicada à Autoridade Nacional de Proteção de Dados (ANPD), às demais autoridades competentes e aos titulares afetados em 11 de novembro. A companhia também contratou uma consultoria especializada em perícia forense para investigar as circunstâncias do acesso indevido e determinar a extensão do comprometimento.
Vazamento de CPFs e dados pessoais amplia risco de golpes contra clientes
Embora a investigação preliminar não tenha identificado comprometimento de informações financeiras ou de autenticação, os dados cadastrais expostos podem ser suficientes para facilitar tentativas de fraude.
A associação entre nome completo, CPF, telefone, e-mail e data de nascimento permite que criminosos construam abordagens fraudulentas utilizando informações verdadeiras sobre a vítima. Esse mecanismo pode conferir aparência de autenticidade a mensagens que simulam contatos de instituições financeiras, seguradoras ou empresas de previdência.
Um consumidor pode receber, por exemplo, uma comunicação sobre suposta atualização cadastral, liberação de benefício, revisão de contrato ou necessidade de confirmar informações de segurança. Ao reconhecer dados pessoais corretos, a vítima pode interpretar equivocadamente a abordagem como legítima.
A exposição de informações de antigos clientes acrescenta outra dimensão ao problema. Pessoas que já encerraram contratos de seguro ou previdência podem continuar recebendo mensagens que mencionem uma relação comercial anterior, mesmo sem possuir atualmente produtos ativos.
A utilização de informações verdadeiras para induzir a vítima a fornecer novos dados é uma técnica conhecida como engenharia social. Nesse tipo de fraude, o criminoso não precisa necessariamente acessar uma conta bancária ou descobrir previamente uma senha. O objetivo pode ser convencer o próprio consumidor a fornecer códigos de autenticação, credenciais ou dados adicionais.
Por isso, a declaração da companhia de que não encontrou indícios de comprometimento de dados financeiros deve ser interpretada dentro dos limites da investigação realizada até agora. Ela não significa que as informações cadastrais estejam livres de utilização indevida.
Também não há elementos suficientes, no comunicado divulgado ao mercado, para concluir que todos os registros abrangidos pela base apresentavam o mesmo conjunto de dados. A companhia confirmou que endereços, telefones, e-mails e datas de nascimento estavam presentes apenas em parte das informações expostas.
A identificação dessa distribuição será importante para avaliar quais grupos de consumidores estão sujeitos a riscos mais específicos e quais medidas adicionais de proteção poderão ser necessárias.
Base envolvida inclui clientes antigos e exige identificação individualizada
Uma das principais questões ainda sem resposta envolve a diferença entre o tamanho da base cadastral e a quantidade de informações efetivamente copiadas.
O comunicado da Caixa Seguridade informa que a base exposta inclui clientes e ex-clientes e contempla integralmente os 7,6 milhões de clientes ativos da Caixa Vida e Previdência. Entretanto, não discrimina o número de arquivos retirados, os registros identificados na extração nem a quantidade de titulares atingidos em cada categoria de informação.
Essa lacuna limita a avaliação pública da extensão do incidente. Não é possível determinar, com os elementos divulgados, se a cópia atingiu a totalidade dos cadastros existentes, uma parcela deles ou conjuntos específicos de informações dentro do ambiente acessado.
A existência de registros de antigos clientes também exige atenção. Empresas de seguros e previdência podem manter informações pessoais após o encerramento de contratos para atender a obrigações legais, regulatórias, contratuais ou administrativas. A permanência desses dados, porém, implica a necessidade de protegê-los durante todo o período em que forem armazenados.
Assim, uma pessoa que não utiliza mais os serviços da Caixa Vida e Previdência pode ter informações incluídas no conjunto cadastral envolvido no incidente.
Do ponto de vista da proteção de dados, a investigação deverá permitir não apenas dimensionar o total de informações extraídas, mas identificar os titulares afetados e avaliar quais categorias de dados estavam associadas a cada registro.
Essa identificação é fundamental para que as notificações sejam suficientemente precisas e os consumidores recebam orientações compatíveis com a exposição efetivamente constatada.
Incidente ocorreu na Caixa Vida e Previdência, não nos sistemas bancários da Caixa
O ambiente tecnológico identificado no comunicado pertence à Caixa Vida e Previdência, empresa responsável pela comercialização de produtos de previdência complementar, seguros de vida e seguros prestamistas.
A companhia integra a Holding XS1, sociedade na qual a Caixa Seguridade possui participação direta de 60% do capital total. A estrutura envolve uma parceria societária com o grupo francês CNP Assurances, conforme as informações publicadas pela área de relações com investidores da controladora.
A Caixa Seguridade, cujas ações são negociadas na B3 sob o código CXSE3, concentra participações da Caixa Econômica Federal em diferentes segmentos de seguridade, incluindo seguros, previdência, capitalização, consórcios e serviços relacionados.
Essa organização societária é importante para compreender a abrangência da ocorrência.
O comunicado não informa comprometimento dos sistemas de contas correntes, transferências ou pagamentos da Caixa Econômica Federal. Tampouco apresenta evidências de acesso não autorizado a outras empresas integrantes da estrutura de seguridade.
Portanto, não há fundamento, com base nas informações divulgadas até agora, para interpretar o incidente como uma invasão generalizada às plataformas bancárias da Caixa.
A delimitação do ambiente atingido, contudo, não diminui a relevância da exposição cadastral. A Caixa Vida e Previdência mantém relacionamento com milhões de consumidores e administra informações vinculadas à contratação e à manutenção de produtos financeiros de longo prazo.
A natureza desses produtos aumenta a importância de comunicações claras. Um contato fraudulento que mencione previdência, seguros ou benefícios associados à instituição pode explorar a confiança estabelecida entre o consumidor e a marca Caixa.
Companhia bloqueou acesso indevido e contratou investigação forense
Depois de identificar o incidente em 6 de novembro, a Caixa Vida e Previdência informou ter bloqueado os mecanismos utilizados durante o ataque e implementado medidas adicionais de proteção dos seus sistemas.
A empresa também iniciou uma investigação técnica com apoio de uma consultoria externa especializada em perícia forense. O trabalho tem como objetivos determinar a origem, a extensão e os impactos do acesso não autorizado.
Outra providência anunciada foi o monitoramento da internet para identificar eventual exposição posterior das informações.
A contratação de perícia é uma etapa relevante porque a confirmação de que dados foram copiados não esclarece, por si só, como o acesso ocorreu ou qual foi o destino das informações extraídas.
A investigação poderá examinar registros de acesso, sistemas envolvidos, mecanismos utilizados pelo invasor e evidências relacionadas à transferência de arquivos. A análise também deverá ajudar a determinar se a contenção adotada foi suficiente para interromper o comprometimento e prevenir novas ocorrências associadas ao mesmo mecanismo.
O comunicado divulgado em 12 de novembro não identifica a vulnerabilidade explorada, o método empregado para obter acesso aos sistemas nem o volume total de dados transferidos.
Também não apresenta conclusão definitiva sobre a extensão do incidente.
Essas informações são importantes tanto para a avaliação dos riscos aos titulares quanto para a análise da resposta adotada pela companhia. Uma medida de contenção pode interromper determinado acesso, mas a segurança posterior depende da identificação e da correção das causas que permitiram a ocorrência.
A Caixa Seguridade afirmou que manterá o mercado informado sobre desdobramentos relevantes. Até a divulgação de novas informações, permanece indefinida a dimensão individualizada dos registros comprometidos.
Comunicação à ANPD ocorreu no terceiro dia útil após identificação
O incidente também coloca em evidência as obrigações estabelecidas pela Lei Geral de Proteção de Dados Pessoais (LGPD) para situações em que informações de consumidores são comprometidas.
O artigo 48 da legislação determina que o controlador comunique à ANPD e aos titulares a ocorrência de incidentes de segurança que possam acarretar risco ou dano relevante.
A Resolução CD/ANPD nº 15, de 24 de abril de 2024, regulamentou esse procedimento e estabeleceu, como regra geral, o prazo de três dias úteis para a comunicação, contado do conhecimento pelo controlador de que o incidente afetou dados pessoais, ressalvadas disposições específicas.
A sequência de datas apresentada pela Caixa Seguridade indica que a ocorrência foi identificada na sexta-feira, 6 de novembro, e comunicada à autoridade na quarta-feira, 11.
Considerando os três dias úteis seguintes à identificação — segunda-feira, 9, terça-feira, 10, e quarta-feira, 11 —, a notificação informada pela empresa ocorreu dentro do prazo geral estabelecido pela regulamentação.
O cumprimento dessa etapa não encerra as obrigações decorrentes do incidente.
A regulamentação prevê que os titulares também sejam informados quando houver possibilidade de risco ou dano relevante. Sempre que for possível identificá-los, a comunicação deve ocorrer de maneira direta e individualizada, utilizando linguagem simples e informações suficientes para compreender a situação.
Entre os elementos previstos estão a natureza dos dados afetados, os possíveis riscos, as providências de proteção adotadas ou planejadas, a data do conhecimento do incidente e os canais de contato disponíveis para esclarecimentos.
A ANPD também estabelece critérios para avaliar a relevância dos riscos. A análise considera fatores como volume de dados, quantidade de pessoas afetadas, natureza das informações, possibilidade de identificação dos titulares e potenciais consequências do incidente.
Dados pessoais tratados em larga escala são um dos critérios expressamente considerados pela regulamentação. A possibilidade de roubo de identidade, fraudes e danos materiais ou morais também pode influenciar a avaliação.
Investigação poderá exigir informações complementares à autoridade
A regulamentação da ANPD permite que o controlador apresente uma comunicação preliminar quando ainda não dispõe de todos os elementos necessários para descrever integralmente o incidente.
Nessas circunstâncias, a empresa deve justificar a ausência das informações e complementar a comunicação de maneira fundamentada no prazo de até 20 dias úteis, contado da comunicação inicial.
O procedimento é relevante para situações em que a identificação do ataque ocorre antes da conclusão da investigação técnica, especialmente quando ainda não foi possível determinar o volume de dados envolvidos ou individualizar todos os titulares.
No caso da Caixa Vida e Previdência, o comunicado ao mercado não esclarece se as informações enviadas à ANPD em 11 de novembro constituem uma comunicação preliminar ou completa.
Também não informa a quantidade de titulares identificados na investigação até aquela data nem o número de notificações individualizadas realizadas.
A agência poderá solicitar esclarecimentos adicionais, examinar as medidas de mitigação adotadas e avaliar a necessidade de providências de fiscalização, conforme os resultados da apuração.
Uma comunicação realizada dentro do prazo não equivale a uma declaração de que todos os requisitos de segurança foram cumpridos. A análise regulatória envolve também as medidas preventivas existentes, a resposta ao incidente, a adequação das notificações e os riscos produzidos aos titulares.
Eventuais responsabilizações dependem da apuração das circunstâncias e da identificação de infrações às obrigações estabelecidas pela legislação.
Clientes recebem orientações e devem redobrar atenção a contatos suspeitos
A Caixa Vida e Previdência informou que está comunicando os titulares afetados cujos números de telefone celular e endereços de e-mail foram expostos, além de grupos considerados vulneráveis.
As notificações incluem recomendações de proteção contra possíveis fraudes. A companhia também disponibilizou um endereço eletrônico específico para receber dúvidas relacionadas ao incidente, embora não tenha informado esse contato no comunicado público encaminhado ao mercado.
Para esclarecimentos, os consumidores podem recorrer aos canais oficiais da Caixa Vida e Previdência.
A Central de Atendimento funciona pelo telefone 0800 702 4000, de segunda a sexta-feira, das 8h às 21h. O Serviço de Atendimento ao Consumidor (SAC), disponível 24 horas por dia, atende pelo número 0800 702 4280.
A recomendação é que clientes e ex-clientes desconfiem de mensagens inesperadas que solicitem senhas, códigos recebidos por SMS, confirmação de informações bancárias ou instalação de aplicativos sob a justificativa de solucionar problemas decorrentes do vazamento.
Também é importante evitar links encaminhados por remetentes desconhecidos, especialmente quando acompanhados de mensagens que mencionem bloqueio de benefícios, regularização de contratos ou necessidade urgente de atualização cadastral.
A presença de informações pessoais corretas em uma mensagem não comprova sua autenticidade. Dados obtidos indevidamente podem ser utilizados justamente para produzir essa aparência de legitimidade.
Em caso de dúvida, a iniciativa de contato deve partir do consumidor, por meio dos telefones e canais publicados oficialmente pela instituição.
O incidente não significa que todas as pessoas presentes na base terão informações utilizadas em fraudes. Da mesma forma, a ausência de indícios de comprometimento de senhas e saldos de previdência não elimina os riscos relacionados à circulação de informações cadastrais.
A conclusão da perícia deverá esclarecer quantos registros foram efetivamente copiados, quais informações estavam associados a eles, se houve divulgação posterior dos dados e quais medidas adicionais serão necessárias para reduzir os riscos aos consumidores.
Até que essas respostas sejam apresentadas, o dado central permanece delimitado: a Caixa Seguridade confirmou um vazamento de informações pessoais em uma base que contempla seus 7,6 milhões de clientes ativos e também antigos clientes, mas ainda não divulgou uma contagem individualizada dos registros efetivamente extraídos.
Fontes:
Caixa Seguridade Participações S.A. — Comunicado ao Mercado, de 12 de novembro de 2026, assinado pelo diretor de Finanças e Relações com Investidores, Edgar Vieira Soares.
Caixa Seguridade — Empresas do Grupo, estrutura societária da Holding XS1 e informações institucionais sobre a Caixa Vida e Previdência.
Autoridade Nacional de Proteção de Dados — Resolução CD/ANPD nº 15, de 24 de abril de 2024, e orientações oficiais sobre comunicação de incidentes de segurança.
Caixa Vida e Previdência — Portal institucional e canais oficiais de atendimento ao consumidor.
