Pix vulnerável? CNJ corrige falha que expôs 11 milhões de cadastros

O caso foi divulgado oficialmente na noite de quarta-feira (23) pelo Conselho Nacional de Justiça (CNJ), que garantiu que dados sensíveis não foram comprometidos e que o problema já foi corrigido.

Leia mais:

Regras do Pé-de-Meia mudam e 2025 traz novidades

Apple apresenta atualização do iOS 26; saiba todas as novidades

O que foi vazado?

De acordo com o CNJ e o Banco Central, os dados expostos correspondem a informações de natureza puramente cadastral, ou seja, sem potencial de movimentar recursos financeiros ou oferecer acesso a contas bancárias.

Informações expostas:

• Nome da pessoa titular da chave Pix
• Tipo de chave Pix (como CPF, e-mail ou telefone)
• Nome da instituição financeira
• Número da agência
• Número da conta vinculada

Não foram vazados:

• Senhas
• Saldos bancários
• Informações de transações
• Dados sob sigilo bancário

Quando e como ocorreu a falha

Segundo o comunicado oficial, o incidente aconteceu entre os dias 20 e 21 de julho, um domingo e uma segunda-feira, e teve origem em uma vulnerabilidade do Sisbajud, sistema que conecta o Judiciário ao sistema financeiro.

O Sisbajud substituiu o antigo BacenJud e é utilizado por magistrados para solicitar informações financeiras de partes em processos judiciais e para bloquear judicialmente valores em contas bancárias. A falha foi detectada rapidamente e, de acordo com o CNJ, corrigida ainda na segunda-feira (21).

Impacto e abrangência do vazamento

Quantidade de chaves afetadas

O incidente expôs exatamente 11.003.398 chaves Pix, um volume expressivo considerando a popularização do meio de pagamento, que hoje é utilizado por mais de 160 milhões de brasileiros, segundo dados do próprio Banco Central.

Apesar do número elevado, os órgãos envolvidos destacam que o potencial de impacto é considerado baixo, por se tratar apenas de dados cadastrais e não confidenciais.

Natureza da exposição

O vazamento, segundo o CNJ, não representa risco imediato à integridade das contas bancárias dos cidadãos. Entretanto, especialistas em segurança alertam para o risco de uso indevido desses dados em tentativas de golpes de engenharia social, como:

• Falsas comunicações bancárias
• Tentativas de phishing
• Ligação de golpistas se passando por instituições financeiras

Canal de consulta será disponibilizado

Ferramenta oficial de verificação

Para ampliar a transparência, o CNJ informou que irá lançar uma ferramenta digital exclusiva para que os cidadãos possam consultar se suas chaves Pix foram afetadas pelo incidente.

A consulta será disponibilizada no site oficial do CNJ:
🔗 www.cnj.jus.br

Atenção a golpes

O Conselho alertou que não fará qualquer tipo de contato direto com os cidadãos por SMS, e-mail ou telefone. Todo o processo será conduzido exclusivamente pelo portal institucional. A recomendação é clara: desconfie de qualquer mensagem não solicitada que mencione o incidente.

Reação do Banco Central

Transparência e investigação

O Banco Central, que opera o sistema Pix, informou que o vazamento não exige, pela legislação atual, comunicação obrigatória ao público.

No entanto, a autarquia decidiu tornar o incidente público com base no princípio da transparência e disse que tomará todas as medidas cabíveis para apurar responsabilidades.

Além disso, o BC incluirá o episódio em uma seção especial do seu site que lista todos os incidentes e exposições de dados relacionados ao Pix desde sua criação.

O que é o Sisbajud?

Ferramenta do Judiciário

O Sisbajud é uma plataforma que permite aos juízes consultar, bloquear e requisitar informações sobre ativos financeiros de partes envolvidas em processos judiciais.

Desenvolvido em parceria entre o CNJ, o Banco Central e a Receita Federal, o sistema é uma das ferramentas mais utilizadas em execuções judiciais.

Substituto do BacenJud

O sistema foi implementado para substituir o antigo BacenJud e traz uma interface mais moderna e com respostas quase em tempo real às ordens judiciais de bloqueio. É utilizado, principalmente, em ações de cobrança, pensão alimentícia e execução fiscal.

Como a falha pode ter ocorrido?

Embora detalhes técnicos não tenham sido divulgados, especialistas em cibersegurança apontam que o problema pode ter ocorrido em alguma integração indevida entre os bancos de dados do CNJ e do BC, ou falha de autenticação na camada de exposição pública de APIs do sistema.

Especialistas comentam o vazamento

“Não é grave, mas serve de alerta”

Para o professor de direito digital da USP, Rafael Bertol, o caso não representa um vazamento crítico, mas levanta preocupações sobre a governança digital do sistema de Justiça:

“Não houve quebra de sigilo bancário, mas expor dados bancários, ainda que superficiais, sem consentimento, compromete a confiança no sistema”, afirma.

“Reforço na legislação é necessário”

A advogada especialista em proteção de dados, Carla Menezes, defende que incidentes como esse reforçam a necessidade de revisão da LGPD (Lei Geral de Proteção de Dados) para incluir obrigações mais específicas para órgãos públicos:

“O CNJ agiu com transparência, mas há uma lacuna sobre a obrigatoriedade de comunicação ao público. Isso precisa mudar, principalmente em casos que envolvam milhões de brasileiros”, diz.

LGPD e responsabilidade dos órgãos públicos

A Lei Geral de Proteção de Dados (LGPD), em vigor desde 2020, determina que controladores de dados — inclusive órgãos públicos — devem garantir a segurança das informações e comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares em caso de incidentes relevantes.

A dúvida, no entanto, está no que é considerado um dado sensível ou relevante, especialmente quando não há senhas, números de cartão ou acesso direto às contas.

Até o momento, o CNJ não foi penalizado, mas a ANPD poderá investigar o caso, avaliar as medidas tomadas e, se entender que houve negligência, aplicar sanções administrativas.

O que o cidadão deve fazer agora

Medidas de precaução recomendadas

Apesar da natureza limitada do vazamento, especialistas sugerem aos cidadãos:

• Monitorar movimentações suspeitas em suas contas
• Redobrar atenção com mensagens bancárias
• Evitar clicar em links suspeitos que peçam dados pessoais
• Verificar o site oficial do CNJ assim que a ferramenta de consulta for lançada

Conclusão

O vazamento de dados de mais de 11 milhões de chaves Pix por meio do sistema Sisbajud, apesar de não envolver informações sensíveis, acende um alerta importante sobre a segurança dos sistemas públicos que lidam com dados bancários.

A rápida correção da falha e a comunicação pública feita pelo CNJ e pelo Banco Central demonstram um compromisso com a transparência e a responsabilidade institucional.

Ainda assim, o episódio reforça a necessidade de avançar na proteção de dados dos cidadãos e revisar protocolos de segurança digital em sistemas governamentais.

Os usuários do Pix devem permanecer atentos, adotar cuidados básicos de segurança digital e aguardar a disponibilização do canal de consulta para confirmar se foram afetados.

Para informações oficiais, acesse:
🔗 www.cnj.jus.br