Exposição indevida? Nubank pode estar expondo o CPF de usuários que não são seus clientes

Basta ter usado o Pix uma vez para que outras pessoas tenham acesso aos dados do utilizador, independente de a chave de acesso ter sido telefone, e-mail ou aleatória. 

Qualquer pessoa que tenha o CPF ou outro dado sigiloso (mesmo e-mail ou telefone celular) vazado pode ser um alvo potencial para golpes digitais. 

É provável que você também goste:

Nubank começa a enviar números da sorte para terceiro sorteio da promo “Tem WOW nesse Pix”

Como ocorre o vazamento de dados do Nubank

Ao abrir a janela de transferência via Pix, os dados dos usuários que já realizaram transações entre si ficam expostos em ordem alfabética. 

Quando o usuário clica em um nome, outra janela com todas as informações bancárias do selecionado aparecem, inclusive o número do CPF. 

O protocolo de outros bancos em relação à proteção de dados de transação via Pix é simples: os comprovantes de transferência ocultam 5 dos 11 dígitos do CPF dos usuários. 

Essa informação é suficiente para confirmar ao usuário que precisará enviar o dinheiro se aquela é a chave correta ou não de quem receberá o valor.  

Entretanto, o problema é que o Nubank apenas realiza esse processo para clientes do próprio banco e, caso o usuário seja cliente de outro banco, suas informações estarão expostas. 

A fintech não se pronunciou sobre o motivo de ocultar os dados de seus clientes, mas expor os de outros usuários. 

Orientações do Banco Central aos bancos que aderiram ao Pix

O Banco Central afirma que a segurança foi uma preocupação desde a criação do sistema Pix, inclusive no que cerne a segurança de dados dos usuários. 

O Banco Central desenvolveu um documento com Requisitos Mínimos para Experiência do Usuário que traz recomendações de detalhes que devem ser adicionados aos aplicativos de bancos e reitera a responsabilidade das instituições ao oferecerem o Pix como alternativa. Mascarar CPFs é uma delas. 

Além disso, o BC estabeleceu quais dados devem ser prestados a ele pelos bancos que escolheram aderir ao Pix: como data, hora, valor, tipo de transação e dados pessoais devem, obrigatoriamente, ser recolhidos pelos bancos, mas isso não os infere o direito de divulgar tais informações a outros usuários. 

Infração do Nubank à Lei Geral de Proteção de Dados (LGPD)

A ação do Nubank fere a Lei Geral de Proteção de Dados (LGDP), que entrou em vigor recentemente e informa sobre o tratamento de dados pessoais no país. 

Basicamente, a LGDP define quais dados podem ou não ser coletados e/ou utilizados. Outra indicação da lei é que, para que as informações sejam usadas, a utilização deve ser consentida, de legítimo interesse ou necessária. 

No caso do Nubank, a exposição de dados não parece cumprir nenhum desses requisitos. 

O banco pode ser penalizado a pagar multas entre R$ 50 mil, R$ 100 mil ou R$ 1 milhão, ser suspenso temporariamente ou perder a capacidade de disponibilizar transações via Pix caso não cumpra com suas obrigações, de acordo com o Manual de Penalidades do Pix, criado pelo Banco Central.

Enfim, quer ficar por dentro de tudo o que acontece no mundo das finanças?

Então é só seguir o Seu Crédito Digital no YouTube, Facebook, Twitter, Instagram e Twitch. Assim você vai acompanhar tudo sobre bancos digitais, cartões de crédito, empréstimos etc. Siga a gente para saber mais!

Imagem: rafapress/shutterstock.com