Caixa Vida e Previdência sofre ataque hacker e expõe CPF de 7,6 milhões

A Caixa Vida e Previdência (CVP), seguradora e empresa de previdência do grupo Caixa, sofreu um ataque hacker e um vazamento de dados: os invasores copiaram nome e CPF de todos os seus 7,6 milhões de clientes ativos, além de dados de ex-clientes. A informação está no comunicado que a controladora Caixa Seguridade (CXSE3) enviou à CVM nesta quinta-feira (12). Segundo a empresa, a análise feita até agora não encontrou sinal de que senhas, saldos de previdência ou dados bancários tenham sido levados.

Quem contratou seguro de vida, seguro prestamista ou plano PGBL/VGBL na agência ou no app da Caixa pode estar nessa base. Para essas pessoas, o risco imediato não é perder o dinheiro guardado. É receber, nas próximas semanas, uma ligação ou mensagem de um falso atendente que já sabe o nome completo, o CPF e às vezes o endereço da vítima.

O comunicado é assinado por Edgar Vieira Soares, diretor de Finanças e Relações com Investidores da Caixa Seguridade. A empresa diz que vai informar ao mercado qualquer novo desdobramento relevante.

Nome e CPF de 7,6 milhões vazaram; parte da base inclui telefone e endereço

A linha do tempo descrita pela Caixa Seguridade tem três datas. A CVP identificou o ataque na sexta-feira, 6 de novembro: alguém havia acessado seu ambiente tecnológico sem autorização e copiado dados pessoais e cadastrais para fora dele. Na quarta-feira, 11, comunicou o caso à Autoridade Nacional de Proteção de Dados (ANPD), às demais autoridades competentes e aos titulares afetados, como manda a Lei Geral de Proteção de Dados (LGPD). O mercado só soube na quinta, 12, seis dias depois da descoberta.

Segundo o comunicado, as análises confirmaram a exposição de nomes e CPFs. Em parte dos registros, saíram também endereço, telefone, e-mail e data de nascimento. A empresa não informou quantos registros têm esses campos extras, nem quantos ex-clientes estão na base, nem de que período ela é. O número de 7,6 milhões corresponde à totalidade da carteira ativa da CVP: não houve recorte.

É vazamento de dados no sentido estrito: informação pessoal que saiu do controle de quem deveria guardá-la. A empresa não disse como os invasores entraram, se houve pedido de resgate nem se algum grupo reivindicou o ataque. Também não há confirmação de que a base esteja à venda: a CVP afirma apenas que monitora a internet para verificar se os dados aparecem publicados.

Senhas e saldos de previdência: sem indício de vazamento, por enquanto

De acordo com a Caixa Seguridade, a apuração preliminar não encontrou indícios de comprometimento de dados financeiros ou de autenticação, categoria que inclui valores de apólices, saldos de previdência, dados bancários e senhas.

A formulação merece leitura atenta. "Sem indícios até o momento" não é o mesmo que "confirmado que não houve". A própria CVP contratou uma consultoria externa de perícia forense para apurar a origem, a extensão e os impactos do incidente e a apuração ainda não terminou. Até lá, a lista de dados expostos pode crescer.

Depois de identificar o ataque, a empresa diz ter bloqueado os mecanismos usados pelos invasores e adotado medidas adicionais de proteção, sem detalhar quais. Os titulares que tiveram celular ou e-mail expostos, além de pessoas de grupos vulneráveis, estão sendo avisados com orientações para reduzir o risco de fraude. A CVP também abriu um canal de atendimento por e-mail para dúvidas de clientes; o endereço não aparece no comunicado reproduzido pela imprensa. Na prática, quem não teve telefone nem e-mail vazado pode não receber aviso nenhum.

Muita gente é cliente da Caixa Vida e Previdência sem saber

A CVP vende previdência privada complementar, seguro de vida e seguro prestamista, aquele que quita a dívida se o titular morrer ou ficar inválido. Ela começou a operar em 14 de março de 2000 e hoje pertence à Holding XS1, sociedade em que a Caixa Seguridade tem 60% do capital e a francesa CNP Assurances é a parceira, segundo o site de relações com investidores da Caixa Seguridade. A carteira de previdência da empresa soma cerca de R$ 200 bilhões em reservas, o que torna seus clientes, em geral gente com poupança de longo prazo, um alvo atraente para golpistas.

O seguro prestamista explica por que tanta gente nem lembra que tem contrato com a CVP. Ele costuma ser oferecido junto com empréstimo consignado e financiamento, e virou tema recorrente na Justiça. Em fevereiro de 2026, a 4ª Vara Cível de Maceió condenou a Caixa Seguradora e a CVP a pagar R$ 3 mil de danos morais a uma correntista que descobriu no extrato do app uma cobrança de R$ 909,22 de um seguro "dívida zero" que dizia não ter contratado ao pegar um consignado. Quem já fez empréstimo ou financiamento na Caixa tem boa chance de estar entre os 7,6 milhões.

Caixa Tem, consulta e indenização: o que se sabe do vazamento

O ataque atingiu a CVP, empresa separada da Caixa Econômica Federal. Não há nenhuma indicação, no comunicado, de que o app da Caixa, as contas correntes ou o Caixa Tem tenham sido afetados. Vazamentos anteriores ligados ao banco são episódios diferentes e não têm relação com este.

Também não existe, até agora, uma consulta pública para saber se o seu CPF está na base. A empresa diz que avisa os afetados diretamente. A LGPD prevê reparação quando o vazamento causa dano ao titular, mas não há nenhum valor de indenização definido para este caso, nem decisão da ANPD. Quem prometer indenização garantida por causa deste vazamento, cobrando taxa ou pedindo dados, provavelmente está aplicando golpe.

Como se proteger de golpes após o vazamento de dados da CVP

Nome, CPF, telefone e data de nascimento bastam para montar o golpe da falsa central: o criminoso liga, confirma os dados para ganhar confiança e pede um código, uma transferência ou um "resgate" da previdência. Os avisos divulgados lembram que o banco não pede senhas por WhatsApp nem por telefone. Para quem tem ou teve produto da CVP, o mais útil agora:

• Desconfie de contato que cite seu CPF ou seu plano de previdência; desligue e procure a Caixa pelos canais oficiais do app ou do site.
• Não clique em links de supostos avisos sobre o vazamento recebidos por SMS, e-mail ou WhatsApp, porque o próprio comunicado da CVP pode ser imitado.
• Ative a verificação em duas etapas no WhatsApp e nunca repasse códigos recebidos por SMS.
• Consulte no Registrato, do Banco Central, se algum empréstimo ou conta foi aberto no seu CPF.

O próximo passo depende da perícia forense, que vai dizer como o ataque aconteceu e se a lista de dados expostos fica só no cadastro. A Caixa Seguridade não deu prazo para o resultado, e a ANPD ainda não se manifestou sobre o caso.