Exposição de dados de chaves Pix num participante (Pefisa, 2025–26)

01 · CONTEXTO

Um aviso do Banco Central sobre dados de chaves Pix

O Banco Central do Brasil publicou um comunicado sobre um incidente com chaves Pix de clientes de algumas instituições. Os dados estavam sob a guarda e a responsabilidade da Pefisa e foram expostos por falhas pontuais em sistemas dela. O texto do comunicado é a fonte deste caso.

Segundo o comunicado, um terceiro não autorizado obteve um conjunto limitado de informações sobre chaves Pix, de 30 de agosto de 2025 a 27 de fevereiro de 2026.

1. Os dados estavam sob a guarda e a responsabilidade da Pefisa.

2. O comunicado atribui a exposição a falhas pontuais em sistemas da instituição.

3. Um terceiro não autorizado obteve um conjunto limitado de informações, de 30 de agosto de 2025 a 27 de fevereiro de 2026.

4. As informações obtidas são exclusivamente cadastrais, e senhas, movimentações e saldos não foram acessados.

5. O Banco Central comunicou o incidente à Autoridade Nacional de Proteção de Dados.

02 · O QUE FOI EXPOSTO

Dados cadastrais, sem senha nem saldo

As informações obtidas são, nas palavras do comunicado, exclusivamente de natureza cadastral: nome, CPF, instituição de relacionamento, agência, conta, data de abertura da conta e datas da chave Pix. Senhas, movimentações e saldos não foram acessados.

O Banco Central também comunicou o incidente à Autoridade Nacional de Proteção de Dados (ANPD).

03 · LEITURA EM MASSA

O que o manual do DICT chama de ataque de leitura

O Manual Operacional do DICT, o diretório de identificadores de contas transacionais do Pix, define ataque de leitura como a captura de vínculos existentes no diretório para propósitos distintos de realizar pagamentos. Ela pode ser feita por um usuário ou por um invasor que use a estrutura do participante. O ataque pode ser rápido e intenso, em poucas horas, ou lento, ao longo de dias ou meses.

O DICT limita as consultas de chave com base em dois indicadores: consultas que não resultaram em ordem de pagamento e consultas a chaves não registradas. O mecanismo é um balde de fichas (token bucket). Com o balde vazio, quem consulta recebe um erro de limitação e fica sem consultar até a reposição de fichas.

04 · DESENHO DEFENSIVO

Como as camadas se combinam

O diagrama junta as camadas do manual em um único caminho de consulta. É um desenho de estudo feito a partir das regras públicas, não a arquitetura da instituição afetada.

1. A consulta de chave só é aceita de um cliente autenticado, em ambiente logado.

2. A instituição aplica uma política interna de limitação igual ou mais restritiva que a do DICT e não repassa ao diretório consultas que estouram o limite do balde.

3. O cache de existência é de uso interno da instituição, por exemplo no controle do balde de consultas, e não guarda a chave em claro nem dados do titular.

4. O diretório aplica a sua própria limitação por balde de fichas, com base em dois indicadores de consulta.

5. O monitoramento acompanha as requisições dos clientes em períodos curtos e longos, para identificar e bloquear casos suspeitos.

O manual pede o acompanhamento da relação entre o volume de consultas ao DICT e o envio de ordens ao SPI, e diz que valores muito superiores podem indicar comportamento de ataque de leitura. Cabe a cada participante determinar a razão usual a partir da jornada do usuário e de dados históricos.

05 · PARA PENSAR

O que levar para o seu próprio sistema

O Banco Central afirma que adota regras rígidas para limitar a requisição e o acesso de informações pelos participantes do Pix e que exige elevado padrão de proteção de dados pessoais, com monitoramento constante.

Três perguntas valem para qualquer sistema que guarde dados de terceiros: quais dados ele precisa guardar em claro, quem pode lê-los e em que ritmo, e quem percebe quando o padrão de leitura foge do normal. Responder a terceira exige monitoramento e observabilidade, e a primeira é uma decisão de conformidade e privacidade tomada no desenho.