Vazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.
O Fundo Garantidor de Créditos (FGC) informou que identificou acesso não autorizado a dados pessoais de investidores em seu ambiente. Segundo o TI Inside, foram acessados nomes, CPFs, datas de nascimento e e-mails, além de dados do pagamento da garantia e dos tributos retidos. Para quem gere uma pequena empresa, o caso importa menos pelo nome da entidade e mais pelo que mostra: dados comuns, como CPF e e-mail, já bastam para dar credibilidade a uma fraude.
O que se sabe até agora
De acordo com a reportagem, o número de clientes afetados não foi divulgado. O FGC diz não ter encontrado evidência de que os dados foram divulgados ou usados indevidamente, e afirma ter comunicado a Autoridade Nacional de Proteção de Dados (ANPD). A suspeita teria sido identificada em 26 de outubro. Desde então, a entidade diz ter restringido acessos, bloqueado contas indevidas, preservado evidências e revisado permissões e controles. A apuração segue com especialistas. A fonte não detalha como o acesso aconteceu, e é prudente não especular sobre isso.
O próprio FGC alerta que as informações podem tornar contatos fraudulentos mais convincentes. Quem recebe uma mensagem que cita o CPF e o valor da garantia tende a confiar nela, e é por isso que a entidade pede desconfiança de qualquer contato que peça pagamentos, senhas, códigos ou instalação de aplicativos.
O episódio traz perguntas úteis para qualquer negócio que guarda dados de clientes. A primeira é sobre acessos: quem tem permissão para ver CPFs e dados de pagamento, e essa lista foi revisada recentemente? Contas de ex-funcionários, de terceiros e de prestadores que já não atuam são pontos comuns de risco. O FGC cita justamente a revisão de permissões e o bloqueio de contas indevidas entre suas medidas.
A segunda é sobre fornecedores. Se um sistema, um escritório contábil ou uma plataforma de cobrança guarda dados dos seus clientes, vale confirmar por contrato como o acesso é controlado e em quanto tempo você seria avisado de um incidente. Pela LGPD, a responsabilidade pelos dados tratados continua sendo da empresa, mesmo quando parte do tratamento fica com terceiros.
A terceira é o plano de resposta. A LGPD prevê a comunicação à ANPD e aos titulares quando um incidente puder causar risco ou dano relevante. Definir antes quem decide, quem fala com o cliente e onde ficam os registros evita improviso. O FGC, por exemplo, preservou evidências e indicou um canal oficial para dúvidas, boas práticas que qualquer empresa pode copiar em escala menor.
Por fim, prepare a equipe de atendimento. Clientes podem ligar perguntando se uma mensagem é legítima. Oriente a responder apenas por canais oficiais, a nunca pedir senhas ou códigos e a registrar tentativas de golpe.
Se você é investidor ou cliente afetado
O FGC recomenda não clicar em links de mensagens suspeitas e acessar informações do pagamento direto pelo aplicativo da entidade. Também orienta confirmar tudo pelos canais oficiais, guardar as mensagens suspeitas e registrar ocorrência se houver tentativa de fraude, avisando o FGC em seguida. Dúvidas sobre os próprios dados podem ir ao e-mail atendimento.credores@fgc.org.br.
Fechamento
O caso ainda está em apuração, e novas informações podem mudar o quadro. Enquanto isso, é um bom momento para revisar quem acessa os dados dos seus clientes e como você reagiria a um aviso semelhante.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaOpen Ledger: o que revisar em acessos após ataques com IA
Relatório da ZenoX diz que o grupo RedScanner usou agentes de IA para atacar ao menos 40 instituições no Brasil. Veja o que isso muda para quem gere uma pequena empresa ou fintech.