Ataque a empresa ligada à Caixa expõe dados de 7,6 milhões de clientes; senhas não teriam sido atingidas

Um ataque cibernético à Caixa Vida e Previdência, subsidiária da Caixa Seguridade, resultou na cópia não autorizada de dados pessoais de milhões de pessoas. O incidente foi identificado em 6 de novembro de 2026 e comunicado publicamente pela companhia no dia 12. Segundo a empresa, a base atingida inclui os 7,6 milhões de clientes ativos, além de pessoas que já tiveram vínculo com a instituição. 

Entre as informações expostas estão nomes completos e números de Cadastro de Pessoas Físicas (CPF). Em parte dos registros, também foram identificados endereços, telefones, e-mails e datas de nascimento. A companhia informou que, até o momento, não encontrou indícios de acesso a senhas, dados bancários, saldos de previdência ou valores de apólices.

Quais informações foram expostas no ataque

O acesso indevido ocorreu no ambiente tecnológico da Caixa Vida e Previdência, responsável por produtos de seguros e previdência privada. De acordo com o comunicado da Caixa Seguridade, os invasores conseguiram copiar dados pessoais e cadastrais para fora dos sistemas da empresa.

A exposição alcançou informações de clientes atuais e antigos. Embora a companhia tenha informado que a base inclui 7,6 milhões de clientes ativos, não divulgou quantos ex-clientes também tiveram dados comprometidos. A investigação ainda está em andamento para determinar a extensão completa do incidente. 

Senhas e dados bancários foram afetados?

Segundo a apuração preliminar da empresa, não há indícios de comprometimento de informações financeiras ou de autenticação. Isso inclui senhas, dados bancários, saldos de previdência e valores relacionados a apólices. A companhia também afirmou que o incidente não afetou a continuidade dos serviços prestados aos clientes. 

A ausência de evidências de acesso a essas informações, porém, não elimina os riscos associados ao vazamento cadastral. Dados como CPF, telefone e endereço podem ser utilizados para elaborar abordagens fraudulentas mais convincentes, especialmente quando os criminosos se apresentam como funcionários de bancos, seguradoras ou órgãos públicos.

Como o ataque pode ser usado em golpes

Com informações verdadeiras sobre uma pessoa, criminosos podem criar mensagens e ligações que parecem legítimas. Uma abordagem pode mencionar o nome completo, o CPF ou até detalhes relacionados a um seguro ou plano de previdência para convencer a vítima a fornecer outras informações.

Entre os riscos estão tentativas de roubo de senhas, envio de links falsos, cobranças inexistentes e solicitações de transferências bancárias. Por isso, a recomendação é desconfiar de contatos que criem urgência para exigir códigos de confirmação, dados financeiros ou pagamentos.

A própria Caixa Vida e Previdência orienta os titulares a não clicar em links suspeitos e a procurar os canais oficiais por iniciativa própria quando precisarem confirmar alguma solicitação. A empresa ressalta que o vazamento, isoladamente, não significa que os dados já tenham sido utilizados em fraudes. 

O que a Caixa fez após identificar a invasão

Após detectar o acesso não autorizado, a companhia informou que identificou e bloqueou os mecanismos utilizados pelos invasores e adotou medidas adicionais de proteção. Também contratou uma consultoria externa especializada em perícia forense para investigar a origem do ataque, avaliar a extensão das informações copiadas e identificar possíveis consequências.

Outra medida foi o monitoramento da internet para verificar se os dados foram publicados ou compartilhados indevidamente. Até o comunicado divulgado em 12 de novembro, a empresa não havia confirmado a divulgação pública das informações. 

Como os clientes podem buscar informações

A Caixa Vida e Previdência informou que está comunicando os titulares afetados, com prioridade para pessoas cujos telefones e e-mails foram expostos e grupos considerados mais vulneráveis. Os avisos incluem recomendações para reduzir o risco de golpes.

Quem tiver dúvidas sobre o incidente pode entrar em contato diretamente com a empresa pelo endereço [email protected]. A companhia também notificou a Autoridade Nacional de Proteção de Dados (ANPD) e outros órgãos competentes em 11 de novembro, conforme previsto na Lei Geral de Proteção de Dados (LGPD).