Nova falha em chaves de segurança ‘põe em xeque’ segurança do Pix

Até agora inquestionável, a inviolabilidade do ‘celebrado’ sistema de pagamentos instantâneos, o popular Pix, foi, mais uma vez, arranhada. Em nota oficial, o Banco Central (BC) emitiu comunicado, nessa terça-feira (22), em que admite a ocorrência de ‘falhas pontuais’ de dados das chaves Pix, verificadas em sistemas da empresa Phi Pagamentos. Esse é o quinto vazamento de dados da ferramenta – o último, no período de julho a setembro do ano passado.

Para atenuar o problema de ‘quebra de segurança’ do sistema, o BC alegou que a extensão da ‘exposição dos dados’ foi ‘sobremaneira mitigada’ (muito reduzida) pelos mecanismos de segurança e monitoramento do Pix. Recorrendo ao instrumento estatístico, a autoridade monetária argumentou que o impacto teria se concentrado em 238 chaves, o que representaria menos de 0,0004% das mais de 630 milhões de chaves cadastradas pela instituição. No episódio anterior, de 2022, teriam sido expostas 137.285 chaves.

Após esta ocorrência, o BC teria adotado uma série de medidas, a fim de aumentar a segurança do sistema, como também das instituições que dele participam, mas reforçou a responsabilidade das instituições financeiras.

Também no comunicado, a autoridade monetária acentua que “mais importante, não foram expostos quaisquer dados sensíveis, tais como senhas, informações de movimentações ou saldos financeiros em contas transacionais, ou quaisquer outras informações sob sigilo bancário. As informações obtidas são de natureza cadastral, que não permitem movimentação de recursos, nem acesso às contas ou a outras informações financeiras”, frisou o órgão.

O BC esclarece, ainda, que as informações expostas se referem ao nome do usuário, o CPF, a instituição de relacionamento, a agência, o número e o tipo de conta. Segundo a instituição, aqueles que foram prejudicados pela falha da Phi Pagamentos serão notificados, exclusivamente, por meio do aplicativo ou via Internet Banking de sua instituição de relacionamento.

“Nem o BC nem as instituições participantes usarão quaisquer outros meios de comunicação aos usuários afetados, como aplicativos de mensagem, chamadas telefônicas, SMS ou e-mail”, alerta a autoridade monetária, ao adiantar que já teriam sido ‘adotadas as ações necessárias para a apuração detalhada do caso’, além de ‘medidas sancionadoras previstas na regulação vigente’.

Acesso automático – Em outra nota veiculada, nesta quarta-feira (23), o BC informou que, tanto polícias, ministérios públicos, quanto outras autoridades de ‘persecução penal’ passarão a ter acesso automático, a partir de 1º de setembro próximo, aos dados cadastrais (vinculados às chaves Pix), de usuários que estejam sob processo de investigação.

Desta forma, as autoridades poderão acessar informações, como nome do usuário, número do CPF (Cadastro de Pessoas Físicas) ou do CNPJ (Cadastro Nacional da Pessoa Jurídica), chaves cadastradas, instituição de relacionamento, número da agência e da conta, tipo de conta, data de criação da chave e abertura da conta.

Sobre a iniciativa, o BC esclarece que esta não ‘representa qualquer tipo de interferência do Poder Público nas informações privadas de usuários do Pix, como também não compromete o sigilo bancário.

Segundo o consultor no Departamento de Competição e de Estrutura do Mercado Financeiro do BC, Breno Lobo, “dados das transações do Pix, como transferências, compras e saques, protegidos pelo sigilo bancário, não serão abrangidos pela funcionalidade”. Por meio dessa ‘licença de acesso’, o BC espera facilitar a identificação e eventual responsabilização de usuários que utilizaram o Pix para cometer crimes, auxiliando no combate e prevenção de fraudes e crimes cibernéticos.