O Tribunal de Contas da União (TCU) determinou ao Instituto Nacional do Seguro Social (INSS) que adote medidas de segurança após o vazamento de milhões de dados de aposentados, pensionistas e demais beneficiários do órgão, segundo a reportagem da Folha de S. Paulo do último dia 22. A denúncia chegou à corte em 2025 e refere-se a um episódio do ano anterior no qual houve acesso a “milhões de dados de usuários”. Por conta disso, a medida foi tomada em julgamento na corte em 16 de setembro, após processo de auditoria do órgão que durou mais de um ano.
A reportagem aponta que a falha resultou na remoção de 2.163 credenciais ativas de pessoas que tinham acessos ao Suíbe (Sistema Integrado de Benefícios) e passaram a ser bloqueadas. O INSS afirma em nota que já apresentou um plano de ação “em conformidade com as recomendações do TCU”. Segundo o instituto, em parceria com a Dataprev, o órgão trabalha para aprimorar a segurança dos sistemas que oferecem os serviços previdenciários.
O tribunal decidiu que o INSS deve adotar as medidas necessárias para gerenciar os riscos relacionados à desativação ou remoção de usuários com acesso ao Suíbe, especialmente nos casos de acesso externo, ou seja, pessoas que não são servidores concursados.
Outra recomendação do TCU é sobre a necessidade de que se faça a revisão periódica dos acessos de usuários internos —e dos externos—, para garantir as identidades de quem está acessando, e realizar remoções automáticas em casos de falhas ou suspeitas. Além disso, a orientação foi também para que o instituto tenha uma forma de operacionalizar o controle do sistema sem precisar da Dataprev (empresa de tecnologia da Previdência Social).
O motivo é que a Dataprev é a responsável por todos os dados da Previdência e pela implantação e controle da tecnologia e, para ter acesso a qualquer movimentação feita por ela, há uma burocracia, que envolve o envio de ofícios e prazos. Após o INSS realizar todas as determinações, o processo será arquivado.
O instituto disse ainda que a Dataprev mantém um monitoramento contínuo de seus ambientes de forma ininterrupta e afirma que “não houve quebra de segurança tecnológica em seus sistemas”. Sobre as questões relacionadas ao Suíbe, o INSS confirma a ampliação das restrições de acessos.
Uma outra sugestão do TCU é para que haja algum tipo de validação dupla para que segurados tenham acesso aos sistemas do INSS. A recomendação é para o uso de biometria, mas instrução normativa do INSS derrubou essa possibilidade nas operações de crédito consignado neste ano.
O INSS afirma à reportagem que a instrução normativa nº 213, de 17 de agosto de 2026, regulamenta o uso de um meio alternativo à biometria para a contratação de empréstimo consignado porque a falta de biometria, em alguns casos, era um aspecto excludente. “A medida busca contemplar milhões de beneficiários impossibilitados de realizar biometria por conta da suspensão do serviço no período eleitoral ou porque possuem características ou condições físicas que dificultam ou impedem o reconhecimento facial”, diz o órgão.
Em seu voto, o ministro Benjamin Zymler, relator do caso, destacou também que a troca de gestão constante no instituto dificulta medidas de segurança da informação, pois quando isso ocorre, há substituição no setor de tecnologia da informação. Segundo relatório produzido pelo TCU, entre 2019 e 2026, foram seis presidentes no cargo.
“A equipe de auditoria também identificou a rotatividade nos cargos de gestão. […]. A constante instabilidade na liderança impacta o patrocínio institucional e a continuidade das diretrizes estratégicas. Essa descontinuidade administrativa prejudica a execução do planejamento tecnológico de longo prazo”, disse ele.
A gestão atual é de Ana Cristina Silveira, que assumiu o comando do órgão em 13 de abril, quando o processo no TCU já estava em andamento.
