A Polícia Civil desarticulou uma quadrilha que invadia sistemas de grandes bancos para extrair e revender dados sigilosos de correntistas. A Operação Verifact prendeu um dos líderes em Ribeirão Preto (SP) enquanto seu computador atacava instituições financeiras de forma autônoma — ele dormia durante a invasão. O segundo suspeito, em Três Corações (MG), segue foragido.
O esquema movimentava valores entre R$ 1,5 mil e R$ 3,5 mil por “máquina” instalada, pagamento via Pix, e abastecia golpes de falsa central telefônica em todo o país. Mas a sofisticação técnica é o que mais chama a atenção: os criminosos driblaram defesas de dois dos maiores bancos brasileiros usando automação em escala industrial.
A prisão em flagrante e o foragido
João Pedro Frota da Silva, 23 anos, foi capturado em 28 de outubro pela 2ª Delegacia de Fraudes Contra Comércio Eletrônico (Deic/SP). Agentes o encontraram dormindo enquanto scripts rodavam em sua máquina, disparando consultas automatizadas contra APIs bancárias em tempo real. O comparsa, Ivan Wallace Mendes Pereira, mesma idade, não foi localizado no endereço mineiro e tem prisão decretada.
Segundo o delegado Maicon Richard de Moraes, a dupla não aplicava os golpes diretamente. Eles desenvolviam e vendiam as ferramentas de invasão para outras quadrilhas — o modelo conhecido como crime como serviço. “Verificavam a potencialidade da ferramenta a partir da invasão e a vendiam para quem efetivamente praticava os crimes cibernéticos”, explicou o delegado.
Como os bancos perceberam o ataque
Tudo começou entre fevereiro e março de 2026. O Banco Safra detectou um volume anômalo de acessos automatizados em seus canais de atendimento. A equipe de cibersegurança identificou disparos massivos de requisições concentrados em curto intervalo, originados de milhares de IPs distintos. O padrão de velocidade, sequência e periodicidade era incompatível com comportamento humano.
Em 9 de março, o Safra alertou o Santander sobre a ameaça. O banco espanhol analisou seus logs e confirmou: enfrentava o mesmo vetor de ataque, com a mesma assinatura técnica. As duas instituições uniram forças e formalizaram representação criminal na Polícia Civil de São Paulo, dando origem à investigação que culminou na Operação Verifact.
A engenharia por trás da invasão silenciosa
Os relatórios periciais revelam uma arquitetura de ataque em três estágios, combinando automação, reconhecimento de API e evasão avançada:
- Enumeração de endpoint vulnerável: os criminosos mapearam o ponto final de comunicação onde o sistema bancário responde a consultas de clientes.
- Teste em massa de CPFs: cada rodada submetia listas de aproximadamente 30 mil CPFs à função de consulta. O retorno diferenciado confirmava se o documento possuía conta ativa.
- Extração de dados sensíveis: uma vez validada a conta, o script coletava agência, número da conta, saldo, limite de cartão, renda declarada e até o nome do gerente.
A evasão de defesas merece destaque próprio. Os programas utilizavam rotação massiva de IPs via redes de proxy e VPN. Em uma única onda de ataque registrada pelo Safra, foram empregados cerca de 50 mil endereços IP distintos. Cada IP realizava apenas de uma a quatro tentativas antes de ser descartado — impedindo que sistemas antifraude bloqueassem a origem por excesso de requisições. Além disso, os bots simulavam cabeçalhos e parâmetros de navegação legítimos, enganando verificações de autenticidade.
O modelo “crime como serviço” e os preços no submundo
As ferramentas e bases de dados extraídas eram comercializadas em grupos de WhatsApp, Telegram, fóruns fechados e na deep web. O preço: R$ 1,5 mil a R$ 3,5 mil por máquina instalada, pagamento via Pix. Esse modelo permite que os desenvolvedores escalem o lucro sem se expor diretamente aos golpes de engenharia social — terceirizam o risco para compradores que aplicam o golpe da falsa central telefônica.
Com dados como saldo, limite e nome do gerente, os estelionatários ganham credibilidade imediata ao ligar para vítimas. A vítima ouve informações que “só o banco saberia” e acaba transferindo valores ou entregando senhas.
O que observar daqui para frente
A investigação expõe uma falha estrutural: endpoints de consulta expostos sem limitação rigorosa de taxa (rate limiting) e sem análise comportamental avançada capaz de detectar padrões distribuídos em dezenas de milhares de IPs. Bancos e reguladores tendem a endurecer requisitos de monitoramento de APIs sensíveis e a exigir autenticação mais forte em funções de enumeração de clientes.
Para correntistas, o alerta prático permanece: nenhuma instituição legítima liga pedindo senha, token ou transferência para “conta de segurança”. Se o atendente cita dados como seu gerente ou saldo exato, desconfie — essa informação pode ter vazado. Acompanhe extratos, ative alertas de login e, ao receber ligações suspeitas, desligue e contate o banco pelos canais oficiais.
