Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
O ataque hacker à Capep, ainda tratado como suspeita, resultou na retirada indevida de R$ 3,29 milhões da conta da autarquia responsável pela assistência à saúde dos servidores municipais de Santos. A Prefeitura informou que a movimentação ocorreu fora do horário bancário e que R$ 2,2 milhões já haviam sido recuperados. (Prefeitura de Santos)
O caso expõe um problema maior: órgãos públicos movimentam recursos elevados, armazenam dados sensíveis e nem sempre adotam controles compatíveis com o cibercrime.
O que se sabe sobre o ataque hacker à Capep?
A Caixa de Assistência ao Servidor Público Municipal de Santos confirmou a retirada indevida. Além disso, notificou o banco, registrou boletim de ocorrência e encaminhou o caso à unidade policial especializada em crimes cibernéticos. (Prefeitura de Santos)
Segundo a Prefeitura, a Capep acompanha a apuração e adota medidas para proteger o patrimônio público. Até o momento, porém, as autoridades não divulgaram o vetor de acesso, as credenciais envolvidas nem possíveis suspeitos. Portanto, qualquer conclusão seria prematura. (Prefeitura de Santos)
Chamar de ataque hacker exige cautela técnica
A expressão “ataque hacker” ganhou força nas manchetes. Contudo, a retirada de dinheiro não prova, por si só, que criminosos invadiram diretamente os sistemas da Capep ou do banco.
Uma fraude desse tipo pode envolver roubo de credenciais, malware, phishing, acesso remoto comprometido, alteração de favorecidos ou abuso de privilégio interno.
Por isso, a perícia precisa analisar logs, estações de trabalho, contas, sistemas financeiros, acessos remotos e registros bancários. Sem essa reconstrução, “ataque hacker” continua sendo hipótese, não conclusão pericial.
O artigo Ataque hacker e fraude: como rastrear desvio de dinheiro explica como a investigação forense conecta acessos, transferências e evidências técnicas.
Como um desvio milionário passa pelos controles?
Criminosos financeiros raramente agem no primeiro acesso. Muitas vezes, observam rotinas, identificam horários, estudam limites e aguardam o momento mais favorável.
Consequentemente, uma senha roubada pode ser apenas o início. O invasor ainda precisa superar aprovações, limites e alertas de comportamento.
Quando uma única conta consegue iniciar e aprovar operações de alto valor, o risco aumenta. O mesmo ocorre quando a organização não exige autenticação multifator, não restringe dispositivos ou não gera alertas para movimentações atípicas.
O ataque hacker à prefeitura de Santa Catarina apresentou risco semelhante: criminosos tentaram movimentar centenas de milhões de reais, enquanto bloqueios posteriores reduziram o prejuízo.
Recuperar parte do dinheiro não encerra o incidente
A recuperação de R$ 2,2 milhões representa uma resposta importante. Ainda assim, o bloqueio financeiro não encerra a investigação.
A organização precisa descobrir como ocorreu o acesso, quais contas foram comprometidas, quando começou a atividade, se houve exposição de dados e quais controles falharam.
Sem essa análise, a instituição pode recuperar o dinheiro e continuar exposta ao mesmo grupo.
Além disso, as equipes devem preservar equipamentos, logs, e-mails, tokens, históricos bancários e registros de autenticação. Formatar máquinas ou alterar sistemas antes da coleta pode destruir vestígios essenciais.
Perícia digital deve começar nas primeiras horas
A resposta técnica precisa ser rápida, mas não improvisada.
Primeiro, a equipe deve conter o acesso e bloquear credenciais comprometidas. Em seguida, precisa preservar as fontes de evidência e registrar cada medida. Depois, a perícia pode criar imagens forenses, calcular hashes, examinar logs e reconstruir a linha do tempo.
O CERT.br destaca que quem responde ao incidente costuma entrar primeiro em contato com possíveis evidências. Portanto, a preservação inicial influencia diretamente a confiabilidade da investigação. (CERT.br)
No artigo Hacker da Defesa Civil: como o invasor disparou alertas falsos, credenciais legítimas e controles insuficientes também aparecem como elementos centrais. A lição se repete: usuário e senha não bastam para proteger sistemas críticos.
E se o ataque hacker à Capep envolver dados pessoais?
Até agora, não há informação pública que confirme vazamento de dados de beneficiários. Portanto, não devemos transformar uma fraude financeira em incidente de privacidade sem evidência.
Por outro lado, a Capep presta assistência à saúde e trata informações pessoais de servidores, aposentados, pensionistas e dependentes. Caso a investigação identifique acesso não autorizado a essas bases, a autarquia deverá avaliar o risco aos titulares e as obrigações da LGPD. (Prefeitura de Santos)
A Resolução CD/ANPD nº 15/2024 determina que o controlador comunique à ANPD e aos titulares, em até três dias úteis, incidentes capazes de causar risco ou dano relevante. Assim, a análise precisa abranger tanto o prejuízo financeiro quanto eventual exposição de dados. (Serviços e Informações do Brasil)
Como o setor público pode reduzir esse risco?
O setor público precisa trocar a segurança reativa por controles permanentes. Entre as medidas prioritárias estão:
- autenticação multifator resistente a phishing;
- dupla aprovação para operações de alto valor;
- limites financeiros por perfil e horário;
- restrição de acessos remotos;
- monitoramento de logs e transações atípicas;
- segmentação de redes;
- auditorias e testes de resposta;
- treinamento contra engenharia social.
Além disso, cada órgão deve manter um plano de resposta com responsabilidades claras. Quando ninguém sabe quem decide, comunica e preserva as provas, o criminoso ganha tempo.
O fortalecimento da gestão de vulnerabilidades e da cibersegurança na Administração Pública também integra iniciativas recentes do Tribunal de Contas da União. (Portal TCU)
Conclusão: o dinheiro recuperado não apaga a falha
O ataque hacker à Capep ainda depende de confirmação técnica. Contudo, a retirada de R$ 3,29 milhões já demonstra que controles financeiros e digitais precisam funcionar de forma integrada.
A investigação deve evitar respostas fáceis. Não basta culpar “hackers”, trocar algumas senhas e seguir a rotina. É necessário identificar o vetor, preservar evidências, revisar processos e corrigir a arquitetura que permitiu a movimentação.
O setor público administra dinheiro coletivo e dados de milhares de pessoas. Por isso, cibersegurança não pode aparecer apenas depois do prejuízo.
Sua prefeitura, autarquia ou empresa pública está preparada para detectar fraudes, preservar provas e responder a um incidente? Agende uma auditoria preventiva ou consultoria em resposta a incidentes pelo WhatsApp.
Fontes:
G1: Capep de Santos tem R$ 3,2 milhões desviados em suposto ataque hacker
Prefeitura de Santos: Capep acompanha apuração e devolução dos recursos
ANPD: comunicação de incidentes de segurança
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Formado em Segurança Pública, Bacharel em Direito e Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.