O ataque ao banco BTG Pactual ocorrido no último domingo fugiu ao padrão dos ataques anteriores, que atingiram as empresas que o Banco Central designa como PSTIs, Provedores de Serviços de Tecnologia da Informação (PSTI). Elas são entidades credenciadas pelo BC para processar dados e conectar instituições financeiras (bancos e fintechs) à rede do Sistema Financeiro Nacional (RSFN). Já no caso do BTG, o ataque foi em sua própria estrutura de tecnologia bancária.
O ataque resultou no desvio de recursos da conta reserva do Sistema de Pagamentos Instantâneos. De acordo com o site O Bastidor, a estimativa é de que mais de R$ 100 milhões tenham sido desviados, com os valores espalhados para centenas de contas de laranjas em cerca de 25 instituições financeiras, incluindo Caixa, Genial e Nubank. Parte do dinheiro foi rapidamente convertida em criptomoedas.
A Polícia Federal e o Ministério Público de São Paulo, por meio do CyberGaeco, estão investigando o caso. Os investigadores levantam informações sobre o possível uso de uma credencial antiga – ligada a uma empresa de tecnologia bancária que já prestou serviços ao BTG – que pode ter vazado; e não descartam a participação de funcionários com acesso às credenciais da conta reserva.
Desde 2025, já foram registrados ao menos três ataques desse tipo, com prejuízos superiores a R$ 1,5 bilhão. Há suspeita de que o grupo responsável seja próximo ao que invadiu a C&M Software e desviou R$ 813 milhões no ano passado, no que é considerado o maior roubo ao sistema financeiro do país.
