Incidente envolvendo o FGC compromete a confidencialidade de informações pessoais e financeiras. Casos registrados em 2026 no Brasil, Reino Unido, Índia e em fintechs internacionais evidenciam a crescente exposição do setor bancário a falhas de segurança, ataques cibernéticos e fraudes digitais.
O Fundo Garantidor de Créditos (FGC), entidade responsável por assegurar depósitos e determinados investimentos mantidos em instituições financeiras brasileiras, confirmou, em 5 de novembro de 2026, ter identificado um incidente de segurança que permitiu o acesso não autorizado a dados pessoais de investidores.
A suspeita foi detectada em 26 de outubro, quando a instituição iniciou procedimentos de contenção, bloqueio de acessos indevidos e preservação de evidências digitais para investigação.
O episódio atinge uma das estruturas mais importantes de proteção aos investidores brasileiros e ocorre em um ano marcado por sucessivas exposições de informações bancárias, tanto no Brasil quanto no exterior.
Embora o FGC tenha confirmado o acesso indevido, a entidade afirma que, até o momento, não existem evidências de divulgação pública ou utilização fraudulenta das informações, tampouco foram identificadas perdas financeiras decorrentes do incidente.
A investigação continua para determinar se os dados foram efetivamente copiados ou transferidos para ambientes externos.
Quais informações dos investidores foram comprometidas?
Segundo o comunicado oficial, o incidente envolveu ambientes tecnológicos relacionados aos processos internos de pagamento de garantias.
Entre as informações potencialmente expostas estão:
- Nome completo, CPF, endereço de e-mail e data de nascimento;
- Informações relativas aos tributos retidos nos pagamentos de garantias;
- Identificação do canal de distribuição pelo qual o investimento garantido foi contratado na instituição financeira liquidada.
A instituição não divulgou a quantidade de pessoas afetadas nem esclareceu publicamente o mecanismo técnico utilizado para obter o acesso indevido.
Também não foram apresentados detalhes sobre eventual exploração de vulnerabilidades, comprometimento de credenciais, participação de terceiros ou movimentação lateral dentro da infraestrutura tecnológica.
O FGC informou que adotou medidas para restringir acessos aos ambientes envolvidos, desabilitar contas indevidas, revisar permissões e reforçar mecanismos de monitoramento.
A Agência Nacional de Proteção de Dados (ANPD) foi comunicada, e os titulares afetados receberam notificações individuais.
A ausência de confirmação de uso criminoso dos dados, entretanto, não elimina os riscos. Informações aparentemente cadastrais podem ser combinadas com outros registros para produzir golpes de engenharia social altamente direcionados.
Brasil registra sucessivos incidentes envolvendo dados bancários e chaves Pix em 2026
O caso do FGC não é isolado. Durante 2026, o Banco Central do Brasil registrou diferentes ocorrências envolvendo a exposição de dados pessoais vinculados a chaves Pix.
Os registros oficiais demonstram que falhas de segurança continuam afetando instituições financeiras, empresas de crédito e outros organismos com acesso a informações do sistema de pagamentos.
Agibank: mais de 5 mil chaves Pix envolvidas
Em fevereiro de 2026, o Banco Central divulgou incidente envolvendo o Banco Agibank, com exposição de informações cadastrais vinculadas a mais de 5 mil chaves Pix.
Os registros incluíam nomes, CPFs parcialmente mascarados, instituições de relacionamento e dados de agências e contas bancárias.
A autoridade monetária esclareceu que senhas, saldos e históricos de movimentações financeiras não foram expostos.
Pefisa: mais de 28 mil chaves Pix afetadas
Outro incidente envolveu a Pefisa S.A. – Crédito, Financiamento e Investimento.
De acordo com o registro público do Banco Central, foram potencialmente expostos dados cadastrais vinculados a 28.203 chaves Pix, em ocorrência compreendida entre agosto de 2025 e fevereiro de 2026.
Entre as informações estavam identificação dos titulares, CPF, dados de contas e datas relacionadas ao registro das chaves.
O Banco Central esclareceu que os dados expostos não permitiam movimentação direta de recursos.
Credifit: exposição de dados em abril
Entre 26 e 28 de abril, a Credifit Sociedade de Crédito Direto também registrou incidente relacionado a dados de chaves Pix.
A ocorrência envolveu 46 chaves e informações como CPF, instituição de relacionamento, número e tipo de conta e datas de cadastro.
Embora o volume tenha sido reduzido em comparação com outros episódios, o caso reforçou a recorrência de falhas envolvendo informações mantidas por instituições participantes do ecossistema financeiro.
O risco ultrapassa os bancos
Em outro episódio registrado em abril, dados vinculados a 828 chaves Pix foram expostos em incidente relacionado à Polícia Civil do Maranhão.
A ocorrência ilustra uma característica relevante do sistema financeiro digital: informações bancárias podem circular por diferentes instituições, plataformas e órgãos autorizados.
Consequentemente, a segurança dessas informações depende não apenas das instituições bancárias, mas também da proteção de todos os ambientes que legitimamente as processam.
Reino Unido: falha tecnológica expõe dados de quase 448 mil clientes bancários
Em março de 2026, o Lloyds Banking Group, um dos maiores conglomerados financeiros britânicos, enfrentou um incidente que expôs informações de até 447.936 clientes.
A ocorrência envolveu usuários do Lloyds Bank, Halifax e Bank of Scotland.
Diferentemente de uma invasão externa, o incidente foi provocado por um defeito de software introduzido durante uma atualização tecnológica.
A falha permitiu que determinados clientes visualizassem transações pertencentes a outros correntistas.
Segundo informações apresentadas ao Comitê do Tesouro do Parlamento britânico, aproximadamente 114 mil usuários chegaram a selecionar transações de terceiros, potencialmente acessando detalhes adicionais, como identificadores bancários, referências de pagamentos e números de identificação nacional.
O caso demonstra que um vazamento de dados não depende necessariamente de um ataque hacker. Erros de programação, falhas de isolamento entre contas e problemas introduzidos durante atualizações também podem comprometer a confidencialidade de informações financeiras.
Na divulgação de março, o banco informou que não havia identificado perdas financeiras decorrentes do episódio, embora tivesse realizado pagamentos compensatórios a milhares de clientes.
Índia: Bank of Baroda sofre comprometimento e enfrenta divulgação de dados na dark web
Em julho de 2026, o Bank of Baroda, instituição financeira estatal da Índia, confirmou um incidente de segurança envolvendo acesso não autorizado por meio de uma conta de e-mail corporativa comprometida.
Segundo informações divulgadas pela Reuters, arquivos associados à instituição apareceram em um ambiente da dark web, incluindo documentos internos e informações de clientes.
O conjunto anunciado pelos responsáveis pela divulgação ultrapassaria 700 gigabytes, embora a dimensão exata do material efetivamente comprometido não tenha sido confirmada de maneira independente.
Entre os documentos supostamente envolvidos estavam registros de identificação, contratos e documentos de empréstimos, além de informações administrativas e de auditoria.
O banco afirmou ter contido o incidente e iniciado uma investigação forense, esclarecendo que seus sistemas bancários centrais não haviam sido comprometidos.
O episódio evidencia como o acesso a uma única conta corporativa pode representar uma porta de entrada para informações confidenciais, dependendo das permissões disponíveis e da arquitetura de segurança adotada.
Revolut: criminosos utilizam solicitações governamentais falsas para obter dados financeiros
Em setembro de 2026, a fintech britânica Revolut confirmou um incidente que apresentou uma característica diferente dos ataques tradicionais.
Criminosos utilizaram solicitações fraudulentas encaminhadas a partir de um domínio legítimo de e-mail de uma agência governamental para induzir a empresa a fornecer informações de clientes.
De acordo com a publicação do TechCrunch, o material envolveu dados de identificação e contato, podendo incluir cópias de documentos, fotografias de verificação de identidade, extratos e históricos de transações.
A Revolut informou que um número limitado de clientes foi afetado e que seus sistemas internos e os recursos financeiros dos usuários permaneceram protegidos.
O caso chama atenção para a evolução das técnicas de engenharia social. Em vez de necessariamente explorar uma vulnerabilidade de software, os responsáveis podem manipular procedimentos institucionais de fornecimento de informações e explorar a confiança em comunicações aparentemente oficiais.
Nessas situações, controles de autenticação, validação independente de solicitações e verificação da legitimidade dos requisitantes tornam-se tão importantes quanto ferramentas tradicionais de proteção de redes.
Por que os dados financeiros são tão valiosos para criminosos?
Informações cadastrais e financeiras possuem elevado valor para organizações criminosas porque permitem identificar vítimas, construir perfis e executar fraudes personalizadas.
Um conjunto contendo nome, CPF, data de nascimento, e-mail e informações sobre determinado investimento pode ser utilizado para produzir mensagens convincentes, principalmente quando o criminoso conhece o contexto financeiro da vítima.
No caso do FGC, dados referentes a pagamentos de garantias podem ser especialmente úteis para tentativas de fraude.
Um criminoso que disponha dessas informações pode tentar se passar por representante da instituição, mencionar investimentos reais e convencer a vítima de que precisa realizar algum procedimento adicional para liberar valores.
Entre os possíveis riscos estão o phishing direcionado, a falsificação de identidade, a tentativa de obtenção de credenciais bancárias e a indução a transferências financeiras.
É importante destacar que esses são riscos potenciais associados à exposição de informações, e não evidências de que tais práticas tenham ocorrido especificamente no incidente do FGC.
Segurança financeira exige mais do que proteção contra invasões
Os episódios registrados durante 2026 revelam diferentes modalidades de comprometimento da confidencialidade de dados.
Enquanto alguns incidentes envolvem acessos não autorizados a ambientes corporativos, outros decorrem de falhas de programação, exposição de dados por sistemas integrados ou manipulação de procedimentos internos.
Essa diversidade demonstra que estratégias de proteção baseadas exclusivamente em antivírus, firewalls e monitoramento de redes são insuficientes.
Instituições financeiras precisam combinar controles tecnológicos com medidas de governança e procedimentos operacionais, incluindo autenticação multifator resistente a phishing, revisão periódica de privilégios, segmentação de ambientes, proteção de interfaces de programação (APIs), registro de eventos, testes de segurança e mecanismos de prevenção à exfiltração de dados.
O princípio do menor privilégio também assume papel central: cada usuário, aplicação ou serviço deve possuir somente as permissões estritamente necessárias para desempenhar suas funções.
Outra medida relevante consiste em estabelecer mecanismos capazes de identificar acessos incomuns, consultas em volumes incompatíveis com o comportamento habitual e tentativas de extração de informações.
A investigação desses incidentes também exige preservação adequada de evidências digitais, de modo a permitir a identificação da origem do acesso, a delimitação dos dados atingidos e a reconstrução cronológica das atividades suspeitas.
LGPD e responsabilidade das instituições financeiras
No Brasil, incidentes que envolvem dados pessoais devem ser analisados à luz da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).
O artigo 46 estabelece a necessidade de adoção de medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
Já o artigo 48 trata da comunicação à Autoridade Nacional de Proteção de Dados e aos titulares quando um incidente de segurança puder acarretar risco ou dano relevante.
A Resolução CD/ANPD nº 15/2024 regulamenta a comunicação desses incidentes e estabelece, como regra, prazo de três dias úteis, ressalvadas as disposições específicas aplicáveis.
A identificação de um acesso indevido, por si só, não comprova automaticamente negligência ou descumprimento da legislação. A avaliação depende das circunstâncias do incidente, dos controles existentes, dos riscos envolvidos e das medidas efetivamente adotadas pela organização.
Como investidores podem se proteger após o incidente do FGC
O Fundo Garantidor de Créditos recomenda atenção redobrada a contatos que mencionem informações pessoais ou detalhes sobre pagamentos de garantias.
A entidade esclarece que não solicita senhas, códigos de autenticação, instalação de aplicativos ou pagamento de taxas para liberação de valores.
Quem receber mensagens suspeitas deve evitar acessar links fornecidos por terceiros e consultar diretamente os canais oficiais da instituição.
Também é recomendável manter a autenticação multifator ativada nas contas financeiras, acompanhar movimentações bancárias e desconfiar de solicitações urgentes envolvendo transferências, atualização cadastral ou confirmação de identidade.
O FGC disponibiliza informações oficiais sobre o incidente e orientações de segurança em seu próprio site.
Um alerta para todo o sistema financeiro
O incidente envolvendo o Fundo Garantidor de Créditos acrescenta mais um episódio ao histórico de exposições de dados que atingiram o setor financeiro em 2026.
Os casos brasileiros e internacionais demonstram que o comprometimento de informações pode ocorrer tanto por ação criminosa direta quanto por falhas tecnológicas e deficiências nos procedimentos de controle de acesso.
Também evidenciam que a inexistência de perdas financeiras imediatas não significa ausência de consequências para os titulares.
Dados pessoais expostos podem continuar úteis para fraudadores por longos períodos, especialmente quando combinados com informações obtidas em outros incidentes.
Para o setor financeiro, proteger o dinheiro dos clientes já não é suficiente. É igualmente necessário assegurar que as informações utilizadas para identificar, autenticar e relacionar esses clientes permaneçam protegidas durante todo o seu ciclo de vida.
O caso do FGC reforça uma constatação cada vez mais importante na economia digital: a confiança no sistema financeiro depende não apenas da capacidade das instituições de honrar suas obrigações, mas também de sua competência para proteger os dados de quem confia nelas.
