A XP Investimentos, uma das maiores corretoras do país, confirmou um acesso não autorizado a dados de clientes em março de 2025. Embora a empresa afirme que nenhum sistema interno foi comprometido, os dados expostos incluem informações pessoais e financeiras sensíveis.
O que aconteceu?
Em 22 de março de 2025, a XP detectou um acesso indevido a uma base de dados externa, contendo informações como:
- Nome, telefone, e-mail, data de nascimento, CEP, estado civil, gênero, cargo e nacionalidade;
- Número da conta na XP, saldo, posição, nome do assessor e limite de crédito.
A empresa afirma que senhas, assinaturas eletrônicas, tokens, credenciais de acesso e dados que permitam transações financeiras não foram comprometidos.
Medidas adotadas pela XP
Segundo a corretora, as seguintes ações foram tomadas:
- Bloqueio imediato do acesso não autorizado;
- Notificação às autoridades competentes;
- Início de uma investigação interna para apurar o incidente.
A XP também orientou seus clientes a desconfiarem de contatos suspeitos e reforçou que não solicita senhas ou códigos por telefone, e-mail ou SMS.
O que diz a LGPD?
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece que o controlador de dados é responsável por adotar medidas de segurança para proteger os dados pessoais contra acessos não autorizados. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares dos dados em prazo razoável .
Possíveis sanções pela ANPD
A ANPD pode aplicar sanções administrativas em caso de descumprimento da LGPD, incluindo:
Advertência, com indicação de prazo para adoção de medidas corretivas;
- Multa simples, de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração;
- Multa diária, observado o limite total acima;
- Publicização da infração após devidamente apurada e confirmada a sua ocorrência;
- Bloqueio ou eliminação dos dados pessoais envolvidos na infração até a sua regularização;
- Suspensão parcial ou total do funcionamento do banco de dados ou do exercício de atividades relacionadas a tratamento de dados pessoais .
- Responsabilidade da XP
Mesmo que o vazamento tenha ocorrido em um fornecedor externo, a XP, como controladora dos dados, é responsável por garantir a segurança das informações pessoais de seus clientes. A empresa deve demonstrar que adotou medidas técnicas e administrativas adequadas para proteger os dados e que cumpriu com as obrigações de comunicação previstas na LGPD.
