Uma vulnerabilidade detectada em 22 de abril na plataforma Meu INSS liberou informações pessoais de até 1,666 milhão de cadastros, segundo estimativa preliminar da Dataprev, permitindo a visualização indevida de nome, CPF, data de nascimento e até histórico de vínculos de trabalho.
Origem da vulnerabilidade e mecanismo de exposição
O incidente teve início quando ajustes de rotina na interface de solicitação de benefícios — aposentadoria, pensão por morte e auxílio-reclusão — passaram a retornar campos de dados além dos estritamente necessários para o andamento do processo. Bastava inserir o CPF do solicitante para que o sistema exibisse, em tela, registros sigilosos não autorizados para exibição pública. Técnicos vinculados à Dataprev constataram que a falha foi potencializada pela circulação de vídeos didáticos em redes sociais, nos quais se demonstrava detalhadamente o procedimento para extrair as informações.
Há indícios de que robôs automatizados tenham sido empregados para realizar consultas sucessivas, testando CPFs em série. Esse comportamento volumoso ampliou o alcance da exposição e sobrecarregou as rotinas de monitoramento, retardando a identificação plena da anomalia.
Dimensão do incidente e perfil dos dados vazados
Em nota oficial, o INSS confirmou que 97 % dos CPFs acessados pertencem a pessoas já falecidas. Os demais 3 %, equivalentes a aproximadamente 50 mil registros, correspondem a segurados vivos. Considerando a amostragem de requisições analisadas, a projeção inicial indica até 1,666 milhão de cadastros potencialmente afetados, embora fontes internas mencionem a possibilidade de o total se aproximar de 2 milhões.
Entre os campos expostos constam:
- Nome completo do segurado;
- CPF em formato íntegro;
- Data de nascimento e idade calculada automaticamente pelo sistema;
- Histórico de vínculos laborais, incluindo datas de admissão e desligamento.
Embora o vazamento não conceda, por si só, acesso direto a benefícios previdenciários, especialistas alertam que esses elementos podem ser combinados em fraudes de identidade, contratação de empréstimos irregulares e abertura de contas em instituições financeiras.
Medidas adotadas por INSS, Dataprev e ANPD
A Dataprev identificou a anomalia às 10h57 de 22 de abril e, em menos de duas horas, aplicou um patch emergencial que suprimiu a visualização dos campos excedentes. Em paralelo, iniciou auditoria forense para mapear o intervalo exato de exposição e a volumetria de acessos não autorizados. O INSS reforçou que processos de concessão de benefícios — inclusive aposentadorias e empréstimos consignados — mantêm etapas adicionais de validação presencial ou biométrica, reduzindo o risco de aproveitamento imediato dos dados.
Imagem: José Aldenir
A Agência Nacional de Proteção de Dados (ANPD) foi comunicada no mesmo dia, cumprindo os requisitos do art. 48 da Lei Geral de Proteção de Dados. O órgão regulador acompanha a investigação e poderá aplicar sanções administrativas, caso identifique falhas de governança ou de comunicação com titulares afetados. Até o momento, a ANPD não divulga detalhes técnicos para evitar novos vetores de exploração.
Histórico recente de problemas em sistemas previdenciários
Não se trata de um evento isolado. Em janeiro de 2024, a plataforma Suibe — que consolida históricos de benefícios concedidos — foi retirada do ar após detecção de credenciais antigas ainda válidas. Na ocasião, estimou-se que milhões de registros ficaram suscetíveis a acessos externos por longo período. As recorrentes falhas sinalizam um desafio estrutural na gestão de identidades, revisão de privilégios e atualização de frameworks utilizados por sistemas críticos da Previdência Social.
Paralelamente, investigações conduzidas pela Polícia Federal e pelo Tribunal de Contas da União apuram esquemas de fraudes em empréstimos consignados baseados na extração ilícita de dados previdenciários. O vazamento recente adiciona novos elementos de preocupação, sobretudo porque combina informações cadastrais e histórico laboral — combinação valiosa para quadrilhas de falsificação.
Conclusão técnica
A exposição de até 1,666 milhão de registros na plataforma Meu INSS reafirma a urgência de controles robustos de segurança da informação em serviços públicos digitais. Enquanto Dataprev consolida o relatório definitivo e a ANPD avalia eventuais sanções, o INSS mantém a posição de que etapas presenciais e validadas por biometria minimizam impactos imediatos a benefícios, mas reconhece o potencial de uso indevido dos dados em fraudes financeiras. Recomenda-se aos segurados monitorar extratos bancários, consultar regularmente o Portal de Serviços do Governo Federal e aguardar as orientações oficiais que deverão ser divulgadas após a conclusão da perícia interna.
