Para: clientes atuais e antigos do The Standard Bank of South Africa (pessoas físicas e jurídicas, incluindo empresas de capital estrangeiro que operam na África do Sul) e qualquer pessoa que receba ligações "do banco" de alguém que conhece seu número de identificação ou de conta. Este artigo é baseado nas declarações do próprio Standard Bank e em orientações do Southern African Fraud Prevention Service (SAFPS), do Information Regulator e de informações oficiais de defesa do consumidor do governo sul-africano. Ele não trata de como o ataque foi realizado.
O que os clientes devem fazer hoje
Desligue qualquer ligação que se diga do banco e peça algo, e ligue você mesmo de volta
A orientação do próprio Standard Bank é verificar qualquer e-mail, SMS ou ligação inesperada que peça informações sensíveis, entrando em contato com o banco por canais confiáveis. Na prática: encerre a ligação e disque um número que você mesmo encontrou, como o que está no verso do seu cartão. A linha de fraudes na África do Sul é 0800 222 050 (internacional +27 10 824 2090). Nunca retorne para um número que o interlocutor ou uma mensagem de texto tenha informado.
Nunca forneça OTP, PIN ou senha, independentemente de quem pedir
O Standard Bank orienta os clientes a nunca compartilhar senhas e PINs quando solicitados por qualquer pessoa por telefone, fax, mensagem de texto ou e-mail. Em um artigo anterior sobre segurança, o banco também afirma que nunca pedirá suas credenciais de banco digital, incluindo OTPs, por telefone, e nunca ligará para pedir que você transfira dinheiro para uma conta que você não conhece.
Um PIN de uso único aprova uma transação; lê-lo em voz alta equivale a aprovar o pagamento do golpista.
Faça o Registro de Proteção do SAFPS (gratuito)
O banco recomenda o registro no Southern African Fraud Prevention Service (SAFPS). Segundo o SAFPS, o Registro de Proteção é gratuito e sinaliza sua identidade para que as instituições de crédito membros tomem precauções extras: o aviso do banco coloca assim, se alguém solicitar um produto bancário com seu número de identificação, o pedido será recusado ou encaminhado para análise adicional.
O SAFPS diz que é possível solicitar online, por e-mail ou pedindo uma ligação de retorno, com uma cópia autenticada do seu documento de identidade e comprovante de endereço, e que um número de referência é emitido em até 48 horas.
Consulte seu relatório de crédito em busca de contas que você não abriu
O National Credit Act da África do Sul permite que você solicite seu relatório de crédito gratuitamente a cada 12 meses nos bureaus de crédito registrados, segundo as informações oficiais de defesa do consumidor do governo. Procure consultas ou contas que você não reconhece; se um bureau mostrar uma consulta que você não autorizou, você pode contestá-la junto a esse bureau.
O Standard Bank diz que está monitorando a atividade nos bureaus de crédito para os clientes afetados, mas sua própria verificação cobre todas as instituições financeiras, não apenas uma.
Atualize suas senhas bancárias e ative a segurança no aplicativo
O banco pede que todos os clientes atualizem suas senhas bancárias nas plataformas digitais e nas redes sociais, usem senhas fortes e exclusivas e ativem a autenticação biométrica no aplicativo Standard Bank. Se você reutilizou uma senha bancária em outro lugar, altere-a também. Um gerenciador de senhas facilita a criação de senhas exclusivas.
Clientes empresariais: confirme toda alteração de dados de pagamento por telefone
Os campos publicados incluem números de registro de empresa, números de IVA, categorização B-BBEE (a classificação de uma empresa na política sul-africana de Empoderamento Econômico de Negros) e números de conta. Para uma empresa, isso basta para tornar real uma fatura falsa, uma carta com "novos dados bancários" ou uma ligação para o seu setor financeiro.
Estabeleça a regra de que qualquer alteração dos dados bancários de um fornecedor ou da sua própria empresa seja confirmada ligando para um número já cadastrado, nunca para um número informado no e-mail. O mesmo vale para instruções de pagamento "urgentes" entre uma matriz no exterior e sua subsidiária sul-africana. Clientes de Corporate & Investment Banking são orientados a entrar em contato com seu consultor de atendimento ou gerente de relacionamento.
Se houver fraude: o banco, o SAFPS e o Information Regulator
Comunique o incidente imediatamente à linha de fraudes do banco e peça que sejam bloqueadas novas transações. Se sua identidade tiver sido usada, o SAFPS oferece o registro de Vítima de Falsidade Pessoal (Victim of Impersonation), além do Registro de Proteção. Para reclamações sobre como seus dados pessoais foram tratados, a autoridade de proteção de dados da África do Sul é o Information Regulator, que aceita reclamações nos termos da POPIA por meio de seu portal online eServices.
O que quem liga pode saber (vazado)
Seu nome · número de identificação ou de registro de empresa · telefone, e-mail, endereço físico · número de conta · número de IVA, categoria B-BBEE
→ Não prova nada. Não confie em uma ligação por causa disso
O que o banco diz que nunca pedirá
Sua senha · seu PIN · seu OTP · que transfira dinheiro para uma conta que você não conhece
→ Se pedirem: desligue e ligue você mesmo para 0800 222 050
Não vazado, segundo o banco: acesso às operações bancárias transacionais e aos sistemas principais
O que aconteceu (segundo o Standard Bank)
O texto a seguir vem dos comunicados do Standard Bank na sua sala de imprensa. O banco não publicou quantos clientes foram afetados.
23 de março de 2026
O Standard Bank diz ter identificado um incidente envolvendo acesso não autorizado a dados selecionados, tomou medidas imediatas para proteger seu ambiente e iniciou uma investigação completa com apoio de especialistas. Diz que seus sistemas transacionais permanecem seguros e que notificará diretamente os clientes afetados.2 de abril
A primeira atualização do banco lista nomes, números de identificação e números de registro de empresa, diz ter comunicado o incidente às autoridades reguladoras e recomenda medidas de proteção, incluindo o registro no SAFPS. Em 13 de abril acrescenta dados de contato e números de conta.14 de abril
Uma nova atualização diz que os sistemas afetados eram sistemas administrativos internos e de arquivamento de documentos, e que os dados de clientes e de empresas "agora parecem ter sido publicados". A lista de dados acrescenta depois a categorização B-BBEE e os números de registro de IVA (marcados como “em 16 de abril”).Meados de abril
A mídia sul-africana informa que o Information Regulator está avaliando o incidente e pediu mais informações ao banco. Até 30 de setembro de 2026, este site não encontrou conclusões sobre o incidente publicadas pelo regulador.
- Afetados (podem variar por pessoa)
- Nomes; números de identificação ou de registro de empresa; dados de contato (números de telefone, endereços físicos e/ou de e-mail); números de conta; categorização B-BBEE e número de registro de IVA
- Sistemas afetados
- Sistemas administrativos internos e de arquivamento de documentos
- Não afetados
- Operações bancárias transacionais e sistemas operacionais principais "não foram acessados"; o banco diz que os fundos dos clientes não são afetados
- Cartões
- Em casos limitados envolvendo dados de cartão, o banco diz que os clientes afetados estão sendo contatados diretamente e que seus cartões estão sendo substituídos
- Medidas do banco
- Monitoramento reforçado da atividade nos bureaus de crédito e de trocas de chip (SIM swap, a transferência do número de telefone de alguém para um chip de golpista), monitoramento adicional de transações, equipes antifraude 24/7, mais verificação por dispositivo e no aplicativo
- Autoridades
- O banco diz ter cumprido os requisitos de notificação regulatória
- Contato oficial
- Personal/Private Banking 0860 123 000 · Business Banking 0860 109 075 · Linha de fraudes 0800 222 050
Como ler: sistemas principais seguros não significa clientes seguros
A própria atualização do Standard Bank aponta o risco: alguém pode usar as informações para se passar por você ou entrar em contato de forma fraudulenta, com e-mails, mensagens ou ligações que parecem autênticos, ou tentar usar seus dados sem sua permissão. Um número de identificação e um número de conta não podem ser trocados como uma senha, por isso esse risco não desaparece em poucas semanas. Planeje manter os hábitos abaixo por anos, não por dias.
Por que número de identificação e de conta juntos tornam uma ligação falsa do banco convincente
A maioria dos vazamentos entrega ao golpista apenas um dos dois dados que uma ligação falsa do banco precisa. Este vazou os dois ao mesmo tempo.
- Número de identificação: o que um banco real usa para confirmar quem você é
- Número de conta: o que ele usa para falar sobre o seu dinheiro
Quem diz "sou do departamento de fraudes do Standard Bank, vejo que sua conta termina em 1234 e só preciso confirmar seu número de identificação, que tenho como..." soa exatamente como o banco, porque até agora só o banco saberia esses dois números juntos.
Sinais de uma ligação falsa de 'banco'
- Começa lendo seu número de identificação ou de conta para "verificar" você
- Diz que sua conta está em risco e que não há tempo a perder
- Pede que você leia um OTP, PIN ou senha
- Pede que você transfira dinheiro para uma conta "segura"
- Diz para você não desligar ou não contar a ninguém
O que o Standard Bank diz
- Nunca compartilhe senhas ou PINs com quem pedir
- O banco nunca pedirá OTPs ou credenciais por telefone
- O banco nunca pedirá que você transfira dinheiro para uma conta desconhecida
- Se uma ligação parecer suspeita, desligue e ligue para a linha de fraudes
- Verifique mensagens inesperadas por canais confiáveis
O objetivo não é aprender a reconhecer a voz de um golpista. É não decidir se a ligação é real enquanto ela ainda está em andamento: desligue, ligue de volta para um número que você mesmo procurou e decida depois. O banco já conhece seu número de identificação, então uma ligação real do banco não perde nada se você desligar e retornar.
Visão deste site: combinem em casa e no trabalho ligar de volta antes de agir em qualquer ligação sobre dinheiro
Decidam com antecedência, com sua família e seu setor financeiro, que qualquer ligação pedindo que você faça algo com dinheiro exige uma ligação de retorno para um número que você mesmo procurou. Sem exceções para quem já conhece todos os seus dados. A única coisa que os dados vazados dão a um golpista é a capacidade de soar genuíno; ligar de volta elimina isso. Se sua empresa tem matriz no exterior, aplique a mesma regra aos seus pedidos de "transferência urgente".
Para empresas que guardam números de identificação e de conta, o outro lado da lição é limitar quem pode ver esses registros e quantos de uma vez; tratamos disso em a base mínima de segurança para organizações.
O paralelo mais próximo deste ano é a violação da Odido nos Países Baixos, na qual números de identificação e de conta bancária também vazaram, e a violação da Endesa na Espanha, em que os golpistas que já conheciam seus dados também eram o principal risco. Para entender como funcionam as ligações e mensagens falsas, veja o que é phishing?.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas fontes públicas abaixo. Alegações de atacantes e números não publicados não são utilizados.
- Standard Bank, "A message from Standard Bank" (23 de março de 2026, com FAQ de 24 de março) — standardbank.co.za
- Standard Bank, "An Important Data Incident Update" (2 de abril de 2026, atualizado em 13 de abril) — standardbank.co.za
- Standard Bank, "An Important Data Incident Update - 14 April" (com FAQ) — standardbank.co.za
- Standard Bank, "Scammers turn to phone calls as banks clamp down on fraud" (6 de agosto de 2024) — standardbank.co.za
- Southern African Fraud Prevention Service, "Apply for Protective Registration" — safps.org.za
- Information Regulator, "How to Lodge a Complaint" — inforegulator.org.za
- Vuk'uzenzele (governo sul-africano), "You are entitled to a free credit report" (maio de 2023) — vukuzenzele.gov.za
- IOL, "What you need to know about the Standard Bank data breach investigation" (15 de abril de 2026; usado apenas para os comentários do Information Regulator reportados) — iol.co.za
Histórico de atualizações
2026-09-30: Primeira versão, com base nas declarações do Standard Bank de 23 de março, 2 de abril (atualizada em 13 de abril) e 14 de abril de 2026 (conferidas em 30 de setembro de 2026; nenhum número de afetados publicado), e nas orientações do SAFPS, do Information Regulator e de informações oficiais de defesa do consumidor do governo sul-africano.
Leia em seguida
- Os paralelos mais próximos: O vazamento de dados da Odido (números de identificação e de conta bancária) / O vazamento de dados da Endesa (DNI e IBAN)
- Ligações e mensagens falsas: O que é phishing? / Falsos alertas de vírus (golpes de suporte técnico)
- Proteção das suas contas: Como escolher um gerenciador de senhas / Como escolher a autenticação em múltiplos fatores
- Outros incidentes de 2026: Lista de violações de dados e ciberataques (Japão e mundo)
- Para operadores: A base mínima de segurança para organizações