A Polícia Civil desarticulou uma quadrilha que transformou invasão bancária em produto escalável, vendendo ferramentas e listas de clientes por até R$ 3,5 mil cada. Dois jovens de 23 anos operavam de Ribeirão Preto e do Sul de Minas, mas o alcance do esquema ultrapassava fronteiras estaduais. O que chama atenção não é apenas o volume de dados roubados, mas a sofisticação técnica que enganou sistemas de segurança de grandes instituições por semanas.
O flagrante inusitado que abriu a investigação
Em 28 de outubro, agentes da 2ª Delegacia de Fraudes contra Comércio Eletrônico (Deic) prenderam João Pedro Frota da Silva em sua residência em Ribeirão Preto (SP). O detalhe que intrigou os investigadores: o suspeito dormia enquanto seus scripts rodavam invasões automatizadas em tempo real contra sistemas bancários. O comparsa, Ivan Wallace Mendes Pereira, natural de Três Corações (MG), não foi localizado e segue foragido.
Segundo o delegado Maicon Richard de Moraes, a dupla não se limitava a roubar dados para uso próprio. Eles desenvolviam e comercializavam o arsenal tecnológico que alimentava uma rede nacional de crimes cibernéticos — o modelo conhecido no submundo digital como “crime como serviço”.
Como os bancos perceberam o ataque
Tudo começou entre fevereiro e março de 2026, quando o Banco Safra detectou um padrão anômalo: milhares de requisições automatizadas concentradas em curtos intervalos, originadas de endereços IP distintos. A velocidade, a sequência e a periodicidade das consultas eram incompatíveis com comportamento humano.
Em 9 de março, o Safra alertou o Santander. A equipe de inteligência do segundo banco confirmou investidas com a mesma assinatura técnica. A convergência de evidências levou as duas instituições a formalizarem representação criminal conjunta na Polícia Civil de São Paulo. O Santander afirmou em nota que coopera com as investigações desde o início e mantém sistemas eficazes de prevenção. O Safra não se manifestou até o fechamento desta reportagem.
A engenharia por trás da invasão: scripts, APIs e rotação massiva de IPs
Os relatórios periciais revelam uma arquitetura de ataque em três camadas:
- Enumeração de APIs: os criminosos mapearam endpoints vulneráveis — pontos de comunicação onde os sistemas respondem a consultas — e desenvolveram softwares dedicados a explorá-los.
- Teste em massa de CPFs: cada rodada enviava listas de aproximadamente 30 mil CPFs para a função de consulta. O retorno diferenciado do sistema confirmava se o documento possuía conta ativa na instituição.
- Evasão por rotação de IPs: em uma única onda registrada pelo Safra, cerca de 50 mil endereços IP distintos foram utilizados. Cada IP realizava de uma a quatro tentativas antes de ser descartado, impedindo bloqueios por excesso de requisições. Proxy e VPNs mascaravam a origem real, enquanto cabeçalhos e parâmetros de rede simulavam navegação legítima.
O que era roubado e quanto valia no mercado clandestino
Uma vez confirmada a existência da conta, os programas raspavam um dossiê completo: número da agência, conta corrente, saldo disponível, limite de cartão de crédito, renda declarada e até o nome do gerente responsável. As informações eram estruturadas automaticamente em bancos de dados prontos para revenda.
As ferramentas e listas circulavam em grupos de WhatsApp, Telegram, fóruns fechados e na deep web. Valores apurados: R$ 1,5 mil a R$ 3,5 mil por máquina instalada, pagos via Pix. Compradores — quadrilhas especializadas no golpe da falsa central telefônica — usavam os dados para ganhar credibilidade nas ligações e induzir vítimas a transferências ou entrega de senhas.
O que observar daqui para frente
A operação expõe uma falha sistêmica: endpoints de consulta expostos a enumeração sem limitação de taxa (rate limiting) eficaz e sem detecção comportamental avançada para tráfego distribuído. Para empresas do setor financeiro, o caso reforça a necessidade de monitoramento contínuo de anomalias em APIs públicas, compartilhamento ágil de inteligência de ameaças entre instituições e investimento em autenticação baseada em risco — não apenas em credenciais estáticas. Para o cidadão, o alerta permanece: desconfie de ligações que citam dados bancários detalhados; bancos não solicitam senhas ou tokens por telefone.
