Banco Central comunica primeiro incidente com chaves Pix em 2026

O Banco Central informou nesta sexta-feira (13) que mais de 5.290 chaves Pix de clientes do Banco Agibank SA tiveram seus dados expostos. Este é o 21º incidente envolvendo informações do Pix desde a implementação do sistema instantâneo de pagamentos, em novembro de 2020, e o primeiro a ser reportado em 2026.

Conforme detalhado pelo BC, a exposição de dados ocorreu no período de 26 de dezembro de 2024 a 30 de janeiro de 2025, abrangendo informações como o nome completo do usuário, o CPF com máscara (parcialmente oculto por asteriscos), a instituição de relacionamento, dados da agência, número e tipo da conta.

O Banco Central esclareceu que o incidente foi ocasionado por falhas pontuais nos sistemas da instituição de pagamento. As informações expostas são de caráter cadastral, não comprometendo a movimentação financeira dos usuários. Dados sensíveis como saldos, senhas e extratos, que são protegidos por sigilo bancário, não foram afetados.

Apesar de não ser obrigatória a comunicação do caso, em virtude do baixo impacto potencial aos clientes, a autarquia decidiu divulgar o incidente, alinhada com seu "compromisso com a transparência".

Todos os usuários cujas informações foram expostas serão notificados diretamente por meio do aplicativo ou do internet banking da instituição. O Banco Central salientou que estes são os únicos canais oficiais para o aviso sobre a exposição das chaves Pix, recomendando que os clientes desconsiderem comunicações recebidas por chamadas telefônicas, SMS, aplicativos de mensagem ou e-mail.

É importante diferenciar que a exposição de dados não significa necessariamente que todas as informações tenham sido vazadas, mas sim que estiveram visíveis para terceiros por um determinado período e podem ter sido capturadas. O vazamento, por sua vez, indica que houve acesso e consulta efetiva aos dados. O BC informou que o caso será objeto de investigação e que sanções poderão ser aplicadas. A legislação vigente prevê penalidades que vão desde multas e suspensão até a exclusão do sistema Pix, conforme a gravidade da ocorrência.

Em todos os 21 incidentes envolvendo chaves Pix registrados até o momento, apenas informações cadastrais foram expostas, sem comprometimento de senhas ou saldos bancários. Em observância à Lei Geral de Proteção de Dados (LGPD), a autoridade monetária mantém uma página dedicada para que os cidadãos possam acompanhar os incidentes relacionados a chaves Pix ou outros dados pessoais sob a guarda do Banco Central.

A Agência Brasil buscou contato com o Agibank para obter um posicionamento e incluirá a manifestação da instituição assim que for recebida.