Vazamento no Tesouro expôs CPF e chave Pix: como evitar golpes

Cerca de 30 mil cadastros dos e-Serviços do Tesouro Nacional e 4 mil chaves Pix ligadas a pagamentos do governo federal foram alcançados por um acesso não autorizado, informou o órgão em 13 de novembro de 2026. Nomes, CPFs e e-mails estão entre os dados expostos, e o Tesouro ainda não sabe quem fez o acesso nem como.

De acordo com a Agência Brasil, o órgão afirma que não houve impacto financeiro e que os sistemas da Dívida Pública não foram afetados. Mesmo assim, parte dos serviços saiu do ar por precaução, e a investigação segue sem confirmação de ataque hacker. O risco imediato para quem teve dados expostos não é perder dinheiro na conta, mas receber contatos falsos que parecem legítimos porque já trazem nome, CPF e chave Pix corretos.

Quem tem cadastro nos e-Serviços do Tesouro

Os e-Serviços são o portal de atendimento online do Tesouro, com login próprio, usado por quem precisa acessar consultas e solicitações junto ao órgão. Foram desses cadastros que saíram nome, CPF e e-mail.

Com esse trio, o golpista consegue montar um e-mail convincente, com o seu nome no cabeçalho e um texto sobre “regularização do cadastro após incidente de segurança”. O link costuma levar a uma página que imita o gov.br e pede senha ou código de verificação.

O que checar nesse perfil

• Desconfie de qualquer e-mail que cite o incidente e peça para clicar, confirmar dados ou baixar anexo.
• Entre no gov.br sempre digitando o endereço no navegador, nunca pelo link recebido.
• Ligue a confirmação em dois fatores na conta gov.br, caso ainda não esteja ligada.
• Troque a senha do e-mail cadastrado se ela for igual à de outros serviços.

Quem recebe pagamento federal pela chave Pix

As 4 mil chaves Pix expostas pertencem a beneficiários de pagamentos do governo federal e vieram acompanhadas de dados sobre essas transações. Esse é o grupo mais visado, porque o criminoso sabe que a pessoa espera dinheiro da União.

O roteiro mais provável é a ligação ou mensagem de alguém que se apresenta como servidor do Tesouro, cita o valor do último pagamento e diz que a chave precisa ser “revalidada”. Para isso, pede um Pix de teste, um código recebido por SMS ou a instalação de um aplicativo. Nenhum órgão público pede transferência para liberar pagamento.

Chave Pix exposta, sozinha, não permite que alguém tire dinheiro da sua conta. Ela só serve para receber. O perigo está em usar a chave como prova de que o contato é verdadeiro. Se a chave for o CPF, ela não muda; se for e-mail ou celular, você pode trocar a chave no aplicativo do banco, mas isso não é obrigatório.

Quem investe ou acompanha os leilões do Tesouro

O Tesouro informou que as aplicações e os títulos públicos não foram atingidos. O que ficou fora do ar foram ferramentas de consulta, como o Tesouro Transparente e a consulta interativa dos leilões. Quem acompanha os resultados dos leilões pode usar, enquanto isso, a página de resultados no site do Banco Central.

A previsão do órgão é que a maior parte dos sistemas volte até a manhã de 16 de novembro. Alguns, segundo o comunicado, só retornarão depois dessa data, sem prazo definido.

Como confirmar se o seu dado estava no lote

O Tesouro não abriu uma consulta individual até o fechamento deste texto. O caminho oficial é o canal do encarregado de dados do Ministério da Fazenda, pela plataforma Fala.BR, onde o titular pode perguntar se foi afetado e quais dados foram envolvidos, com base na Lei Geral de Proteção de Dados.

O incidente foi comunicado à ANPD, órgão federal que fiscaliza a LGPD, e ao CTIR Gov, centro que trata incidentes cibernéticos no governo federal. A ANPD pode exigir que o órgão avise cada titular afetado, o que ainda não ocorreu.

Sinais de golpe que usam esses dados

Golpes que exploram cadastros expostos repetem um roteiro conhecido, visto também depois do incidente descrito em Vazamento na Caixa Vida e Previdência: como saber se você foi afetado. Os sinais mais comuns:

1. Urgência: prazo de horas para “evitar o bloqueio” do pagamento.
2. Pedido de Pix, boleto ou “taxa de liberação” para receber um valor.
3. Link encurtado ou endereço que não termina em gov.br.
4. Pedido de código recebido por SMS ou de selfie para “validação”.
5. Contato por WhatsApp de número desconhecido com foto de brasão oficial.

Recebeu algo assim? Não responda, guarde o print e denuncie ao banco e no canal de incidentes do CERT.br. Se já passou dados ou fez transferência, ligue para o banco na hora e peça o bloqueio pelo Mecanismo Especial de Devolução do Pix, que tem mais chance de funcionar nas primeiras horas.