A XP Inc. começou a avisar seus clientes nesta quinta-feira (24) sobre um vazamento de dados pessoais. A comunicação chegou por e-mail e deixou muita gente preocupada: informações como número da conta, saldo, limite de crédito e dados cadastrais foram acessadas de forma indevida. De acordo com informações do Canaltech e da Folha de São Paulo, o vazamento afetou a Clear, outra corretora do grupo XP e até usuários da Rico.

De acordo com a notificação, a XP descobriu em 22 de março de 2025 que uma base de dados hospedada em um fornecedor externo foi alvo de um acesso não autorizado. Apesar de a empresa não dar detalhes sobre como essa violação aconteceu, ela garante que o problema foi contido rapidamente e que nenhuma conta ou investimento foi comprometido.

Os dados acessados envolvem informações sensíveis, incluindo:

  • Nome, telefone, e-mail, data de nascimento, CEP, estado civil, cargo e nacionalidade;
  • Número da conta, saldo e posição de investimentos referentes a março;
  • Produtos contratados, como cartão de crédito ou seguro, mas apenas em forma de resposta binária (sim ou não).

A XP afirma que não houve vazamento de senhas, biometria, documentos como CPF ou RG, nem assinatura eletrônica. Ou seja: a exposição foi grave, mas não total. Ainda assim, os dados vazados são suficientes para facilitar golpes de engenharia social, especialmente por telefone ou mensagens falsas.

Em nota enviada ao Canaltech, a XP confirmou o vazamento, mas garante que as operações financeiras e os sistemas internos da empresa não foram atingidos. Segundo a companhia, o incidente foi contido, as autoridades já foram informadas e todas as medidas de segurança adicionais foram tomadas.

Cuidado com golpes

A empresa reforça que não solicita senhas, tokens ou códigos de segurança por SMS ou e-mail, e orienta os clientes a redobrarem a atenção. Afinal, tentativas de golpe podem aumentar após incidentes como esse.

"Receber esse tipo de comunicado será cada vez mais comum", alerta Luis Fernando Prado, especialista em proteção de dados. Ele lembra que a LGPD (Lei Geral de Proteção de Dados) exige que empresas informem seus clientes sempre que houver um vazamento relevante.

Com informações de Folha de S. Paulo e Canaltech.