TCU manda INSS reforçar segurança após vazamento de dados

SÃO PAULO, SP (JORNAL DA TARDE) – O TCU (Tribunal de Contas da União) determinou ao INSS (Instituto Nacional do Seguro Social) que adote medidas de segurança após o vazamento de milhões de dados de aposentados, pensionistas e demais beneficiários do órgão.

A decisão foi tomada em julgamento na corte em 16 de setembro, após processo de auditoria do órgão que durou mais de um ano. A denúncia chegou à corte em 2025 e refere-se a um episódio do ano anterior no qual houve acesso a “milhões de dados de usuários”.

Procurados às 12h45, INSS e Dataprev ainda não se manifestaram.

A falha resultou na remoção de 2.163 credenciais ativas de pessoas que tinham acessos ao Suíbe (Sistema Integrado de Benefícios) e passaram a ser bloqueadas.

O tribunal decidiu que o INSS deve adotar as medidas necessárias para gerenciar os riscos relacionados à desativação ou remoção de usuários com acesso ao Suíbe, especialmente nos casos de acesso externo, ou seja, pessoas que não são servidores concursados.

Além disso, é preciso que se faça a revisão periódica dos acessos de usuários internos -e dos externos-, para garantir as identidades de quem está acessando, e realizar remoções automáticas em casos de falhas ou suspeitas.

Outra recomendação foi para que o instituto tenha uma forma de operacionalizar o controle do sistema sem precisar da Dataprev (empresa de tecnologia da Previdência Social). O motivo é que a Dataprev é a responsável por todos os dados da Previdência e pela implantação e controle da tecnologia e, para ter acesso a qualquer movimentação feita por ela, há uma burocracia, que envolve o envio de ofícios e prazos.

Após o INSS realizar todas as determinações, o processo será arquivado.

Em seu voto, o ministro Benjamin Zymler, relator do caso, destacou também que a troca de gestão constante no instituto dificulta medidas de segurança da informação, pois quando isso ocorre, há substituição no setor de tecnologia da informação.

Segundo relatório produzido pelo TCU, entre 2019 e 2026, foram seis presidentes no cargo.

“A equipe de auditoria também identificou a rotatividade nos cargos de gestão. […]. A constante instabilidade na liderança impacta o patrocínio institucional e a continuidade das diretrizes estratégicas. Essa descontinuidade administrativa prejudica a execução do planejamento tecnológico de longo prazo”, disse ele.

PRESIDENTE – INÍCIO – TÉRMINO – DIAS NO CARGO

• Renato Rodrigues Vieira – 15/01/2019 – 28/01/2020 – 378
• Leonardo José Rolim Guimarães – 28/01/2020 – 04/11/2021 – 646
• José Carlos Oliveira – 04/11/2021 – 30/03/2022 – 146
• Guilherme Gastaldello Pinheiro Serrano – 30/03/2022 – 01/02/2023 – 308
• Glauco André Fonseca Wamburg – 01/02/2023 – 04/07/2023 – 153
• Alessandro Antonio Stefanutto – 04/07/2023 – 23/04/2025 – 659
• Gilberto Waller Júnior – 30/04/2025 – 13/04/2026 – 348

Fonte: TCU (Tribunal de Contas da União)

Em abril de 2026, houve nova falha de segurança na plataforma digital que permitiu o vazamento de dados de milhares de segurados do órgão. O incidente foi comunicado à ANPD (Agência Nacional de Proteção de Dados), e só veio a público em julho, após reportagem da Folha de S. Paulo.

O INSS não informou o número exato de segurados que tiveram suas informações expostas. Em nota, o órgão afirmou na ocasião que 97% dos dados expostos se referiam a cidadãos falecidos e que os casos envolvendo segurados sem registro de óbito (ou seja, vivos) ficaram em cerca de 50 mil, menos de 3% do total.

A partir desses números, é possível calcular que o vazamento alcançou até 1,666 milhão de segurados. Técnicos ouvidos sob reserva falam em exposição indevida de dados de aproximadamente 2 milhões.

A falha ocorria quando um terceiro tentava apresentar, em nome do segurado, um pedido de benefício, como aposentadoria, pensão por morte ou auxílio-reclusão (pago a dependentes de segurados de baixa renda que estão presos em regime fechado).

Ao digitar o CPF do beneficiário, o sistema exibia outras informações do cadastro, como nome completo e data de nascimento. Em alguns casos, era possível até mesmo visualizar o histórico de empregos, com data de início e fim de cada um.