O Tribunal de Contas da União determinou que o Instituto Nacional do Seguro Social adote providências urgentes para reforçar a segurança da informação em seus sistemas. A decisão do plenário, formalizada após um longo processo de auditoria que durou mais de um ano, ocorreu em razão de vazamentos que expuseram registros sensíveis de aposentados, pensionistas e outros segurados da Previdência Social.
A investigação teve início a partir de uma denúncia protocolada em 2025, que apontava um episódio crítico de acesso indevido ocorrido no ano anterior. Como desdobramento imediato das apurações, o órgão de controle exigiu a remoção de mais de duas mil credenciais ativas que representavam riscos à integridade das plataformas informatizadas do governo.
Além da anulação de acessos considerados vulneráveis, a corte estabeleceu que o INSS implemente revisões periódicas rigorosas e automatize a desativação de contas em situações de suspeita ou irregularidade. O foco principal da medida recai sobre os usuários externos, categoria que abrange pessoas sem vínculo efetivo com o serviço público que mantinham portas abertas para bases sensíveis.
Auditoria aponta falhas sistêmicas
As apurações detalharam fragilidades estruturais na gestão tecnológica da autarquia federal, especialmente no manuseio de informações abrigadas no Sistema Integrado de Benefícios. A dependência técnica em relação à Empresa de Tecnologia e Informações da Previdência Social também entrou no radar dos auditores devido à lentidão burocrática para auditar movimentações internas.
Segundo o entendimento do tribunal, o INSS precisa conquistar maior autonomia operacional para monitorar e controlar o próprio ambiente digital sem depender exclusivamente do envio de ofícios e do cumprimento de prazos estipulados pela estatal de tecnologia. Essa autonomia é vista como indispensável para conter vazamentos com rapidez e eficácia.
O plenário determinou que, tão logo o instituto comprove o cumprimento integral das exigências estabelecidas na decisão, o processo administrativo correspondente seja definitivamente arquivado. Enquanto isso, equipes técnicas buscam blindar os cadastros contra novas tentativas de exploração indevida por terceiros mal-intencionados.
Gestão instável dificulta melhorias
O relator do processo, ministro Benjamin Zymler, enfatizou que a instabilidade administrativa enfrentada pela autarquia nos últimos anos compromete diretamente a continuidade das diretrizes voltadas à segurança cibernética. De acordo com o relatório apresentado, a alta frequência de substituições na presidência do órgão gera rupturas sucessivas no planejamento estratégico de longo prazo.
A constante instabilidade na liderança impacta o patrocínio institucional e a continuidade das diretrizes estratégicas.”
Benjamin Zymler
O levantamento demonstrou que, entre os anos de 2019 e 2026, o instituto foi comandado por seis gestores diferentes, um ritmo de troca considerado prejudicial para a consolidação de políticas de tecnologia da informação. Cada mudança na liderança costuma vir acompanhada de substituições no alto escalão técnico, o que enfraquece o patrocínio institucional de medidas preventivas.
A equipe de fiscalização pontuou que a governança de dados exige estabilidade e investimentos continuados, elementos que acabam sacrificados diante das frequentes reformulações na cúpula administrativa. Para os auditores, a superação dessa vulnerabilidade passa necessariamente pela profissionalização e permanência de equipes técnicas especializadas na proteção digital.
Nova falha amplia a pressão
A urgência por mudanças foi intensificada após a identificação de um novo incidente de segurança na plataforma digital da Previdência Social, ocorrido em abril de 2026. A falha na segurança expôs dados de milhares de segurados e obrigou o instituto a notificar formalmente a Agência Nacional de Proteção de Dados, embora o episódio só tenha ganhado repercussão pública meses depois.
O problema técnico ocorria no momento em que terceiros tentavam protocolar pedidos de benefícios em nome de segurados, digitando o número do CPF na interface de atendimento. O sistema exibia de forma indevida informações sensíveis como nome completo, data de nascimento e o histórico completo de vínculos empregatícios dos cidadãos afetados.
Diante da repercussão, o INSS argumentou que a maior parte das informações expostas pertencia a pessoas falecidas, mas admitiu que dezenas de milhares de segurados vivos também tiveram registros acessados indevidamente. O episódio reforçou as críticas sobre a fragilidade dos canais de atendimento digital e a necessidade de barreiras mais sólidas contra fraudes.
Tribunal cobra autonomia operacional
A cobrança por maior independência do INSS em relação aos sistemas geridos pela Dataprev reflete um impasse histórico na gestão da tecnologia previdenciária. Os auditores identificaram que a estrutura atual impõe barreiras desnecessárias para a investigação de acessos suspeitos e para a correção imediata de falhas críticas de programação.
Com a nova determinação, a autarquia passa a ter a obrigação de instituir mecanismos próprios de governança que permitam o rastreio em tempo real das movimentações executadas por usuários internos e externos. A medida visa evitar que o fluxo de informações estratégicas fique subordinado exclusivamente a trâmites burocráticos entre órgãos federais.
Especialistas em segurança da informação avaliam que a decisão do TCU representa um marco necessário para proteger o patrimônio de dados de milhões de brasileiros. No entanto, alertam que a efetividade das mudanças dependerá da capacidade do governo em destinar recursos financeiros e pessoal qualificado para a área tecnológica.
