O Instituto de Previdência dos Servidores de Machado (IPREM) teve R$ 4,2 milhões desviados em menos de 48 horas. A polícia já rastreou o caminho do dinheiro — e o padrão assusta: 68 transferências para 47 contas distintas.
O ataque ocorreu entre 15 e 16 de outubro. A suspeita central: um servidor clicou em link falso de “atualização bancária”, instalando um programa espião que capturou senhas e acessos internos.
O esquema da pulverização
O delegado Pablo Ferreira classificou o caso como furto mediante fraude com uso de smurfing — técnica que fragmenta grandes valores em dezenas de operações menores para dificultar o rastreamento e evitar alertas automáticos dos bancos.
- 68 transferências realizadas em dois dias
- 47 contas de destino identificadas
- Valores pulverizados para burlar sistemas de compliance
Computadores do instituto foram apreendidos e enviados para perícia em Belo Horizonte. A investigação aponta engenharia social como vetor inicial: dias antes, alguém recebeu solicitação aparentemente legítima de atualização de sistema.
Engenharia social: o elo mais fraco
“Tudo começa com a engenharia social”, resume o delegado. A dinâmica é conhecida: mensagem com tom de urgência, simulando comunicação oficial do banco, induz a vítima a executar arquivo ou informar credenciais.
O resultado: malware instalado silenciosamente, registrando tudo o que era digitado — inclusive senhas de sistemas financeiros.
Impacto nos beneficiários e resposta institucional
O IPREM atende 176 aposentados e 11 pensionistas. Em nota, garantiu que os pagamentos de novembro seguirão normais, apesar do rombo. A Controladoria-Geral do Município abriu auditoria com prazo de 30 dias (prorrogáveis) para mapear falhas administrativas, operacionais e de controle.
A Câmara Municipal foi informada durante audiência pública e prestou orientações iniciais para tentativa de recuperação dos valores.
O que especialistas recomendam agora
Para Luciano Pereira de Carvalho, coordenador de Sistemas de Informação do Instituto Federal, duas frentes são inegociáveis:
- Capacitação contínua: treinar servidores para reconhecer urgências falsas, links suspeitos e solicitações fora do fluxo padrão
- Autenticação em camadas: duplo fator obrigatório, e em órgãos públicos, aprovação múltipla para movimentações financeiras
“A pessoa, no intuito de ser ágil, resolve rápido e cai no golpe. A autenticação em duas etapas e a regra de que nunca uma só pessoa autoriza tudo são barreiras reais”, explica Carvalho.
O que observar daqui para frente
A Prefeitura de Machado reforça que o IPREM é autarquia com gestão própria, mas colabora com as investigações. A auditoria interna deve entregar recomendações de reforço tecnológico e procedimental nas próximas semanas.
Para gestores de fundos previdenciários e tesourarias municipais, o caso acende alerta: a superfície de ataque não é apenas técnica — é humana. Investir em firewalls sem treinar quem clica nos e-mails deixa a porta aberta.
