Uma fraude contra clientes da Caixa mostra que o crime digital nem sempre começa com um hacker tentando quebrar uma senha. Em muitos casos, a ameaça surge dentro de instituições, quando pessoas com acesso legítimo entregam dados sigilosos, antecipam medidas judiciais ou ajudam criminosos a escapar das investigações.
Segundo a Polícia Federal, uma organização criminosa teria desviado cerca de R$ 45 milhões de correntistas e beneficiários da Caixa Econômica Federal. Além disso, o grupo contaria com servidores públicos e outros colaboradores para obter informações privilegiadas e dificultar a atuação das autoridades.
A reportagem do Fantástico acrescentou um elemento especialmente grave: integrantes da quadrilha teriam recebido informações vazadas da Justiça. Portanto, o caso não envolve apenas fraude bancária. Ele também expõe o risco representado por acessos internos indevidos, corrupção de agentes e falhas na proteção de sistemas públicos.
O que a Polícia Federal investiga?
A Operação Infiltrados foi deflagrada em 21 de julho de 2026 pela Polícia Federal, com apoio do Grupo de Atuação Especial de Combate ao Crime Organizado do Ministério Público Federal.
Durante a ação, aproximadamente 120 policiais cumpriram 25 mandados de busca e apreensão em municípios do Rio de Janeiro e de São Paulo. Posteriormente, a Justiça autorizou outras três diligências relacionadas a dois investigados.
De acordo com a investigação, a organização utilizava dados sigilosos para realizar subtrações eletrônicas de valores pertencentes a correntistas e beneficiários da Caixa.
Ao mesmo tempo, servidores públicos, advogados e pessoas ligadas à contravenção teriam formado uma estrutura destinada a proteger o esquema. Essa rede poderia facilitar o acesso a informações restritas, interferir nas investigações e antecipar medidas que ainda deveriam permanecer sigilosas.
A Caixa informou que colabora com a Polícia Federal, monitora suas transações e mantém políticas de segurança destinadas a identificar atividades suspeitas. Contudo, como as investigações ainda continuam, não se pode atribuir responsabilidade definitiva a pessoas específicas antes da conclusão dos procedimentos.
A fraude contra clientes da Caixa não dependeu apenas de tecnologia
A expressão “crime cibernético” costuma criar a imagem de alguém escondido atrás de vários monitores, invadindo sistemas com ferramentas sofisticadas.
Entretanto, muitas fraudes digitais dependem menos da quebra de tecnologia e mais do uso indevido de acessos legítimos.
Um servidor, funcionário ou prestador autorizado pode visualizar informações que uma pessoa externa jamais conseguiria alcançar diretamente. Caso esse acesso seja vendido, compartilhado ou utilizado para beneficiar uma organização criminosa, a própria credencial institucional transforma-se em instrumento do crime.
Nesse cenário, o sistema pode registrar uma autenticação aparentemente normal. Afinal, o usuário possui uma senha válida e pode estar utilizando um equipamento autorizado.
Por isso, proteger apenas o perímetro da rede não basta.
A instituição também precisa acompanhar o que cada usuário acessa, em qual horário, com qual finalidade e em que volume.
Vazamento da Justiça pode destruir uma investigação
Uma investigação sigilosa depende do controle rigoroso das informações.
Caso o criminoso descubra antecipadamente a existência de uma busca, prisão, quebra de sigilo ou bloqueio de valores, ele pode apagar arquivos, destruir dispositivos, transferir dinheiro e combinar versões com outros integrantes.
Consequentemente, uma única consulta indevida pode comprometer meses de trabalho policial.
O vazamento também coloca agentes públicos, testemunhas e vítimas em risco. Além disso, permite que organizações criminosas identifiquem métodos investigativos e ajustem sua atuação para evitar novas operações.
No caso da fraude contra clientes da Caixa, a suspeita de participação interna torna a situação mais grave porque indica uma possível estrutura de contrainteligência criminosa.
Em outras palavras, o grupo não estaria apenas cometendo fraudes. Ele também teria criado mecanismos para descobrir quem o investigava e quais medidas seriam executadas.
O risco interno precisa entrar na estratégia de segurança
Empresas e órgãos públicos costumam investir em antivírus, firewalls e sistemas de detecção de invasões. Contudo, muitas vezes não aplicam o mesmo rigor ao controle das próprias credenciais.
Para reduzir o risco interno, a organização precisa adotar:
- acesso baseado na necessidade funcional;
- autenticação multifator;
- revisão periódica de permissões;
- separação entre funções críticas;
- registro detalhado das consultas;
- alertas para acessos fora do padrão;
- bloqueio rápido de contas inativas;
- monitoramento de exportações e pesquisas em massa;
- investigação de comportamentos anormais;
- responsabilização pelo uso indevido dos sistemas.
Além disso, permissões temporárias devem expirar automaticamente. Um servidor que muda de setor, por exemplo, não deve conservar acessos relacionados à função anterior.
Nesse sentido, a confiança não pode eliminar a auditoria.
O princípio do menor privilégio determina que cada usuário receba somente os acessos necessários para executar suas atividades. Dessa forma, mesmo que uma credencial seja comprometida, o alcance do dano tende a ser menor.
O que a perícia digital precisa analisar?
A investigação de um vazamento interno exige muito mais do que examinar mensagens encontradas em um celular.
Primeiramente, a perícia precisa reconstruir a linha do tempo. Para isso, deve comparar acessos, consultas, movimentações bancárias, comunicações e decisões judiciais.
Entre os elementos relevantes estão:
- registros de autenticação;
- endereços IP;
- identificação dos dispositivos;
- horários de consultas;
- sistemas acessados;
- arquivos visualizados ou exportados;
- alterações de permissões;
- mensagens entre investigados;
- movimentações financeiras;
- registros telefônicos e telemáticos.
Posteriormente, os peritos podem verificar se determinado usuário consultou informações sem relação com suas atribuições ou pouco antes de uma ação criminosa.
O artigo Ataque hacker e fraude: como rastrear desvio de dinheiro explica como logs, dispositivos e registros financeiros ajudam a reconstruir a movimentação dos valores.
Além disso, todo o material precisa seguir uma cadeia de custódia verificável. O conteúdo STJ anula prints: o que muda na validade das provas digitais mostra por que capturas isoladas não substituem método, integridade e documentação técnica.
Quais crimes podem estar envolvidos?
A Polícia Federal informou que os investigados poderão responder por organização criminosa, obstrução da Justiça e violação de sigilo funcional, sem prejuízo de outros crimes identificados durante a apuração.
O artigo 325 do Código Penal trata da revelação de fato conhecido em razão do cargo e que deveria permanecer em segredo. A norma também alcança quem facilita o acesso de pessoas não autorizadas a sistemas ou bancos de dados da Administração Pública.
Por sua vez, a Lei nº 12.850 considera crime impedir ou embaraçar uma investigação relacionada a organização criminosa, salvo quando a conduta configurar delito mais grave.
Contudo, o enquadramento de cada investigado dependerá das provas e da participação individual. Portanto, a existência de um vínculo profissional ou de uma consulta ao sistema não comprova, isoladamente, envolvimento criminoso.
Como os clientes podem agir diante de movimentações suspeitas?
O cliente que identificar uma operação desconhecida deve entrar em contato imediatamente com a instituição financeira.
Ao mesmo tempo, precisa preservar extratos, comprovantes, mensagens, números de protocolo e registros de atendimento.
Também é recomendável:
- alterar as senhas de acesso;
- revisar dispositivos autorizados;
- verificar empréstimos e contas abertas;
- registrar boletim de ocorrência;
- contestar formalmente as transações;
- acompanhar novas movimentações;
- evitar negociar com supostos atendentes por mensagens.
Por outro lado, apagar conversas ou formatar o aparelho pode destruir evidências. Quando houver prejuízo relevante, uma análise técnica pode ajudar a organizar os vestígios e sustentar medidas bancárias, policiais ou judiciais.
Conclusão: o acesso legítimo também pode servir ao crime
A fraude contra clientes da Caixa reforça uma lição essencial: nem toda ameaça digital vem de fora.
Quando organizações criminosas conseguem corromper pessoas, obter informações sigilosas e antecipar investigações, os controles tradicionais perdem eficácia.
Por isso, instituições financeiras, órgãos públicos e sistemas de Justiça precisam tratar o usuário interno como parte da superfície de risco.
Isso não significa presumir que todo servidor agirá de forma desleal. Significa, na verdade, reconhecer que qualquer acesso privilegiado precisa gerar registros, limites e possibilidade de auditoria.
A tecnologia pode bloquear invasores externos. Contudo, apenas uma combinação de governança, monitoramento, perícia e responsabilização consegue enfrentar estruturas que utilizam credenciais legítimas para cometer crimes.
Sua empresa ou instituição consegue identificar consultas indevidas, acessos privilegiados e movimentações financeiras anormais? Agende uma auditoria preventiva, análise pericial ou consultoria em resposta a incidentes pelo WhatsApp.
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Formado em Segurança Pública, Bacharel em Direito e Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.
Fontes consultadas
O Fantástico revelou como informações da Justiça teriam chegado à organização investigada.
A Polícia Federal detalhou a Operação Infiltrados, os mandados e os crimes apurados.
A CNN Brasil apresentou a suspeita de participação de servidores, advogados e contraventores.
O Código Penal disciplina a violação de sigilo funcional e o acesso indevido a sistemas públicos.