A operação da Polícia Federal que prendeu oito suspeitos de ataques hacker ao sistema financeiro nacional, na sexta-feira passada, foi possível após os alvos monitorarem os alvos e iniciarem uma “ação controlada”, tipo de técnica de investigação que permite adiar a intervenção para obter mais provas, identificar participantes do crime e alcançar uma ação mais eficaz. A operação foi adotada após uma denúncia feita pela controladoria da Caixa Econômica Federal e a interceptação de mensagens e vídeos dos criminosos se gabando de ter acesso ao sistema Pix.

Os agentes identificaram o grupo após receberem na última quinta-feira um comunicado da Caixa de que dois suspeitos levariam uma máquina com credencial e acesso externo ao VPN (Rede Privada Virtual) das mãos do gerente de uma agência do Centro de São Paulo.

Em uma ação controlada, os agentes acompanharam a movimentação dos alvos e o transporte do notebook pelas ruas de São Paulo em direção a uma casa na Zona Leste da capital — onde outros hackers estavam reunidos.

Nesse local, a PF realizou a prisão em flagrante dos envolvidos. Em depoimento, a maioria deles negou ter envolvimento com os ataques cibernéticos e disseram estar ali para uma festa. Os investigadores apreenderam na residência doze celulares, um notebook e um pendrive.

Em mensagens interceptadas, a PF identificou a atuação de hackers que se comunicavam por meio de codinomes, como “SETHH 7”, “RBS” e “BA”. Entre eles, segundo os investigadores, estava um dos responsáveis “pela construção e viabilização dos meios de acesso ao sistema PIX”, segundo o relatório da PF. Ele teria introduzido vulnerabilidades estruturais no sistema com o objetivo de viabilizar novos ataques.

Os agentes encontraram ainda um vídeo em que um suspeito se gaba de ter “a senha que gira o Pix” .

Além disso, a PF detectou o envolvimento no esquema de “doleiros, designados como responsáveis pela destinação dos valores a serem subtraídos”, de acordo com o documento. Para dificultar o rastreamento do dinheiro roubado, boa parte do montante era convertido em criptomoeda e transferido ao exterior por meio de pequenas fintechs.

A Justiça Federal de São Paulo converteu a prisão em flagrante em preventiva no último sábado com base nas descobertas da Polícia Federal.

“Em primeiro lugar, conforme mencionado nos vídeos, as pessoas identificadas teriam acesso ao COFRE DE SENHAS da Caixa Econômica Federal, e que apenas haveria a necessidade de acesso à VPN. Em segundo lugar, conforme indicado nos vídeos, há o envolvimento de pessoa que teria participado, supostamente, da construção do Arranjo de Pagamento Instantâneo. Em terceiro lugar, trata-se de fato reiterado, sendo que há informações de fraudes não divulgadas, conforme mencionado”, diz o relatório da PF, que conclui:

“Em suma, trata-se de organização criminosa, que tem atuado em subtração de recursos do Arranjo de Pagamento Instantâneo, com acesso indevido a contas PI, mantidas por Instituições Financeiras no Banco Central”.

Conforme o documento alguns criminosos presos na última sexta são suspeitos de terem envolvimento nos ataques hackers à Sinqia e C&M, empresas que conectam bancos ao Sistema Pix e foram alvos de invasões nos últimos meses. As ações teriam resultado no suposto desvio de cerca de R$ 1,5 bilhão por meio dessas instituições.

Em nota, a PF informou que os suspeitos responderão pelos crimes de “organização criminosa e tentativa de furto qualificado por meio eletrônico” e que as investigações continuam para identificar “outros envolvidos”. As apurações são conduzidas sob sigilo pela Delegacia de Repressão a Crimes Cibernéticos (Deleciber), da PF.