Golpe hacker atinge fintechs que receberam R$ 360 mi; vítimas registram queixas

Os casos resultaram em centenas de queixas registradas na Justiça e em órgãos de defesa do consumidor, expondo falhas graves na segurança e na governança das plataformas envolvidas.

Leia Mais:

Energia pode compor até 92% do preço dos alimentos, segundo estudo

Soffy Soluções de Pagamentos é centro de denúncias

A fintech Soffy Soluções de Pagamentos, responsável por R$ 270 milhões dos valores bloqueados pela Justiça, é o foco principal das investigações. Segundo vítimas, a empresa teria sido usada como plataforma para contas falsas e operações fraudulentas. Em diversos relatos, consumidores alegam que contas foram abertas em seus nomes sem consentimento.

Além disso, grandes empresas e pessoas físicas relatam perdas financeiras significativas. Um dos casos envolve uma empresa de tecnologia que teve sua conta invadida por criminosos. Usando engenharia social, os golpistas conseguiram realizar 88 transferências de R$ 15 mil para contas ligadas a laranjas cadastrados na Soffy.

Em outro episódio, uma idosa foi enganada por um falso advogado, que contratou empréstimos em seu nome. Os valores foram transferidos para uma conta na Soffy, revelando a fragilidade dos controles de verificação da fintech.

Venda suspeita da Soffy levanta mais dúvidas

O histórico recente da empresa também levanta suspeitas. A Soffy foi adquirida em maio de 2025 por Stevan Paz Bastos, um ex-cozinheiro de Campo Grande (MS), que passou a figurar como único sócio após comprar a totalidade das cotas da empresa por R$ 1 milhão.

Sem histórico no mercado financeiro, Bastos é também proprietário da Distribuidora Peixe Boi, aberta em 2018. A Soffy, originalmente criada como Orion Soluções de Pagamentos em Atibaia (SP), teve seu endereço alterado recentemente para a Avenida Paulista, em São Paulo, logo após a mudança societária. O comprador não foi localizado para comentar o caso.

Transfeera também entra na mira das investigações

Outra fintech citada nas investigações é a Transfeera, que teria sido usada para desviar R$ 90 milhões do banco BMP, um dos maiores afetados pelo golpe. Reclamações de consumidores e empresas apontam o uso da plataforma para fins ilícitos, incluindo fraudes sofisticadas de identidade digital.

Falsos sites e golpe do emprego

Uma empresa de cosméticos denunciou que golpistas clonaram seu site e passaram a vender os mesmos produtos com preços atrativos. Os pagamentos das vítimas eram direcionados para contas abertas na Transfeera.

Em outro caso, a fintech teria sido usada em um esquema de falso emprego, que atraiu vítimas com promessas de dinheiro fácil em troca de curtidas e avaliações online. Inicialmente, os golpistas pagavam valores baixos como forma de atrair confiança. Em seguida, convenciam as vítimas a investir R$ 1 mil com promessa de retorno de R$ 5 mil — valor que nunca era devolvido.

Como o ataque foi arquitetado: operação sofisticada de Supply Chain

As investigações revelam que o golpe foi planejado por meio de uma técnica chamada Supply Chain Attack, na qual os criminosos invadem o sistema de uma empresa com o objetivo de atingir sua cadeia de clientes e parceiros.

Neste caso, o alvo inicial foi a C&M Software, especializada em sistemas financeiros, que teve sua infraestrutura comprometida por insiders. Segundo a Polícia Civil, os criminosos já estavam infiltrados no sistema há mais de seis meses, o que lhes permitiu preparar as ações com precisão cirúrgica.

Funcionário preso por facilitar acesso ao sistema

Dois dias após o golpe, a Polícia Civil prendeu João Nazareno Roque, funcionário do setor de TI da C&M, acusado de ceder suas credenciais de acesso em troca de R$ 15 mil. Ele é apontado como o responsável por permitir a entrada dos hackers na rede da empresa.

Prejuízo pode ultrapassar R$ 541 milhões

As autoridades ainda apuram a real dimensão do prejuízo. A Polícia Civil paulista divulgou um número inicial de R$ 541 milhões, referentes apenas aos valores desviados do banco BMP, mas fontes da Polícia Federal, que também investiga o caso, acreditam que o montante total ultrapasse esse valor.

Interrupção de operações e impacto no Pix

O golpe afetou, diretamente, ao menos seis instituições financeiras, com impacto temporário nas operações de transferências via Pix, o que gerou instabilidade nos sistemas e alerta máximo nas autoridades reguladoras.

O Banco Central acompanha os desdobramentos e estuda novas medidas de segurança para o setor, principalmente para fintechs que atuam com menos rigor regulatório e contam com menor estrutura de compliance.

Justiça avança sobre ativos e bloqueia milhões

Em meio às investigações, a Justiça já determinou o bloqueio de R$ 270 milhões em contas associadas à Soffy. A expectativa é que os processos avancem nos próximos meses, com apuração das responsabilidades civis e criminais dos envolvidos, incluindo os atuais e antigos sócios das fintechs investigadas.

Falhas regulatórias expostas

O episódio evidencia lacunas na regulação do setor de fintechs no Brasil. Muitas dessas empresas operam com estrutura enxuta e sem a mesma fiscalização imposta aos grandes bancos. A facilidade de abertura de contas, aliada à falta de sistemas robustos de prevenção à fraude, torna essas instituições alvos ideais para criminosos digitais.

Imagem: SeventyFour / shutterstock.com