Nesta quarta-feira (10), o Banco Central anunciou que 39.088 chaves Pix de clientes da 99Pay Instituição de Pagamentos tiveram seus dados vazados, marcando o 11º incidente do tipo desde o lançamento do sistema de pagamentos instantâneos, em novembro de 2020.
O vazamento ocorreu entre 26 de junho e 2 de julho e incluiu informações como nome do usuário, CPF mascarado, instituição de relacionamento, agência e número da conta.
Segundo o BC, o incidente decorreu de falhas pontuais nos sistemas da instituição de pagamento e expôs apenas dados cadastrais, sem afetar transações financeiras. Informações protegidas pelo sigilo bancário, como senhas e saldos, não foram comprometidas.
Embora o impacto potencial para os clientes tenha sido considerado baixo, o Banco Central optou por divulgar o incidente em nome da transparência. Os clientes afetados serão notificados exclusivamente por meio do aplicativo ou internet banking da instituição, sendo alertados para ignorar quaisquer outras comunicações, como chamadas telefônicas, SMS, mensagens de aplicativos ou e-mails.
A exposição dos dados não implica necessariamente que todas as informações tenham sido acessadas por terceiros, mas indica que estiveram visíveis por um período e podem ter sido capturadas.
O Banco Central afirmou que investigará o caso e poderá aplicar sanções conforme previsto pela legislação, que incluem multas e até a exclusão da instituição do sistema Pix, dependendo da gravidade do ocorrido.
A 99Pay emitiu nota informando que o incidente de segurança foi resolvido e que não houve exposição de dados sensíveis que poderiam resultar em perdas financeiras para os usuários afetados, que representam apenas 0,0003% de sua base.
A instituição reiterou seu compromisso com a segurança de dados e está à disposição para fornecer suporte e esclarecimentos aos seus clientes.
A Lei Geral de Proteção de Dados estabelece que o Banco Central mantenha uma página para informar cidadãos sobre incidentes envolvendo chaves Pix e outros dados pessoais sob sua responsabilidade.