A XP enviou um comunicado aos clientes sobre vazamento de dados pessoais nesta quinta-feira (24) via e-mail. Segundo a instituição financeira, detalhes, como número da conta, saldo, limite de crédito e informações cadastrais, estão entre os dados acessados indevidamente.

O incidente também afetou clientes da corretora Clear, que pertence à XP. Além disso, o jornal Folha de São Paulo menciona que o incidente pode ter atingido usuários da Rico.

Em comum, os e-mails para clientes da XP e Clear acessados pela reportagem alertam que, em 22 de março de 2025, as instituições tomaram conhecimento de que “uma base de dados que se encontrava hospedada em um fornecedor externo” teve um “acesso não autorizado”.

A carta, no entanto, não especifica a natureza do acesso.

A empresa esclarece que o bloqueio foi efetivado imediatamente e reforça que as contas e os investimentos estão em “total segurança”. Além disso, os comunicados apontam que os seguintes dados da titularidade dos clientes foram identificados “dentre as informações acessadas”:

• Dados cadastrais: nome, telefone, e-mail, data de nascimento, CEP, estado civil, gênero, cargo e nacionalidade;​
• Dados da conta: número da conta, saldo, posição, nome do assessor e limite de crédito, referentes ao mês de março.

No caso da XP, dados sobre produtos financeiros contratados também foram acessados, mas sem os respectivos detalhamentos. Neste caso, a base mostra apenas “informações binárias”, como se o cliente possui ou não cartão de crédito, seguro, consórcio, previdência e portabilidade de salário.

Diante do acesso indevido, uma investigação foi aberta para apurar o acontecimento. “Informamos imediatamente às autoridades competentes”, informam os comunicados da XP e da Clear.

Contas não foram acessadas, assegura XP

As cartas da XP e da Clear ressaltam que nenhuma operação financeira foi realizada e que a conta do cliente não foi acessada, e garantem que os recursos estão seguros.

“Não foram acessadas informações como senha, assinatura eletrônica e biometria, e nem mesmo seu CPF ou documento de identidade”, diz o comunicado.

Ainda nos comunicados enviados nesta quinta-feira (24), a XP e a Clear destacam que as informações pessoais dos clientes não estão “sendo compartilhadas ou divulgadas de forma pública”, e pontua que nenhum sistema foi acessado e que “não é necessária nenhuma ação” por parte dos clientes atingidos.

Mesmo assim, a empresa ressalta que, “por conta do ocorrido”, os clientes devem desconfiar de ligações em nome das corretoras sobre procedimentos de segurança e reconhecimento de compras ou transações.

“A XP não solicita dados de senhas, token ou qualquer código recebido por SMS ou e-mail”, conclui. “Lamentamos profundamente o ocorrido e queremos reforçar o nosso compromisso com a transparência e com a total segurança dos seus dados. Reforçamos que o acesso indevido foi prontamente interrompido.”

O que diz a XP?

Procurada, a XP confirmou a exposição. Confira a nota na íntegra:

“A XP informou hoje que tomou conhecimento de um acesso indevido a uma base de dados que se encontrava hospedada em um fornecedor externo, contendo informações parciais de clientes. Os recursos dos clientes e da própria instituição estão seguros, protegidos e não sofreram qualquer tipo de impacto, inexistindo vazamento de senhas, assinaturas eletrônicas, token, credenciais de acessos ou qualquer dado que permita realizar transações financeiras. Nenhuma conta de cliente, seus recursos ou sistema interno da XP foram comprometidos. Os clientes podem continuar a operar com total segurança. Não foram afetados os sistemas da XP e de qualquer empresa do grupo XP, bem como suas operações. Imediatamente, tão logo tomou conhecimento do acesso indevido, a XP adotou todas as medidas adicionais de segurança para solucionar o fato. Os reguladores e as autoridades competentes já foram informados do ocorrido.”