Hacker drena até R$ 40 milhões via Pix em ataque a empresa de tecnologia

O alvo, desta vez, foi a FictorPay, fintech parceira de grandes plataformas financeiras, que teve pelo menos R$ 26 milhões desviados por criminosos cibernéticos, segundo o site PlatôBR. Outras fontes sugerem que o valor pode superar os R$ 40 milhões, já que o ataque teria como epicentro a Diletta, uma empresa de tecnologia de Campinas (SP), especializada em soluções white label para o setor financeiro.

Leia mais:

Santander sofre ataque hacker e serviços online ficam instáveis

Como o ataque ocorreu: credenciais e sistemas terceirizados

Invasão por dentro: credenciais comprometidas

Segundo fontes ligadas à apuração do Finsiders Brasil, o ataque teve semelhanças com os casos recentes envolvendo C&M Software e Sinqia, que também atuam como Provedoras de Serviço de Tecnologia da Informação (PSTIs).

Assim como nesses episódios, o vetor de entrada foi o uso indevido de credenciais de acesso internas, supostamente repassadas por um funcionário, o que facilitou o controle remoto dos sistemas e a movimentação indevida de recursos via Pix.

Diletta: software white label sem vínculo direto com o BC

O agravante é que, diferente das PSTIs, a Diletta não possui conexão regulatória direta com o Banco Central. Como fornecedora de software para instituições que operam sob licença bancária, ela atua nos bastidores do BaaS — modelo que permite a empresas operarem serviços financeiros sem serem bancos.

Isso torna a rastreabilidade e supervisão ainda mais complexas, especialmente em casos de fraude em larga escala, como o ocorrido.

FictorPay e Celcoin: envolvidas, mas sem invasão direta

FictorPay: prestador foi a origem

A FictorPay, fintech afetada pelo roubo, declarou em nota que seus próprios sistemas não foram comprometidos. A empresa afirma ter sido notificada sobre “atividade irregular em ambiente tecnológico de um prestador de serviços”, o que confirma o elo com a Diletta.

Segundo a empresa:

“A ocorrência está sendo apurada pela própria prestadora, com apoio de especialistas em segurança da informação, e até o momento não há registro de qualquer impacto nos sistemas próprios da FictorPay.”

Celcoin: sem relação direta, mas afetada

A Celcoin, uma das principais infraestruturas financeiras autorizadas pelo BC, também foi citada por estar conectada ao ecossistema da FictorPay. A empresa negou qualquer violação em seus sistemas:

“As análises indicam que a origem do incidente está em uma empresa provedora de soluções de aplicativo white label utilizada por este cliente e por outras empresas do mercado, impactando diversos players de BaaS e Core Banking, sem qualquer relação com a Celcoin.”

BaaS: o elo frágil da cadeia financeira?

O episódio reforça uma preocupação crescente entre especialistas: o modelo Banking as a Service se expande rapidamente, mas ainda carece de marcos regulatórios sólidos.

Falta de supervisão direta

Empresas como a Diletta, embora não realizem operações financeiras diretamente, intermediam softwares essenciais para transações — inclusive via Pix. Contudo, por não serem instituições autorizadas pelo BC, essas empresas ficam fora do alcance da supervisão direta do regulador.

Impacto sistêmico sem rastreabilidade

O maior problema é que uma falha em empresas como a Diletta pode afetar todo um ecossistema de fintechs, sem que o BC consiga agir de forma imediata. Sem regras específicas para BaaS e provedores white label, a responsabilidade em caso de ataque torna-se difusa.

Medidas recentes do Banco Central são suficientes?

Diante de uma escalada de fraudes digitais com Pix, o Banco Central anunciou em setembro uma série de medidas, entre elas:

Novas regras de limite e rejeição

• Limite de R$ 15 mil para Pix e TED em Instituições de Pagamento (IPs) não autorizadas ou com uso de PSTIs.
• Obrigatoriedade, desde 13 de outubro, de instituições rejeitarem transações com contas suspeitas de envolvimento em fraudes.

Normas de penalidade

• O BC também estabeleceu novas resoluções sobre segurança e penalidades, visando reforçar a governança e a responsabilidade das instituições financeiras em caso de falhas ou omissões.

Críticas e lacunas

Apesar dos avanços, especialistas apontam que as regras ainda deixam de fora peças-chave da cadeia, como:

• Empresas não autorizadas diretamente pelo BC, mas que desenvolvem sistemas essenciais;
• Modelos BaaS e white label, cuja responsabilidade é difusa;
• Falta de cadastro e vigilância cibernética obrigatória sobre esses intermediários.

O que dizem as empresas envolvidas

Diletta

“A Diletta informa que, recentemente, foi vítima de um ataque cibernético. Assim que o incidente foi identificado, a empresa tomou todas as diligências necessárias para tratar da situação com a máxima seriedade e responsabilidade… Até esse momento não foi identificado o envolvimento de dados pessoais no incidente.”

FictorPay

“A FictorPay informa que foi comunicada sobre uma atividade irregular em ambiente tecnológico de um prestador de serviços… até o momento não há registro de qualquer impacto nos sistemas próprios da FictorPay.”

Celcoin

“Foi identificada uma movimentação atípica na conta de um cliente, prontamente detectada por nossos sistemas… a origem do incidente está em uma empresa provedora de soluções white label, sem qualquer relação com a Celcoin.”

Riscos para o futuro: o que pode acontecer se nada mudar

Expansão do Pix e fragilidade dos intermediários

Com a expansão do Pix para novos serviços como Pix parcelado, Pix automático e até mesmo Pix internacional, o risco cibernético cresce proporcionalmente. Caso players críticos continuem fora da alçada regulatória, brechas como a explorada no caso Diletta/FictorPay tendem a se repetir — e escalar.

Efeito cascata no ecossistema financeiro

• Fintechs perdem reputação e usuários;
• Bancos enfrentam riscos sistêmicos indiretos;
• O consumidor final sofre perdas e insegurança;
• O Banco Central é pressionado por mais regras e supervisão ampliada.

Soluções sugeridas por especialistas

Entre as sugestões do setor estão:

• Cadastro obrigatório de todos os fornecedores de tecnologia financeira que atuam como intermediários;
• Criação de um selo de conformidade cibernética para software white label;
• Auditorias técnicas regulares em ambientes que processam transações Pix;
• Formação de centros cooperativos de segurança digital entre fintechs, bancos e provedores.

Imagem: SeventyFour / shutterstock.com