O recente vazamento de dados da XP Investimentos, provocado por uma falha de segurança em um fornecedor terceirizado, expôs um ponto crítico e frequentemente negligenciado pelas empresas: a vulnerabilidade da cadeia de fornecedores na proteção de informações sensíveis. No caso da XP, uma base de dados hospedada em um parceiro foi invadida e informações pessoais e financeiras de clientes — incluindo nomes, e-mails, telefones, saldos e limites de crédito — foram comprometidas, resultando em impactos jurídicos, financeiros e reputacionais relevantes.
CONTEÚDO RELACIONADO: Segurança digital: as senhas já não são suficientes, alerta a iProov
De acordo com a Lei Geral de Proteção de Dados (LGPD), a responsabilidade legal pela proteção das informações pessoais permanece com o controlador, mesmo quando o incidente ocorre em um parceiro terceirizado. Cumprindo o protocolo da lei, a XP enviou um comunicado aos clientes afetados, no qual diz ter bloqueado o acesso não autorizado à base de dados e informou que nenhum sistema seu foi invadido, garantindo que as contas de seus clientes estavam seguras.
Ainda segundo a empresa, não há riscos de invasão de contas pois dados como senhas e biometria não foram vazados. No entanto, a XP ressalta que criminosos podem usar as informações pessoais vazadas para tentar aplicar golpes, por isso recomenda que o cliente sempre desconfie de ligações ou outros contatos de pessoas se passando pela XP.
Setor financeiro precisa se proteger melhor
Considerando que o setor financeiro está entre os mais visados por ciberataques, que registraram um aumento de 38% em 2023, segundo a Agência Nacional de Proteção de Dados (ANPD), a segurança da informação precisa se integrar à gestão estratégica das organizações. A LGPD prevê sanções que incluem multas de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração), além da possibilidade de ações judiciais e impactos à reputação institucional.
O caso da XP evidencia como falhas em fornecedores podem comprometer dados altamente sensíveis. Nesse contexto, revisar contratos com terceiros, capacitar equipes de forma contínua, adotar medidas técnicas e jurídicas robustas deixam de ser boas práticas e passam a ser pré-requisitos básicos para quem lida com dados pessoais e financeiros diariamente.
“A questão não é mais ‘se’ um incidente vai acontecer, mas ‘quando’. O diferencial está em como a empresa se prepara e reage diante disso. Ter os documentos certos implementados, como um DPA sólido e um plano de resposta a incidentes, pode ser o divisor de águas entre uma crise contida e um desastre institucional”, afirma Lucas Mantovani, sócio da Safie Consultoria Empresarial e especialista em direito empresarial e da tecnologia.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e X (Twitter).
