Uma fintech brasileira sofreu um dos ataques cibernéticos mais sofisticados do ano. Criminosos exploraram uma falha interna e desviaram R$ 26 milhões utilizando o sistema Pix, expondo vulnerabilidades graves no ecossistema de pagamentos digitais.
O caso reacende o alerta sobre a segurança das fintechs e as medidas adotadas pelo Banco Central (BC) para conter a escalada de fraudes financeiras.
Continue a leitura e entenda os detalhes da invasão.
Leia mais: Hackers invadem contas da PSN e expõem falhas da Sony
Como os hackers agiram
O ataque ocorreu no último domingo (19), quando a FictorPay, uma fintech controlada pela holding Fictor, teve seus sistemas comprometidos por hackers que realizaram 280 transferências via Pix.
As transações foram destinadas a cerca de 270 contas laranja, distribuídas entre diversos bancos e outras fintechs.
Os criminosos exploraram uma brecha em um aplicativo interno, o que lhes deu acesso à conta de uma prestadora de serviço da empresa. A partir daí, conseguiram realizar transferências sem que os limites diários do Pix — impostos pelo Banco Central — fossem aplicados.
Diferentemente das instituições autorizadas diretamente pelo BC, a FictorPay não é participante formal do Pix, operando por meio de intermediários tecnológicos. Essa estrutura indireta acabou facilitando o ataque.
Cibersegurança sob alerta
O caso revela a crescente vulnerabilidade das fintechs diante da sofisticação dos ataques digitais.
Em nota, a Celcoin, uma das prestadoras de serviço da FictorPay, afirmou não ter sofrido invasão em sua infraestrutura. Segundo a empresa, o incidente teve origem em uma provedora de soluções de aplicativos “white label”, utilizada por diversos players do setor de banking as a service (BaaS) e Core Banking.
“Assim que o comportamento foi percebido, bloqueamos preventivamente as operações e alertamos o cliente. As análises indicam que a origem do incidente está em uma empresa provedora de soluções de aplicativo ‘white label’, impactando diversos players do mercado”, informou a Celcoin.
A empresa reforçou que nenhuma invasão ocorreu em seu ambiente, e que todas as suas operações seguem em conformidade com as normas do Banco Central.
Banco Central e novas regras de segurança
O Banco Central ainda não se pronunciou oficialmente sobre o caso da FictorPay, mas vem endurecendo as normas de cibersegurança no Sistema Financeiro Nacional (SFN).
Desde setembro, o órgão fixou limite de R$ 15 mil para operações via Pix e TED realizadas por instituições de pagamento não autorizadas diretamente.
Essas empresas precisam comprovar a adoção de novos processos de controle para retirar a limitação. Caso o pedido de autorização seja indeferido, o BC determina que a operação seja encerrada em até 30 dias.
As mudanças fazem parte de um esforço para blindar o sistema financeiro de ações de grupos criminosos, após uma série de ataques contra empresas de tecnologia financeira nos últimos meses.
Histórico recente de ataques a fintechs
O ataque à FictorPay é o quinto grande incidente registrado em apenas três meses. Entre os casos mais notórios estão os da C&M Software, Sinqia, Monetarie (Monbank) e E2 Pay — todas empresas que atuam na interligação entre instituições financeiras e o sistema de pagamentos instantâneos.
- Em junho, a C&M Software foi invadida, e criminosos desviaram mais de R$ 1 bilhão.
- Em agosto, a Sinqia registrou um rombo de R$ 710 milhões — sendo R$ 360 milhões bloqueados pelo BC.
- Já em setembro, a Monetarie perdeu R$ 4,9 milhões em um golpe semelhante.
Os ataques têm um padrão: exploração de credenciais legítimas de fornecedores ou falhas em sistemas intermediários de integração com o Pix.
Essas brechas reforçam a necessidade de investimentos contínuos em cibersegurança, auditorias regulares e conformidade com as normas do Banco Central.
Especialistas alertam: o elo fraco ainda é humano
Analistas de cibersegurança destacam que, além das vulnerabilidades técnicas, falhas humanas continuam sendo o principal ponto de entrada de invasores.
A exposição de credenciais, o uso indevido de acessos administrativos e a falta de autenticação multifatorial estão entre os erros mais comuns.
Segundo especialistas, as fintechs precisam adotar protocolos de “zero trust”, que eliminam a confiança implícita dentro da rede corporativa, exigindo verificação constante de identidades e dispositivos.
Outras medidas recomendadas incluem:
- Auditorias de segurança trimestrais;
- Monitoramento em tempo real de transações Pix;
- Segregação de funções entre prestadores de serviços;
- Criptografia de ponta a ponta em integrações via API;
- Educação contínua de colaboradores sobre ameaças digitais.
Fintechs em crescimento, mas sob pressão
Apesar dos desafios, o setor de fintechs continua crescendo no Brasil. Com mais de 1.500 empresas ativas, o país é o maior mercado de finanças digitais da América Latina.
No entanto, com o aumento das operações via Pix — que ultrapassaram R$ 18 trilhões em movimentações em 2024 —, os riscos também cresceram exponencialmente.
O Banco Central tem enfatizado que o avanço tecnológico deve caminhar lado a lado com a segurança digital. Em nota recente, o órgão afirmou que “a inovação no sistema financeiro deve preservar a integridade, a confidencialidade e a disponibilidade das informações”.
O caso da FictorPay expõe, mais uma vez, a fragilidade das fintechs frente a ataques cibernéticos cada vez mais elaborados.
Enquanto o Banco Central reforça a regulamentação, empresas do setor correm para fortalecer seus sistemas e reconquistar a confiança do público.
Com informações de: Metrópoles
