Vazamento da Caixa Vida e Previdência: o que se sabe e como se proteger

O vazamento da Caixa Vida e Previdência, divulgado na quinta-feira, 12 de novembro de 2026, expôs nome e CPF dos 7,6 milhões de clientes ativos da seguradora, além de dados de ex-clientes em número ainda não informado. Neste post eu explico o que já se sabe, o que continua em aberto, como se proteger dos golpes que costumam vir depois e o que a sua empresa pode aprender com o vazamento da Caixa antes que algo parecido aconteça com ela.

TL;DR (atualizado em 13/11/2026)

• A Caixa Vida e Previdência, subsidiária da Caixa Seguridade, identificou em 6 de novembro um acesso não autorizado à sua base de clientes.
• Foram copiados nome e CPF de todos os 7,6 milhões de clientes ativos e, em parte dos registros, endereço, telefone, e-mail e data de nascimento. Ex-clientes também foram atingidos.
• Segundo a empresa, a apuração preliminar não encontrou comprometimento de senhas, dados bancários, saldos de previdência ou valores de apólices.
• A ANPD e os titulares foram notificados em 11 de novembro. Uma perícia externa investiga a origem do ataque, que ainda não foi revelada.
• O maior risco agora são os golpes com dados verdadeiros: falso resgate de previdência, taxa para "liberar indenização" e recadastro com link falso.

O que aconteceu no vazamento da Caixa Vida e Previdência

Segundo comunicado ao mercado da Caixa Seguridade, reproduzido pela Agência Brasil, a subsidiária Caixa Vida e Previdência (CVP) identificou em 6 de novembro de 2026 um ataque que resultou na cópia clandestina de dados pessoais de clientes. A divulgação pública veio seis dias depois, na noite de 12 de novembro.

Os números confirmados até aqui:

• 7,6 milhões de clientes ativos afetados, o que corresponde à base ativa inteira da seguradora.
• Ex-clientes também tiveram dados copiados. A empresa ainda não disse quantos, então o total real deve ser maior.
• Todos os registros atingidos têm nome completo e CPF.
• Parte dos registros também tem endereço, telefone, e-mail e data de nascimento. Nem todo cliente teve o mesmo conjunto de dados exposto.

A empresa afirma que os mecanismos usados no ataque foram identificados e bloqueados, que reforçou os controles de segurança e que os serviços não foram interrompidos. Também diz ter contratado uma consultoria externa de perícia forense e segurança da informação para apurar a origem, a extensão e os impactos, e que está monitorando a internet para detectar a divulgação dos dados.

Um detalhe sobre o vazamento da Caixa que gera confusão: o ataque foi a uma subsidiária de seguros e previdência, não às contas correntes da Caixa Econômica Federal. Até agora não há confirmação de que dados de contas bancárias do banco tenham sido acessados.

O que o vazamento da Caixa não atingiu, segundo a empresa

A apuração preliminar, nas palavras do comunicado, "não há indícios de comprometimento de dados financeiros ou de autenticação". Isso inclui:

• senhas;
• dados bancários;
• saldos de previdência;
• valores de apólices.

Eu destaco a palavra preliminar. Em incidentes desse tamanho, é comum que a extensão real só apareça semanas depois, quando a perícia termina. Já vi isso acontecer em outros casos que analisamos aqui no blog, como o vazamento da Dígitro. Ainda assim, é a informação oficial disponível e não há motivo para pânico: ninguém consegue sacar a sua previdência só com o seu CPF e endereço.

O que ainda não se sabe sobre o vazamento da Caixa

Pergunta	Situação em 13/11/2026
Quem fez o ataque?	Não divulgado. Nenhum grupo criminoso foi identificado publicamente.
Qual falha permitiu o acesso?	Não divulgada. A perícia externa está apurando.
Quantos ex-clientes foram atingidos?	Desconhecido. A empresa só informou os 7,6 milhões de ativos.
Os dados já estão à venda?	Sem confirmação. A empresa diz monitorar a internet.
Senhas e dados bancários estão seguros?	Sim, segundo a apuração preliminar. A conclusão pode mudar com a perícia.
Haverá sanção da ANPD?	Cedo para dizer. A notificação é obrigatória, mas não define, por si só, se haverá responsabilização.
Existe consulta por CPF para saber se fui afetado?	Não há ferramenta pública oficial. Desconfie de sites que oferecem isso.

Eu atualizo esta tabela se a Caixa Seguridade ou a ANPD divulgarem algo novo.

O risco real: golpes com dados verdadeiros

Nome, CPF, telefone, e-mail e data de nascimento não abrem conta nem fazem saque. O problema é outro: dão credibilidade ao golpista. Quando alguém liga ou manda mensagem sabendo seu nome completo, seu CPF e que você tem previdência na Caixa, a chance de você acreditar aumenta muito.

Os golpes mais prováveis depois do vazamento da Caixa:

• Falso resgate de previdência: mensagem dizendo que há um valor "disponível para resgate" e pedindo para clicar num link ou confirmar dados.
• Taxa para liberar indenização: o golpista diz que você tem direito a uma compensação pelo vazamento e pede um Pix para "liberar" o pagamento.
• Recadastro urgente: e-mail ou SMS com aparência oficial pedindo atualização cadastral num site falso, que rouba senhas.
• Falsa central de segurança: ligação de alguém dizendo ser da Caixa, que já sabe seus dados e pede o código recebido por SMS "para bloquear o acesso dos hackers".

O padrão é sempre o mesmo: urgência + dados verdadeiros + pedido de senha, código ou Pix. Golpes desse tipo são parecidos com o que vimos no alerta do FBI sobre o Microsoft 365: o golpista usa um fato real para parecer legítimo.

Como se proteger se você é cliente

1. Nunca passe senha nem código de SMS, para ninguém, nem para quem diz ser da Caixa.
2. Não pague nada para "liberar" valores. Indenização legítima não exige Pix antecipado.
3. Não clique em links de mensagens sobre o vazamento. Entre pelos canais oficiais digitando o endereço você mesmo.
4. Desligue e ligue de volta para o número oficial se receber uma ligação suspeita.
5. Acompanhe as notificações do banco e da previdência e guarde prints de contatos suspeitos.
6. Se notar movimentação que não reconhece, avise a instituição na hora e registre boletim de ocorrência.

Para dúvidas, a empresa informou o e-mail do encarregado de dados (DPO): [email protected].

O que a LGPD exige e como o vazamento da Caixa foi comunicado

O artigo 48 da LGPD obriga o controlador a "comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares". A comunicação precisa descrever os dados afetados, os titulares envolvidos, as medidas de segurança, os riscos e as providências tomadas (texto da lei).

O prazo foi regulamentado pela ANPD no Regulamento de Comunicação de Incidente de Segurança: três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais. A CVP identificou o ataque numa sexta-feira, 6 de novembro, e notificou a ANPD na quarta, 11 de novembro, o terceiro dia útil. Pelo que foi divulgado, o prazo foi cumprido.

Isso não encerra o assunto. A ANPD avalia a gravidade do incidente e pode exigir ampla divulgação ou outras medidas. A existência de criptografia que tornasse os dados ininteligíveis pesa a favor do controlador nessa análise, e esse é um ponto que a Caixa ainda não esclareceu. Nos últimos meses, a ANPD virou agência reguladora e abriu a maior leva de processos sancionadores da sua história, então a fiscalização tende a ficar mais rigorosa.

A lição para empresas de qualquer tamanho

É tentador pensar que vazamento é problema de banco e de gigante. Não é. O vazamento da Caixa chama atenção pelo tamanho, mas o mecanismo é o mesmo que atinge pequenas e médias empresas toda semana: uma base de clientes acessível demais, um acesso que não deveria existir, um sistema sem atualização.

Nos diagnósticos que faço em empresas, as falhas que mais aparecem são estas:

• Banco de dados exposto à internet, às vezes com senha padrão.
• Painéis administrativos sem autenticação em dois fatores.
• Sistemas e plugins desatualizados, principalmente em sites WordPress e sistemas legados.
• Planilhas com dados de clientes circulando por e-mail e WhatsApp.
• Ex-funcionários e fornecedores com acesso ativo meses depois de sair.
• Nenhum log, ou seja, a empresa nem consegue saber o que foi acessado.

O último item é crítico. A CVP conseguiu dizer em seis dias o que foi copiado e o que não foi. A maioria das PMEs não conseguiria responder isso nem em seis semanas. E sem essa resposta é impossível cumprir o artigo 48 direito.

O mínimo que toda empresa deveria ter

• Inventário de dados: saber onde estão os dados pessoais e quem tem acesso.
• Acesso mínimo: cada pessoa só enxerga o que precisa.
• Autenticação em dois fatores em tudo que é administrativo.
• Atualizações em dia e backup testado.
• Logs guardados por tempo suficiente para investigar um incidente.
• Plano de resposta escrito, com quem avisa quem e em quanto tempo. Detalhei isso no post sobre plano de resposta a vazamento de dados.

Para empresa pequena, não precisa ser um projeto caro. O post LGPD na prática para empresa pequena mostra o mínimo necessário.

Como a Agathas Web ajuda a sua empresa a não ser o próximo caso

É esse trabalho preventivo que fazemos na consultoria de tecnologia da Agathas Web, no formato de CTO sob demanda. Na prática:

• Auditoria de segurança da infraestrutura: servidores, bancos de dados, painéis, sites e sistemas. Procuramos as portas abertas antes que alguém de fora encontre.
• Revisão de acessos: quem pode ver o quê, remoção de acessos esquecidos e autenticação em dois fatores onde falta.
• Logs e backups: configuramos registro de acessos e backups testados, para que, se um incidente acontecer, você saiba responder em horas o que foi atingido.
• Plano de resposta a incidentes: documento simples com responsáveis, prazos da ANPD e modelos de comunicação aos titulares.
• Acompanhamento contínuo: um olhar técnico de confiança para as decisões de tecnologia, sem o custo de um CTO em tempo integral.

Como funciona: começamos com uma conversa sem custo para entender o seu ambiente, entregamos um diagnóstico com os riscos priorizados e combinamos o que corrigir primeiro. Se o vazamento da Caixa acendeu um alerta aí na sua empresa, agende uma consultoria e eu mesmo faço a primeira avaliação.

Conclusão

O vazamento da Caixa Vida e Previdência atingiu nome e CPF de 7,6 milhões de clientes ativos, além de ex-clientes, e é um dos maiores incidentes de dados do ano no Brasil. A empresa diz que senhas, dados bancários e saldos não foram afetados, notificou a ANPD dentro do prazo e contratou uma perícia, mas ainda não revelou quem atacou nem como.

Para quem é cliente, o cuidado depois do vazamento da Caixa é com os golpes: ninguém legítimo vai pedir senha, código ou Pix por causa do vazamento. Para quem tem empresa, a pergunta é mais incômoda: se acontecesse hoje com você, conseguiria dizer em seis dias o que foi levado? Se a resposta é não, fale com a gente sobre consultoria em segurança.

Fontes: comunicado da Caixa Seguridade divulgado pela Agência Brasil / Diario de Pernambuco, cobertura da ISTOÉ e Lei nº 13.709/2018 (LGPD). Post atualizado em 13/11/2026.