Resumo
- A Neon confirmou que dados como nome, CPF, email, telefone e nomes dos pais foram acessados por meio da credencial de um parceiro comercial.
- O banco afirmou que dados financeiros não foram comprometidos e que nenhuma ação é necessária por parte dos clientes.
- Um hacker alegou ter mais informações, incluindo saldo em conta e renda, mas a Neon declarou não ter identificado a divulgação pública dos dados.
A Neon voltou a se comunicar com clientes impactados pelo roubo de dados neste fim de semana. No sábado (15/02), consumidores receberam um longo email no qual o banco lista quais informações pessoais podem ter sido alvo do incidente de segurança detectado no dia 9. Além disso, a Neon revela que o problema de segurança se deve ao acesso não autorizado de alguém com o login de um parceiro comercial.
Diz o texto: “A Neon verificou que o acesso e a cópia ocorreram por meio da exploração da credencial de sistema interno atribuída a parceiro, com a utilização de técnicas avançadas.” O banco digital não fornece detalhes sobre o parceiro nem especifica quais providências foram tomadas, embora afirme que adotou as medidas necessárias “para impedir novos acessos indevidos”.
Cabe lembrar que estamos falando de um dos maiores bancos do país. A Neon ocupa a 13ª posição no ranking do Banco Central, com 25,1 milhões de clientes. Ela está imediatamente atrás do C6 Bank e do BTG Pactual/Banco Pan, e à frente do 99 Pay e da Ame Digital.
Quais dados foram copiados sem autorização?
No email para um consumidor específico, a Neon diz que o acesso não autorizado resultou na potencial cópia das seguintes informações:
- Nome
- CPF
- Telefone
- Nome do pai
- Nome da mãe
O banco se antecipa ao explicar que, sob a ótica da Lei Geral de Proteção de Dados, tais informações são classificadas como não sensíveis. A Neon tem razão: a LGPD considera como sensíveis os dados que revelem origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dados de saúde, vida sexual, dados genéticos ou biométricos (vide a encrenca com a World ID).
A Neon destaca que “seus dados financeiros não foram acessados e que os fatos ocorridos não permitem acesso às suas contas bancárias e nem possibilitam a realização de transações”. Mais abaixo, ainda diz que não é necessário tomar nenhuma ação.
O que diz o hacker da Neon?
Cabe lembrar que um suposto hacker anunciou o roubo de pacotes de dados da Neon num fórum online, conforme observado pelo TecMundo. Lá haveria mais informações, como o saldo em conta e a renda do consumidor. O comunicado oficial da Neon não reconhece as alegações e diz que até o momento “não identificou a divulgação pública dos dados pessoais impactados”.
Quando perguntada pelo Tecnoblog, a Neon também não confirmou se estava em contato com o hacker e se havia aceitado uma proposta de pagar um valor milionário como recompensa pela descoberta de uma suposta falha em seus sistemas internos (o chamado bug bounty no jargão técnico).