Contas laranja: depois de ataques hacker históricos e bilionários, bancos tentam limitar rotas de fuga para dinheiro roubado

O sistema financeiro brasileiro está em alerta em meio a uma série de ataques cibernéticos a empresas de tecnologia contratadas por bancos e fintechs. Há penas alguns dias, hackers invadiram o ambiente da Diletta, prestadora de serviços de infraestrutura digital para o setor, e realizaram transações atípicas via Pix. Segundo estimativas não oficiais reveladas ao Seu Dinheiro, o valor total desviado poderia chegar a R$ 40 milhões.

• LEIA TAMBÉM: Tenha acesso às recomendações mais valorizadas do mercado sem pagar nada; veja como receber os relatórios semanais do BTG Pactual com o Seu Dinheiro

Um padrão que se repete

O ataque à Diletta repete um padrão observado em outros incidentes recentes: criminosos têm direcionado suas ações aos bastidores tecnológicos do sistema financeiro — empresas que conectam bancos e instituições de pagamento à infraestrutura do Pix.

Essas companhias atuam em um ponto sensível do ecossistema: intermediando transações, mas sem a mesma visibilidade ou estrutura de segurança das grandes instituições financeiras. 

Desde o primeiro semestre, empresas de tecnologia financeira vêm sendo alvos de ataques semelhantes. 

Em junho, uma invasão à C&M Software resultou em desvio estimado em mais de R$ 1 bilhão. Dois meses depois, a Sinqia, também fornecedora de soluções para o setor bancário, sofreu outro ataque, com prejuízos estimados em R$ 420 milhões.

Os casos consolidaram um alerta: os criminosos passaram a atacar as engrenagens invisíveis do sistema financeiro, explorando vulnerabilidades nas empresas que operam longe do público, mas são fundamentais para a liquidação de pagamentos.

Banco Central e Febraban impõe novas barreiras

A sequência de ataques motivou uma resposta direta do Banco Central, que em setembro anunciou regras adicionais de segurança para fintechs e instituições de pagamento conectadas ao sistema.

Entre as medidas está o teto de R$ 15 mil para transferências via Pix e TED realizadas por empresas que atuam por meio de intermediários tecnológicos. Além disso, o BC determinou que todas as fintechs deverão ter autorização formal para operar até maio de 2026.

Em paralelo às ações do BC, a Federação Brasileira de Bancos (Febraban) colocou em vigor, no último dia 27, um novo conjunto de normas de autorregulação que impõe regras obrigatórias para o encerramento de contas usadas em atividades ilícitas.

A medida determina que os bancos identifiquem e fechem imediatamente as chamadas “contas-laranja” e “contas frias”, abertas de forma fraudulenta ou usadas por terceiros para movimentar recursos de origem criminosa.

“Estamos criando um marco no processo de depuração de relacionamentos tóxicos com clientes que alugam ou vendem suas contas”, afirmou o presidente da Febraban, Isaac Sidney. “Os bancos não podem permitir a manutenção de contas-laranja, contas frias e de bets ilegais.”

O que muda na prática

De acordo com a Febraban, as instituições financeiras associadas, entre elas Bradesco, Itaú, Santander, Caixa, Banco do Brasil, BTG Pactual, Safra, Original, Pan, BMG e Sicredi, terão de:

• Adotar políticas internas específicas para detecção de movimentações suspeitas;
  
• Encerrar imediatamente contas ilícitas e notificar os titulares;
  
• Reportar as ocorrências ao Banco Central;
  
• Apresentar declarações de conformidade elaboradas por áreas independentes de auditoria e compliance;
  
• Encerrar contas de apostas irregulares, sem autorização da Secretaria de Prêmios e Apostas (SPA) do Ministério da Fazenda.

O processo será monitorado pela Diretoria de Autorregulação da Febraban, que poderá solicitar evidências a qualquer momento. O descumprimento das normas poderá levar a advertência, ajuste de conduta ou exclusão do sistema de autorregulação.

“O crescente e alarmante aumento de fraudes e golpes no âmbito do Sistema Financeiro exige a implementação de medidas efetivas, principalmente, em relação à utilização das contas denominadas ‘Contas de Passagem’, mais conhecidas como ‘Contas Laranjas’. Elas atualmente recebem e movimentam recursos decorrentes de transações ilegais ou suspeitas, viabilizando a realização de várias práticas criminosas.”, explicou Amaury Oliva, diretor de autorregulação da entidade.