O incidente, que ocorreu entre os dias 2 e 4 de setembro, incluiu informações como nome do usuário, CPF, instituição de relacionamento, agência, número e tipo da conta. De acordo com o Banco Central, a exposição dos dados foi resultado de falhas pontuais nos sistemas da instituição de pagamento, mas ressaltou que os dados expostos foram cadastrais e não afetam a movimentação financeira dos clientes. Informações protegidas pelo sigilo bancário, como senhas, saldos e extratos, não foram comprometidas.
Apesar do impacto potencial limitado aos clientes, o BC decidiu comunicar o incidente como parte do seu compromisso com a transparência. Todos os clientes afetados serão notificados por meio do aplicativo ou internet banking da instituição, sendo esses os únicos canais de comunicação oficiais. O BC alertou os clientes a desconsiderarem qualquer outro tipo de comunicação, como chamadas telefônicas, SMS ou e-mails.
O vazamento de dados não garante que todas as informações tenham sido acessadas, porém o Banco Central afirmou que o caso será investigado e medidas punitivas poderão ser aplicadas, de acordo com a gravidade da situação. Em todos os 14 incidentes anteriores envolvendo chaves Pix, apenas informações cadastrais foram expostas, sem a violação de senhas ou saldos bancários.
A legislação de proteção de dados requer que o BC mantenha uma página para que os cidadãos possam acompanhar incidentes relacionados com chaves Pix ou quaisquer outros dados pessoais sob sua responsabilidade. A Shopee recebeu autorização do Banco Central para operar como instituição de pagamentos no Brasil em maio de 2022, e a reportagem aguarda um pronunciamento da empresa sobre o ocorrido.
