TCU manda INSS reforçar segurança após vazamento de dados

O TCU (Tribunal de Contas da União) determinou ao INSS (Instituto Nacional do Seguro Social) que adote medidas de segurança após o vazamento de milhões de dados de aposentados, pensionistas e demais beneficiários do órgão.

A decisão foi tomada em julgamento na corte em 16 de setembro, após processo de auditoria do órgão que durou mais de um ano. A denúncia chegou à corte em 2025 e refere-se a um episódio do ano anterior no qual houve acesso a “milhões de dados de usuários”.

A falha resultou na remoção de 2.163 credenciais ativas de pessoas que tinham acesso ao Suíbe (Sistema Integrado de Benefícios) e passaram a ser bloqueadas.

O tribunal decidiu que o INSS deve adotar as medidas necessárias para gerenciar os riscos relacionados à desativação ou remoção de usuários com acesso ao Suíbe, especialmente nos casos de acesso externo, ou seja, pessoas que não são servidores concursados.

Além disso, é preciso que seja feita a revisão periódica dos acessos de usuários internos e dos externos, para garantir as identidades de quem está acessando, e realizar remoções automáticas em casos de falhas ou suspeitas.

Outra recomendação foi para que o instituto tenha uma forma de operacionalizar o controle do sistema sem precisar da Dataprev (empresa de tecnologia da Previdência Social). O motivo é que a Dataprev é a responsável por todos os dados da Previdência e pela implantação e controle da tecnologia e, para ter acesso a qualquer movimentação feita por ela, há uma burocracia, que envolve o envio de ofícios e prazos.

Após o INSS realizar todas as determinações, o processo será arquivado.

• Leia também: INSS paga benefícios de setembro a partir desta quinta (24); veja quem recebe

Em seu voto, o ministro Benjamin Zymler, relator do caso, destacou também que a troca de gestão constante no instituto dificulta medidas de segurança da informação, pois quando isso ocorre, há substituição no setor de tecnologia da informação.

Segundo relatório produzido pelo TCU, entre 2019 e 2026, foram seis presidentes no cargo.

“A equipe de auditoria também identificou a rotatividade nos cargos de gestão. […]. A constante instabilidade na liderança impacta o patrocínio institucional e a continuidade das diretrizes estratégicas. Essa descontinuidade administrativa prejudica a execução do planejamento tecnológico de longo prazo”, disse ele.

Presidente – Início – Término – Dias no Cargo

• Renato Rodrigues Vieira – 15/01/2019 – 28/01/2020 – 378
• Leonardo José Rolim Guimarães – 28/01/2020 – 04/11/2021 – 646
• José Carlos Oliveira – 04/11/2021 – 30/03/2022 – 146
• Guilherme Gastaldello Pinheiro Serrano – 30/03/2022 – 01/02/2023 – 308
• Glauco André Fonseca Wamburg – 01/02/2023 – 04/07/2023 – 153
• Alessandro Antonio Stefanutto – 04/07/2023 – 23/04/2025 – 659
• Gilberto Waller Júnior – 30/04/2025 – 13/04/2026 – 348

Em abril de 2026, houve nova falha de segurança na plataforma digital que permitiu o vazamento de dados de milhares de segurados do órgão. O incidente foi comunicado à ANPD (Agência Nacional de Proteção de Dados), e só veio a público em julho, após reportagem da Folha de S. Paulo.

O INSS não informou o número exato de segurados que tiveram suas informações expostas. Em nota, o órgão afirmou na ocasião que 97% dos dados expostos se referiam a cidadãos falecidos e que os casos envolvendo segurados sem registro de óbito (ou seja, vivos) ficaram em cerca de 50 mil, menos de 3% do total.

A partir desses números, é possível calcular que o vazamento alcançou até 1,666 milhão de segurados. Técnicos ouvidos sob reserva falam em exposição indevida de dados de aproximadamente 2 milhões.

A falha ocorria quando um terceiro tentava apresentar, em nome do segurado, um pedido de benefício, como aposentadoria, pensão por morte ou auxílio-reclusão (pago a dependentes de segurados de baixa renda que estão presos em regime fechado).

Ao digitar o CPF do beneficiário, o sistema exibia outras informações do cadastro, como nome completo e data de nascimento. Em alguns casos, era possível até mesmo visualizar o histórico de empregos, com data de início e fim de cada um.

Posicionamento conjunto da Dataprev e do INSS

“O INSS já apresentou plano de ação em conformidade com as recomendações do TCU. Em parceria com a Dataprev, o Instituto trabalha continuamente no aprimoramento dos mecanismos de gestão, monitoramento e segurança dos sistemas que suportam os serviços previdenciários.

A Dataprev mantém monitoramento contínuo de seus ambientes, 24 horas por dia, sete dias por semana, e realiza análise permanente de eventos de segurança da informação. A estatal esclarece ainda que não houve quebra de segurança tecnológica em seus sistemas. Em atenção ao Sistema Único de Informações de Benefícios (SUIBE), foram ampliadas as restrições de acessos dos usuários.

A Instrução Normativa nº 213, de 17 de agosto de 2026, regulamenta o uso de meio alternativo à biometria para a contratação de empréstimos consignados por beneficiários do INSS que não possuam biometria facial registrada nas bases governamentais, o que era um fator excludente de direito e não de segurança. A medida busca contemplar milhões de beneficiários impossibilitados de realizar biometria por conta da suspensão do serviço no período eleitoral ou porque possuem características ou condições físicas que dificultam ou impedem o reconhecimento facial.

Nesses casos, o segurado poderá autorizar a operação pelo aplicativo Meu INSS, com acesso por meio de dados bancários. O empréstimo consignado somente será efetivado após a instituição financeira enviar a documentação exigida. Nos casos de portabilidade, o beneficiário deverá assinar um termo de autorização no aplicativo Meu INSS. A medida garante que a portabilidade só ocorra se houver autorização do titular do benefício.

O INSS e a Dataprev reafirmam o compromisso com a proteção dos dados pessoais dos cidadãos, a segurança da informação e o aprimoramento contínuo de seus controles e dos serviços previdenciários”.

Conteúdo distribuído por Folhapress