Funcionário do DOGE roubou dados do Seguro Social e os copiou para um pendrive, diz relatório

O caso envolve um ex-engenheiro de software do DOGE, braço operacional da iniciativa 'Departamento de Eficiência Governamental', criada sob a administração Trump e com forte atuação de Elon Musk, que teria copiado, em outubro de 2025, dois bancos de dados críticos da Administração da Segurança Social (SSA): o Numident (registro centralizado de todos os números de Seguro Social emitidos desde 1936) e o Master Death File (base com mais de 100 milhões de óbitos registrados, usada para prevenir fraudes em benefícios). Os dados incluem CPFs americanos (SSN), datas e locais de nascimento, nomes dos pais, raça, etnia e nacionalidade, informações que, se combinadas, permitem reconstrução de identidades completas para golpes de crédito, abertura de contas falsas ou clonagem de benefícios.

A SSA nega veementemente o roubo, mas o inspetor-geral já abriu investigação formal e notificou o Congresso. O fato de o engenheiro ter deixado a agência em outubro de 2025 e se juntado logo depois a uma empresa contratada pelo governo reforça riscos reais de transferência indevida de acesso privilegiado, especialmente porque ele teria dito a colegas ter 'nível Deus' nos sistemas da SSA, um termo técnico que remete a credenciais de administrador de sistema com permissão irrestrita de leitura, cópia e exportação de dados sensíveis.

Esse não é um vazamento isolado: é o terceiro incidente confirmado em seis meses envolvendo o DOGE e dados da SSA. Em janeiro de 2026, o Departamento de Justiça admitiu que o DOGE hospedou indevidamente dados da SSA em um servidor Cloudflare não autorizado; em agosto de 2025, houve denúncia de upload para ambiente de nuvem 'vulnerável'. Juntos, esses eventos revelam um padrão sistêmico de tratamento inadequado de dados altamente restritos, sem critérios técnicos de segregação, sem auditoria de acesso em tempo real e sem políticas claras de uso pós-emprego. Para empresas brasileiras que lidam com dados pessoais sob a LGPD, o caso serve como alerta prático: o maior risco não está no hacker externo, mas no funcionário com privilégios internos e sem supervisão contínua de atividades de exfiltração.