Modus operandi

Ataque via PSTI: quando a invasão não é no banco

Dois ataques em dois meses desviaram centenas de milhões sem que nenhum banco fosse invadido. O que é um PSTI, como o desvio acontece e o que veio depois.

Por Julio Cesar Madeira Soares, Perito em Investigação Digital e Segurança da Informação.
Publicação prevista para 10 de novembro de 2026

Em julho e agosto de 2025, duas empresas de tecnologia foram atacadas e centenas de milhões de reais saíram de instituições financeiras brasileiras. Nenhum banco foi invadido. Nenhum cliente entregou senha. Nenhuma vítima caiu em conversa de falsa central.

Esse é o tipo de fraude que quase não aparece em conteúdo jurídico, e é a que vai gerar mais litígio nos próximos anos, porque envolve três partes que se apontam mutuamente: a instituição, o prestador de tecnologia e o cliente final.

O que é um PSTI

PSTI é a sigla de Provedor de Serviços de Tecnologia da Informação. No desenho brasileiro, é a empresa que presta serviço de processamento de dados para que uma instituição acesse a Rede do Sistema Financeiro Nacional.

Traduzindo: muita instituição não tem infraestrutura própria para se conectar ao Banco Central e ao arranjo Pix. Ela contrata quem tem. Esse fornecedor fica, literalmente, no caminho do dinheiro.

E aí está a característica que define o risco. Um PSTI não guarda dinheiro, não tem cliente final e não aparece no aplicativo de ninguém. Mas ele conversa com o sistema financeiro em nome de várias instituições ao mesmo tempo. Comprometer um PSTI é comprometer todos os seus clientes de uma vez.

Dois ataques em dois meses

Os números do primeiro caso seguem sem confirmação oficial, e é assim que devem ser tratados. Os do segundo aparecem com consistência maior na cobertura, embora haja divergência: uma reportagem menciona montante superior ao noticiado pelos demais veículos.

Como o desvio acontece

A parte técnica é menos exótica do que a manchete sugere, e é justamente isso que a torna preocupante.

No caso da C&M, segundo o que foi apurado e noticiado, os criminosos não quebraram criptografia nem exploraram falha inédita. Obtiveram credenciais legítimas de um funcionário, que teria vendido o acesso por R$ 15 mil, e usaram essas credenciais para gerar transações a partir de dentro.

Repare no desequilíbrio: quinze mil reais de um lado, centenas de milhões do outro. Nenhum controle técnico compensa um incentivo econômico com essa proporção, e é por isso que gestão de acesso de pessoas com privilégio deixou de ser tema de TI e virou tema de risco.

O padrão, de forma geral, é este:

1. Acesso inicial, por credencial comprada, vazada, reutilizada ou obtida por engenharia social.
2. Movimento dentro do ambiente, até alcançar o sistema que fala com a rede do sistema financeiro.
3. Emissão de transações que parecem legítimas, porque tecnicamente elas são: estão assinadas com credencial válida, vindo do lugar certo.
4. Dispersão imediata, com o valor caindo em contas que já estavam preparadas para receber e sair.
5. Conversão, com parte indo para ativo digital ou saque, para romper o rastro.

Os passos 4 e 5 são os mesmos de qualquer fraude de varejo, e dependem da mesma infraestrutura de contas de passagem. A diferença é a escala da entrada.

Por que o prejuízo escala

Em fraude contra pessoa física, o criminoso precisa repetir o golpe milhares de vezes. Cada repetição tem custo, risco e chance de falhar.

Aqui, o ataque acontece uma vez e o dinheiro sai de várias instituições simultaneamente, em volume alto, em minutos. É a diferença entre pescar com vara e romper a barragem do açude.

Tem um agravante de detecção. Uma transação com credencial válida, originada da infraestrutura correta, não aciona os mesmos alertas que uma transação de cliente com comportamento atípico. O monitoramento antifraude tradicional olha para o cliente final, e nesse tipo de ataque o comportamento anômalo está no canal, não no cliente.

O que a regulação fez depois

Aqui vale montar a linha do tempo, porque ela explica o ano regulatório inteiro.

Oito semanas separam o segundo ataque do pacote inteiro. Quando se lê o ano de 2025 dessa forma, fica claro que as normas de setembro não foram agenda planejada, foram resposta.

O que a Resolução 498 passou a exigir de um PSTI, em resumo: credenciamento junto ao Banco Central, capital mínimo de R$ 15 milhões, governança, segurança da informação e cibernética, auditoria, certificações, plano de continuidade e seguro de responsabilidade civil e de riscos operacionais, incluindo incidentes cibernéticos.

Essa última exigência merece atenção de quem trabalha com contrato. Quando o regulador obriga a contratação de seguro para um risco, ele está declarando que espera que o risco se materialize e que alguém precise responder financeiramente por ele.

A Resolução 547, de janeiro de 2026, apertou mais: o Banco Central passou a poder exigir, a qualquer momento, capital social e patrimônio líquido superiores aos apresentados no credenciamento inicial, e foram reforçadas as exigências de governança, controles internos e compliance, com relatório anual e mecanismos de rastreabilidade.

Onde a responsabilidade vai ser discutida

Essa é a parte que ainda está em aberto e que vai ocupar o jurídico dos próximos anos. Os eixos previsíveis:

Entre a instituição e o cliente final. O cliente lesado não tem relação contratual com o PSTI. Ele contratou o banco. A discussão tende a seguir a lógica do fortuito interno, tratando a falha do fornecedor como risco da atividade de quem o contratou.

Entre a instituição e o fornecedor. Regresso, limitação de responsabilidade em contrato, cobertura de seguro e o que exatamente estava previsto em nível de serviço e de segurança.

Diligência na contratação. Com a 498 e a 547 na mesa, ficou mais difícil sustentar que a escolha do fornecedor foi um ato puramente comercial. Existe agora um conjunto de requisitos objetivos que dá para verificar antes de assinar, e não verificar passa a ser uma decisão com consequência.

O que preservar nas primeiras horas

Incidente desse tipo tem uma característica cruel: a pressa de restabelecer o serviço destrói a prova de como ele caiu. Reconstruir ambiente, recriar máquina e rotacionar credencial são medidas corretas de resposta e são, ao mesmo tempo, destruição de vestígio quando feitas sem preservação prévia.

O mínimo que precisa ser congelado antes de qualquer restauração:

• Imagem dos sistemas comprometidos, e não apenas os logs deles
• Log de autenticação e de autorização, com fuso declarado
• Registro de sessão e de acesso remoto do período
• Trilha das transações emitidas, com identificador e horário
• Configuração vigente no momento do incidente, antes de qualquer correção
• Registro de quem fez o quê durante a resposta, incluindo horário

Tudo isso obedece às mesmas regras de cadeia de custódia que valem para qualquer prova digital, com um complicador: aqui a coleta acontece durante uma crise, com pressão de negócio para voltar a operar. Por isso a decisão de quem preserva e como preserva precisa estar definida no plano de resposta, e não ser tomada às três da manhã.

O que perguntar ao seu fornecedor

Para quem contrata PSTI ou qualquer provedor com acesso à infraestrutura de pagamento, um roteiro curto:

1. Você é credenciado junto ao Banco Central, e qual a situação atual do credenciamento?
2. Quem, na sua empresa, tem acesso privilegiado ao ambiente que fala com a rede do sistema financeiro, e como esse acesso é revisado?
3. Como funciona a segregação entre os ambientes dos seus diferentes clientes?
4. Qual a cobertura do seguro exigido pela norma, e o que ela exclui?
5. Em caso de incidente, qual o seu procedimento de preservação de evidência antes da restauração?
6. Em quanto tempo você me comunica um incidente, e por qual canal?
7. Posso auditar, ou receber relatório de auditoria independente?

Se alguma dessas perguntas causar desconforto no fornecedor, isso já é uma resposta.