Milhões de beneficiários do Instituto Nacional do Seguro Social (INSS) tiveram seus dados sigilosos expostos a usuários externos, que puderam acessar as informações sem o devido controle do órgão.
A descoberta levou ao desligamento do Sistema Único de Informações de Benefícios (Suibe) no início de maio e paralisou a produção de estatísticas da Previdência Social.
A vulnerabilidade do sistema foi confirmada à Folha pelo presidente do INSS, Alessandro Stefanutto.
Segundo ele, o instituto acumulou um estoque de centenas de senhas — o órgão não divulgou o número exato — concedidas a usuários externos ao longo das últimas décadas e nunca revisou a autorização desses acessos.
O Suibe não permite conceder novos benefícios, mas contém informações de todos aqueles já deferidos, inclusive dados cadastrais dos beneficiários, espécie do benefício (se é uma aposentadoria ou auxílio-doença, por exemplo), valor devido e data de concessão, entre outros.
O sistema é uma das principais fontes de dados para a produção do Boletim Estatístico da Previdência Social, relatório mensal detalhado das concessões e emissões de benefícios pagos pelo INSS. A edição mais recente disponível é de fevereiro de 2024.
Nas mãos de criminosos, esse repositório se converte em um ativo valioso para direcionar potenciais ações fraudulentas.
O INSS diz não ter provas concretas de que houve vazamento de dados do Suibe, mas o órgão acumula um histórico de reclamações de segurados que souberam da concessão do benefício por meio de terceiros.
Há relatos de instituições que entram em contato para oferecer produtos financeiros, como empréstimo consignado, antes mesmo de o beneficiário receber do INSS o comunicado oficial sobre a concessão.
"Uma fonte de vazamento, provavelmente, era lá, porque as pessoas roubam a senha dos outros. Alguém também decidiu ceder ao crime organizado. Daí vende isso para as financeiras, provavelmente. Por isso o cara liga para vender empréstimo consignado. Arranjou o telefone, arranjou tudo, porque lá tem dados cadastrais das pessoas", afirma Stefanutto.
Segundo o presidente do INSS, o órgão não tem controle sobre quais informações e de quais beneficiários os usuários externos acessaram. O monitoramento é feito pelo volume de dados extraídos. Quando esse volume é muito elevado, o sistema dispara um alerta, e o endereço IP é bloqueado.
Ainda de acordo com Stefanutto, o acesso ao Suibe já foi restabelecido sob novas regras, que exigem acesso com VPN e uso de certificado digital emitido pelo Serpro, empresa de tecnologia do governo federal.
O número de senhas também está restrito: foram autorizados 11 acessos, requeridos por cinco órgãos.
"Se o ministério precisar, vamos fazer um procedimento formal e vai ficar guardado digitalmente. Aí eu tenho o controle e o compromisso do ministério de que, se a pessoa sair, não pode derrubar só as senhas internas. [Vai ter que derrubar] As senhas externas também", diz.
O presidente do INSS afirma ainda ter atuado para corrigir outras vulnerabilidades, como a possibilidade de servidores do órgão acessarem o sistema de concessão de benefícios apenas com usuário e senha. A instituição também passou a cobrar o uso do certificado digital.
Fonte: Folha de S Paulo
