Ataque hacker rouba milhões de instituição financeira e desafia o Banco Central

O caso reacende o debate sobre segurança digital no ecossistema financeiro brasileiro e sobre o uso de plataformas terceirizadas para conexão com o sistema Pix — uma prática comum entre fintechs de menor porte que não possuem autorização direta do Banco Central (BC).

Leia mais:

Santander sofre ataque hacker e serviços online ficam instáveis

A FictorPay e o grupo controlador

A FictorPay pertence à holding Fictor, grupo empresarial que atua nos setores alimentício, financeiro e de infraestrutura. Fundada em 2007, a holding emprega cerca de 4 mil funcionários e registrou faturamento de R$ 3,5 bilhões em 2024, com projeção de chegar a R$ 5 bilhões em 2025.

O braço financeiro do grupo, a FictorPay, opera como uma plataforma de pagamentos digitais, oferecendo serviços de carteira eletrônica, emissão de cartões e soluções de banking-as-a-service (BaaS).

Como ocorreu o ataque hacker

De acordo com informações preliminares, o ataque começou quando os criminosos identificaram uma brecha de segurança em um aplicativo white label — uma solução terceirizada utilizada pela FictorPay e outras empresas do setor para oferecer serviços financeiros personalizados.

Por meio dessa vulnerabilidade, os hackers conseguiram acessar a conta da empresa responsável pelo aplicativo, o que permitiu o saque indevido de valores e a realização de transferências em massa via Pix.

O volume do ataque

• Valor total desviado: cerca de R$ 26 milhões
• Quantidade de transações: 280
• Contas de destino: cerca de 270, espalhadas por diferentes bancos e fintechs

As transferências não respeitaram o limite de valor imposto pelo Banco Central, já que a fintech não é participante direta do sistema Pix, operando por meio de empresas intermediárias, chamadas Prestadoras de Serviços de Tecnologia da Informação (PSTIs).

FictorPay se conecta ao Pix por meio de terceiros

A FictorPay não possui conexão direta com o sistema Pix. Em vez disso, utiliza intermediários licenciados, que operam dentro das normas do Banco Central. Essa arquitetura é comum em fintechs que ainda estão em fase de expansão, mas aumenta o risco de vulnerabilidades externas.

Segundo o BC, atualmente cerca de 250 instituições acessam o sistema de pagamentos por meio de terceiros, o que torna a cadeia de segurança mais complexa.

Embora a falha tenha ocorrido na empresa fornecedora do aplicativo white label, as transações indevidas partiram da conta corporativa associada à FictorPay, o que deve ser apurado pelas autoridades.

A resposta da Celcoin: “Nenhuma invasão ocorreu em nosso ambiente”

Uma das empresas que presta serviços à FictorPay é a Celcoin, fintech que fornece infraestrutura de pagamentos e tecnologia de Core Banking para várias instituições financeiras.

Em nota oficial, a Celcoin afirmou que não foi alvo de ataque e que nenhuma invasão ocorreu em seu ambiente tecnológico. Segundo a empresa, seus sistemas de monitoramento detectaram movimentações atípicas e agiram rapidamente:

“Assim que o comportamento foi percebido, bloqueamos preventivamente as operações e alertamos imediatamente o cliente. As análises indicam que a origem do incidente está em uma empresa provedora de soluções de aplicativo white label utilizada por este cliente e por outras empresas do mercado.”

A Celcoin destacou ainda que continua apoiando a FictorPay nas investigações e que todas as suas operações permanecem “estáveis e seguras, em total conformidade com as normas do Banco Central”.

O que é um aplicativo white label?

Os aplicativos white label são plataformas tecnológicas desenvolvidas por uma empresa e customizadas por outras marcas, que as utilizam para oferecer serviços financeiros sem precisar construir uma estrutura do zero.

Embora o modelo reduza custos e acelere o lançamento de produtos, também aumenta os riscos de segurança, já que várias empresas compartilham a mesma base tecnológica.

No caso da FictorPay, a brecha explorada pelos hackers atingiu justamente essa camada intermediária, comprometendo várias empresas do ecossistema que utilizam a mesma provedora.

Banco Central limita transferências para fintechs terceirizadas

O Banco Central do Brasil vem tentando reforçar a segurança do sistema Pix e reduzir os riscos envolvendo intermediários. Em 2024, a autarquia limitou em R$ 15 mil o valor máximo das transferências para instituições não autorizadas diretamente ou que se conectam por meio de PSTIs.

A decisão foi uma resposta à crescente sofisticação dos golpes digitais e ao aumento de ataques a plataformas de terceiros, que muitas vezes não possuem o mesmo nível de proteção que bancos tradicionais.

O caso da FictorPay, contudo, mostra que mesmo com restrições, ainda existem lacunas de segurança exploráveis pelos criminosos.

O silêncio do Banco Central e da FictorPay

Procurado pela imprensa, o Banco Central informou que não comentará o caso. Já a FictorPay não respondeu aos contatos feitos por telefone e via LinkedIn ao CEO Ricardo Abdo e ao CEO da holding Fictor, Rafael Gois.

Fontes do setor afirmam que a empresa está conduzindo uma investigação interna e colaborando com autoridades policiais para tentar rastrear as contas utilizadas no golpe.

Impactos e investigação em andamento

A Polícia Federal e as áreas de compliance bancário das instituições envolvidas já estão atuando para identificar os destinatários das transferências e tentar reverter os valores desviados.

Especialistas em segurança digital apontam que os recursos podem ter sido fragmentados rapidamente entre múltiplas contas laranjas, tornando difícil a recuperação integral.

Possíveis consequências para o setor

• Perda de confiança de investidores e clientes em fintechs conectadas a terceiros;
• Aumento da pressão regulatória sobre empresas de BaaS e white label;
• Revisão de contratos de terceirização tecnológica;
• Maior fiscalização do Banco Central sobre o ecossistema Pix.

Falhas humanas e tecnológicas: um alerta para o mercado

O ataque à FictorPay é mais um exemplo de como brechas em sistemas terceirizados podem causar grandes prejuízos financeiros e reputacionais.

De acordo com especialistas em cibersegurança, a falha possivelmente foi explorada por meio de engenharia social combinada com vulnerabilidades de autenticação, permitindo que os hackers se infiltrassem sem acionar os protocolos de segurança automáticos.

Empresas de BaaS e Core Banking que utilizam o mesmo provedor white label estariam revendo suas políticas de integração, com reforço em autenticação multifatorial, monitoramento de APIs e auditorias externas.

Fintechs sob pressão: um ambiente cada vez mais vulnerável

A sofisticação dos golpes cibernéticos tem desafiado fintechs e startups financeiras, especialmente as que dependem de parcerias tecnológicas para operar.

O Pix, embora seguro em sua estrutura central, tornou-se porta de entrada para criminosos quando mal implementado em plataformas intermediárias.

Casos como o da FictorPay evidenciam que a fragilidade pode estar fora do perímetro das instituições financeiras principais, e que o modelo de terceirização tecnológica exige revisão urgente.

Imagem: ViChizh / shutterstock.com