Um ataque cibernético à Caixa Vida e Previdência expôs dados pessoais dos 7,6 milhões de clientes ativos da companhia, além de ex-clientes em número não informado, segundo o comunicado ao mercado divulgado pela Caixa Seguridade em 12 de novembro de 2026. O caso também foi informado à Comissão de Valores Mobiliários.
Foram expostos nomes e CPFs e, em parte dos registros, endereços, telefones, e-mails e datas de nascimento, com variação de uma pessoa para outra. A companhia vende previdência privada, seguro de vida, seguro viagem e seguro contra acidentes pessoais, de modo que o conjunto alcança quem contratou qualquer um desses produtos, mesmo quem já encerrou o contrato.
O incidente não atingiu a Caixa Econômica Federal como banco nem outras subsidiárias do grupo, como a Caixa Cartões e a Caixa Loterias. Com base na apuração preliminar, a empresa afirmou não haver indícios de comprometimento de apólices, saldos de previdência, dados bancários ou senhas, e que não houve impacto ao atendimento nem à continuidade das operações.
O acesso não autorizado ocorreu em 6 de novembro e resultou na cópia de dados pessoais para fora do ambiente tecnológico da companhia. A Caixa Vida e Previdência notificou a Autoridade Nacional de Proteção de Dados, outras autoridades e os titulares afetados em 11 de novembro, conforme a Lei Geral de Proteção de Dados. O comunicado ao mercado veio no dia seguinte.
Depois de identificar e bloquear os mecanismos usados no ataque, a empresa implementou medidas adicionais de proteção e contratou consultoria externa de perícia forense para determinar a origem, a extensão e os impactos do incidente. Entre as providências entrou o monitoramento da internet, para identificar eventual exposição dos dados.
A ANPD colocou sob análise as medidas adotadas, com atenção às relacionadas à transparência e à mitigação de danos aos titulares, e afirmou que poderá acionar a empresa para esclarecimentos. A CVP declarou que os ambientes afetados contavam com controles compatíveis com padrões internacionais antes do ataque.
A companhia declarou que não identificou evidência de que os dados tenham sido divulgados ou usados de modo indevido, e orientou os clientes a desconfiar de contatos inesperados que usem dados pessoais para transmitir confiança. A recomendação é não atender pedidos de pagamento, senha, código de autenticação ou Pix, não clicar em links suspeitos e estranhar abordagens sobre seguros, previdência ou resgates que exijam urgência.
