Cibersegurança: incidentes, fraudes digitais, proteção de dados

Nenhum item de prova anterior, no acervo deste projeto, caiu neste tópico. A nota foi escrita a partir do edital e da bibliografia — não do corpus — e por isso não traz frequências medidas.

A ideia que organiza o assunto

Este tópico e a disciplina de Segurança da Informação falam do mesmo incidente por dois lados diferentes, e a primeira coisa a fixar é a divisória. Lá está o como: o ciclo de tratamento do NIST 800-61, evento contra incidente, o CSIRT, a anatomia de phishing, ransomware, SQLi e DDoS, os controles que impedem e detectam. Nada disso precisa ser repetido aqui — está nas notas de Incidentes, de Ataques e de Privacy by design. O que Atualidades cobra é o outro lado:

Quem tem o dever, perante qual autoridade, em que prazo, sob qual sanção.

Um único vazamento num banco aciona, ao mesmo tempo, três regimes de dever que não se substituem:

regime	dever	autoridade
dado pessoal	comunicar o incidente de segurança que possa causar risco ou dano relevante	ANPD, pela LGPD
sistema financeiro	registrar, classificar e comunicar o incidente; manter plano de resposta	BACEN, pela regulação prudencial
penal	apurar a conduta (invasão, furto e estelionato eletrônicos, fraude com ativos virtuais)	polícia judiciária e Ministério Público

Acima deles há uma camada de governança do Estado — a Política Nacional de Cibersegurança, o CTIR Gov, o CERT.br — que coordena e trata, mas não é sancionadora de nenhum dos três.

Cumprir um regime não dispensa os outros. Comunicar à ANPD não satisfaz a obrigação perante o BACEN; registrar o incidente internamente não substitui a comunicação ao titular; e nenhuma das duas afasta o crime. Essa não-substituição é a régua que resolve a maior parte dos itens do assunto.

Por que se usa (e o que custa)

A notificação obrigatória existe porque o incidente é, por natureza, informação que a vítima institucional prefere não dar. Sem dever legal, o titular não sabe que precisa trocar de senha, o regulador não vê o padrão que se repete em cinco instituições e ninguém aprende nada. O dever de comunicar converte dano privado em informação pública útil.

O preço é real. Comunicar cedo é comunicar incompleto, com risco de alarme desnecessário e de expor vulnerabilidade ainda não corrigida; comunicar tarde esvazia a utilidade do aviso. Daí o compromisso que a norma adota: prazo curto, conteúdo mínimo e complementação posterior admitida. O mesmo vale para o compartilhamento de indícios de fraude entre instituições — ele é eficaz justamente porque move dado pessoal, e por isso precisou nascer com base regulatória expressa, não de acordo privado.

Como funciona

O regime da LGPD e o papel da ANPD

A Lei n.º 13.709/2018 entrou em vigor em setembro de 2020, e suas sanções administrativas passaram a ser aplicáveis em agosto de 2021. Ela distingue os agentes de tratamento: o controlador decide sobre o tratamento e é quem responde pelas comunicações; o operador trata em nome dele e comunica ao controlador, não à autoridade. Cada agente indica um encarregado, canal de comunicação com titulares e com a ANPD.

A ANPD nasceu como órgão da Presidência da República e virou autarquia de natureza especial pela Lei n.º 14.460/2022, com autonomia técnica e decisória. É dirigida por um Conselho Diretor de cinco membros, com mandatos de quatro anos, e conta com o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, de 23 membros e atribuição consultiva. A competência da ANPD prevalece sobre a dos demais órgãos em proteção de dados — o que não retira do BACEN, da CVM ou do Ministério Público as competências próprias.

A notificação de incidente é o art. 48: o controlador comunica à ANPD e ao titular o incidente de segurança que possa acarretar risco ou dano relevante, com conteúdo mínimo — natureza dos dados, titulares envolvidos, medidas técnicas adotadas, riscos e medidas de reversão. A ANPD pode determinar ampla divulgação do fato e medidas de mitigação. E há um detalhe que decide item: ao graduar a gravidade, a autoridade considera se foram adotadas medidas técnicas adequadas — criptografia, por exemplo — que tornem o dado ilegível a terceiros.

O prazo ficou fora da lei e veio em regulamento: a Resolução CD/ANPD n.º 15/2024 fixou três dias úteis contados da ciência do incidente e definiu quando o risco é relevante — dados sensíveis, de crianças e adolescentes, financeiros, de autenticação, protegidos por sigilo legal, ou tratamento em larga escala. Prazo de regulamento muda com regulamento: confira a redação vigente antes de citá-lo numa discursiva.

As sanções do art. 52 vão de advertência a multa de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, limitada a R$ 50 milhões por infração, passando por multa diária, publicização da infração, bloqueio e eliminação dos dados e, nos casos graves, suspensão do banco de dados ou da atividade de tratamento por até seis meses, prorrogável, e proibição do tratamento. A distinção que a banca explora — a multa não alcança órgãos e entidades públicas — está desenvolvida na nota de LGPD, em Direito Administrativo.

O regime do sistema financeiro

É o que um analista do BACEN precisa saber de cor, porque é a norma que ele vai supervisionar. A Resolução CMN n.º 4.893/2021 — que substituiu a Resolução n.º 4.658/2018 — obriga as instituições financeiras a:

manter política de segurança cibernética aprovada pelo conselho de administração ou pela diretoria, e divulgada a funcionários e prestadores;
manter plano de ação e de resposta a incidentes, com procedimentos de registro, análise e classificação dos incidentes e de comunicação a clientes, usuários e ao BACEN;
designar um diretor responsável pela política e pelo plano;
elaborar relatório anual sobre a execução do plano, submetido ao conselho ou à diretoria até 31 de março do ano seguinte;
observar requisitos específicos para a contratação de processamento, armazenamento de dados e computação em nuvem, com comunicação prévia ao BACEN e, no caso de processamento no exterior, a exigência de que o país tenha acordo que assegure o acesso do supervisor aos dados.

A Resolução BCB n.º 85/2021 estende regime equivalente às instituições de pagamento, e a Resolução Conjunta CMN/BCB n.º 6/2023 criou o compartilhamento obrigatório de dados sobre indícios de fraude entre instituições, em sistema mantido pelo Banco Central — um mecanismo que só faz sentido no mundo do pagamento instantâneo. No Pix, o remédio específico é o Mecanismo Especial de Devolução (MED), da Resolução BCB n.º 103/2021, ao lado da marcação de fraude no DICT e dos limites noturnos de transferência.

Dois enquadramentos completam o quadro: o risco cibernético é tratado pela supervisão como espécie de risco operacional, e o sigilo bancário tem regime próprio na Lei Complementar n.º 105/2001, que a LGPD não revogou — os dois convivem sobre o mesmo dado.

A camada do Estado

A Estratégia Nacional de Segurança Cibernética (E-Ciber), do Decreto n.º 10.222/2020, e a Política Nacional de Cibersegurança (PNCiber), do Decreto n.º 11.856/2023 — que criou o Comitê Nacional de Cibersegurança —, dão a moldura de governança, coordenada no Gabinete de Segurança Institucional da Presidência. O tratamento técnico de incidentes na administração federal é do CTIR Gov; na internet brasileira em geral, do CERT.br, mantido pelo NIC.br sob o CGI.br e fonte pública das estatísticas. Nenhum deles aplica sanção de proteção de dados: isso é da ANPD.

As fraudes que chegam ao noticiário

O deslocamento estrutural: com liquidação instantânea e irrevogável, a fraude deixou de precisar de invasão. O caminho mais barato passou a ser convencer o titular a autorizar ele mesmo a transferência — é por isso que engenharia social domina a estatística, e não exploração de vulnerabilidade.

As tipologias que se repetem são poucas: o falso parente em aplicativo de mensagem, com número clonado ou perfil copiado; a falsa central de atendimento, que liga alegando “movimentação suspeita”; o falso comprovante de Pix apresentado ao lojista; a mão fantasma, em que um aplicativo malicioso dá acesso remoto ao celular; o sequestro-relâmpago, que motivou os limites noturnos; e a adulteração de boleto. Sustentando quase todas estão os vazamentos: o golpista não precisa invadir nada se já sabe o nome, o CPF e os últimos dígitos do cartão — é o dado vazado que compra a credibilidade da ligação. Fechando o ciclo vêm as contas-laranja, abertas com documento fraudado, que recebem e pulverizam o recurso.

No lado das instituições, o vetor que mais cresce é o risco de terceiros: comprometimento ou indisponibilidade de um prestador compartilhado por muitas instituições — exatamente o que a regulação de nuvem da Resolução n.º 4.893/2021 tenta endereçar.

No plano penal, três leis: a Lei n.º 12.737/2012 tipificou a invasão de dispositivo informático (art. 154-A do Código Penal); a Lei n.º 14.155/2021 criou o furto mediante fraude eletrônica e o estelionato mediante fraude eletrônica, com penas agravadas, e fixou a competência no domicílio da vítima; e a Lei n.º 14.478/2022 tipificou a fraude com o uso de ativos virtuais.

O que decide os itens

incidente	quem comunica	a quem	prazo / base
vazamento de dado pessoal com risco relevante	controlador	ANPD e titular	3 dias úteis da ciência — Res. CD/ANPD n.º 15/2024
incidente sofrido pelo operador	operador	ao controlador	nunca diretamente à ANPD
incidente cibernético em instituição financeira	a instituição	BACEN e clientes afetados	plano de resposta — Res. CMN n.º 4.893/2021
indício de fraude	a instituição	demais instituições, em sistema do BACEN	Res. Conjunta CMN/BCB n.º 6/2023
fraude em transação Pix	participante do pagador	participante do recebedor	MED — Res. BCB n.º 103/2021

órgão	papel
ANPD	regula, fiscaliza e sanciona em proteção de dados pessoais; competência prevalente
CNPD	consultivo; não fiscaliza e não sanciona
BACEN	regula e supervisiona a segurança cibernética das instituições que autoriza
CNCiber / GSI	governança e coordenação da política nacional
CTIR Gov	trata incidentes na administração pública federal
CERT.br	trata incidentes e publica estatísticas da internet brasileira

par que decide	a régua
Controlador × operador	decide o tratamento e comunica à autoridade × trata por conta dele e comunica ao controlador
ANPD × CSIRT	autoridade que sanciona × equipe que responde tecnicamente
Comunicar × publicizar	dever do controlador perante ANPD e titular × sanção ou determinação da ANPD
LGPD × LC 105/2001	proteção de dados pessoais × sigilo das operações financeiras; coexistem
Risco relevante × qualquer incidente	só o primeiro obriga comunicação externa; todos devem ser registrados
Engenharia social × invasão	a vítima autoriza a transação × o atacante quebra o controle técnico
MED × chargeback	devolução no arranjo Pix, condicionada a saldo × contestação em arranjo de cartão

Números que caem


LGPD	Lei n.º 13.709/2018; vigência em set/2020; sanções desde ago/2021
ANPD como autarquia de natureza especial	Lei n.º 14.460/2022
Conselho Diretor da ANPD	5 membros, mandatos de 4 anos
CNPD	23 membros, caráter consultivo
comunicação de incidente à ANPD	3 dias úteis da ciência — Res. CD/ANPD n.º 15/2024
multa da LGPD	até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração
suspensão de banco de dados ou da atividade	até 6 meses, prorrogável por igual período
relatório anual de segurança cibernética	até 31 de março do ano seguinte — Res. CMN n.º 4.893/2021
guarda de registros (Marco Civil, Lei n.º 12.965/2014)	conexão, 1 ano; acesso a aplicações, 6 meses
limite noturno padrão do Pix	R$ 1.000, das 20h às 6h

Como a CEBRASPE derruba você aqui

Esta seção é julgamento sobre como a banca costuma cobrar o assunto — não medição. Não há itens deste tópico no acervo para medir.

A autoridade trocada. É a distorção mais provável do tópico, porque há órgãos demais em cena. O CTIR Gov trata incidentes de governo e não aplica sanção; o CERT.br coordena e publica estatísticas e não regula; o CNPD é consultivo; quem sanciona por dado pessoal é a ANPD, e quem supervisiona a instituição financeira é o BACEN. Defesa: leia o verbo do item — tratar, coordenar, regular, fiscalizar e sancionar são funções diferentes e raramente moram no mesmo órgão.

O dever deslocado de agente. “O operador deve comunicar à autoridade nacional a ocorrência de incidente de segurança” é a inversão clássica: quem comunica à ANPD e ao titular é o controlador; o operador comunica ao controlador.

O prazo e o limite alterados. Três dias úteis viram dois ou cinco; 2% do faturamento vira 2% do lucro ou 5% do faturamento; R$ 50 milhões viram R$ 50 milhões por ano em vez de por infração; seis meses de suspensão viram doze. A tabela de números acima existe por causa disso.

A obrigação universalizada. “Todo incidente de segurança deve ser comunicado à ANPD” está errado pelo todo: a comunicação externa é devida quando o incidente puder acarretar risco ou dano relevante. O registro interno, esse sim, alcança todos.

A substituição de regime. “Comunicado o incidente à ANPD, fica a instituição dispensada de comunicá-lo ao Banco Central.” São deveres independentes, com fundamentos e finalidades distintas. Qualquer item que faça um regime absorver o outro está errado.

A definição técnica no lugar da institucional. Na fronteira com Segurança da Informação aparece o item que descreve corretamente um controle e lhe atribui efeito jurídico que ele não tem: criptografar não dispensa comunicar, embora seja considerado na dosimetria.

Erros clássicos

Achar que LGPD e sigilo bancário são a mesma coisa. A Lei Complementar n.º 105/2001 protege a operação financeira e continua em vigor; a LGPD protege o dado pessoal. O mesmo registro pode estar sob os dois regimes ao mesmo tempo.

Tratar a ANPD como equipe de resposta a incidentes. Ela é autoridade administrativa: regula, fiscaliza, sanciona e pode determinar medidas. Quem contém e erradica é o CSIRT da instituição — ciclo descrito na nota de Incidentes, em Segurança da Informação.

Confundir golpe com invasão. No golpe do Pix, na quase totalidade dos casos, nenhum controle técnico foi quebrado: a vítima autorizou. Isso muda a defesa (educação, limites, atrito, MED) e muda o tipo penal.

Ignorar o risco de terceiros. Boa parte dos incidentes relevantes do sistema financeiro não acontece dentro da instituição, e sim em prestador contratado — é a razão de a norma de nuvem exigir cláusula, comunicação prévia ao BACEN e acesso do supervisor.

Repetir aqui o conteúdo técnico. Ciclo de tratamento, evento contra incidente, anatomia de ataques e controles não são cobrados neste tópico. Estude-os nas notas de Segurança da Informação e traga para cá apenas a pergunta institucional: quem devia o quê, a quem, em que prazo.