Lidando com vazamentos de dados

Por Marcelo Tavares de Santanaⁱ

O recente vazamento de dados de uma instituição de investimentos mais uma vez nos leva a quadruplicarmos nossos cuidados quando o assunto é relacionamento com empresas. Algumas coisas merecem ser destacadas sobre as notícias do vazamento na XP Investimentos em março de 2025:

• o comunicado aos clientes informa que o vazamento foi num fornecedor externo, mas praticamente tudo hoje fica num fornecedor externo no mundo da TI, os serviços em nuvem existem para isso, essa colocação não exime a empresa da responsabilidade solidária sobre o quê acontece com nossos dados que ela compartilha;

• há notícias informando que dados pessoais como “senhas, assinatura eletrônica, biometria, CPF ou documentos de identidade” não foram vazados e notícias informaram que dados como “nome, telefone, e-mail, data de nascimento, CEP, estado civil, cargo e nacionalidade”, promovendo confusão aos leitores do primeiro grupo de notícias – como regra geral vale ficar muito atento independente da gravidade que as notícias tentam passar;

• a empresa sob do problema no final de março e comunicou os clientes do final de abril, por mais que haja um atraso para entender o ocorrido, um mês é muito tempo para uma empresa que movimenta bilhões e isso sugere falta de investimentos numa equipe de resposta a incidentes de segurança adequada ao tipo de serviço que presta à sociedade;

• tanto a empresa quanto a imprensa ressaltam a importância do cuidado contra possíveis golpes envolvendo dados pessoais, mas também informam que os dados para acesso à empresa não foram comprometidos assim como aos recursos dos clientes, o quê é um erro pois deveriam estimular a troca de senha mesmo que o resultado de uma investigação aponte para o não vazamento de dados de acesso.

A triste realidade desse tipo de problema que deve continuar a nos afligir durante nossa vida é que os grandes vazamentos de dados ocorrem porque os sistemas são feitos para que sejam realizadas grandes extrações de dados para análise. Até mesmo quando damos nosso CPF numa farmácia ele vai para uma base de dados que depois entrará em algum estudo ou pesquisa com finalidade de extrair mais lucro, inclusive vendendo os resultados desse estudo para outras empresas; o dado diretamente não é cedido, respeitando a Lei Geral de Proteção de Dados, mas o resultado de qualquer estudo que não leve a identificação indireta dos cidadãos pode ser comercializado livremente. O comércio de estudos de dados em si não é um problema mas a Lei falha em não obrigar as empresas e informarem explicitamente que executam essa prática e assim os clientes têm a impressão que, por exemplo, as grandes redes de farmácias só sobrevivem da venda direta dos produtos.

Enquanto não temos em vista solução para esse grande problema da modernidade, precisamos ter hábitos que minimizem ou até impeçam prejuízos. Nessa coluna já vimos alguns cuidados que devemos tomar com nossos acessos digitais, sendo que a gestão de senhas é o mais relevante para o caso, assim vale a revisão nos artigos “Cuidados digitais com senhas e chaves criptográficas”ⁱⁱ e “Mapa de Segurança Digital (1)”ⁱⁱⁱ. Além de senhas fortes, e relembram que o gerenciador de senhas nos ajudam a termos uma senha para cada acesso a serviços digitais, que é a prática recomendada, alguns outros cuidados podem ser acrescentados ao nosso dia a dia de modo viável.

Nosso primeiro hábito é selecionar quais as formas de comunicação vamos aceitar ou não na comunicação com as empresas. Alguns golpes envolvem a sensibilização das pessoas através da demonstração de conhecimento prévio de nossa vida através do uso dos dados pessoais e, muito provavelmente, é o golpista que vai entrar em contato. Como primeiro filtro para selecionar uma forma de comunicação, podemos rejeitar esse contato de forma educada, algumas sugestões:

• pedindo a comunicação por e-mail, assim ao receber a mensagem podemos verificar o e-mail de origem, mas veja com atenção o campo “Reply to/Responder para” se o endereço é da empresa, se não for, não responda;

• se existir um aplicativo da empresa, peça para mandarem por ele ou diga que vai responder pelo aplicativo – o golpista normalmente vai ser externo à empresa de onde os dados foram vazados e não vai ter acesso aos meios oficiais de comunicação;

• fuja mensagens de urgências, elas servem para criar confusão e tentar induzir ao erro, se trouxerem alguma questão médica, peçam o endereço, andar e número de leito se existir, pesquise o número de telefone na Internet ou no aplicativo de plano de saúde e tente ir no instituto médio ou mandar alguém de confiança;

• muitas empresas usam aplicativos de mensagens (Signal, Telegram, WhatsApp etc.) e hoje é muito fácil qualquer pessoa criar uma conta empresarial, e ainda não podemos afirmar que a curadoria de contatos seja confiável nesses aplicativos, nesses casos procurem sempre confirmar o número do contato no site da empresa antes de continuar a conversa;

• ter uma conta de e-mail para cada serviço é inviável, mas vale ter uma segunda pessoal conta só para comunicação com empresas, separando de família e amigos, assim mitigamos que eles sejam afetados também casa haja vazamento de contatos de nossas contas;

• na linha do último, nunca ofereça contatos de seus amigos sem seus consentimentos, inclusive em promoções condicionadas ao fornecimento de contatos.

Aproveitando a sugestão de uma segunda conta pessoal específica para empresas, podemos contar agora com o Thunderbird^iv para smartphones. Para quem costuma usar clientes de e-mail e quer usar um software de código aberto, ele possuí sincronização de configuração rápida com a versão de computador e pode ser um facilitador na gestão de múltiplas contas de e-mail, o quê pode nos ajudar a ter uma terceira conta e separarmos da seguinte forma: uma para família e amigos, uma conta só para serviços financeiros e uma última para demais serviços. Mais que três contas de e-mail para vida pessoal considero inviável. No caso de usarem o Thunderbird no smartphone, procurem sempre fazer a configuração IMAP sempre, que vai poupar espaço de armazenamento.

Espero que esses cuidados estejam confortáveis para serem aplicados na vida de cada um, e que sirvam para vazamentos que possam vir a acontecer. Esse é o tipo de caso que exige mudança de hábito para dificultar golpistas, e sempre precisaremos revisar. Busquem sempre os canais oficiais de comunicação onde vocês possam iniciar o contato.

Boa comunicação a todos!

Notas