A Polícia Civil do Distrito Federal deflagrou nesta terça-feira, 11 de agosto, uma operação contra um grupo suspeito de invadir o sistema de uma instituição financeira e exigir 10 bitcoins para não divulgar os dados obtidos. O valor equivale a aproximadamente R$ 329.442,93 na cotação de 11 de agosto de 2026.
Foram cumpridos 11 mandados de busca e apreensão em três estados e no Distrito Federal. A ação foi conduzida pela Delegacia Especial de Repressão aos Crimes Cibernéticos (DECOR/DRCC).
A investigação começou depois que a própria instituição financeira comunicou às autoridades o acesso não autorizado ao seu banco de dados. O nome do banco não foi divulgado pela polícia.
Como funcionava a extorsão
Segundo a apuração, as ameaças eram feitas por WhatsApp. Os investigados teriam criado um site específico para negociar com o banco, estrutura que dá aparência de organização ao contato e serve para pressionar a vítima a pagar antes de um prazo estipulado.
O modelo repete o padrão da chamada dupla extorsão, em que o criminoso primeiro copia os dados e depois cobra pelo silêncio. O pagamento em criptomoeda é escolhido porque a transferência não depende de conta bancária em nome do recebedor, o que dificulta o rastreamento imediato.
Os suspeitos respondem por invasão de dispositivo informático, divulgação de segredo e extorsão. Somadas, as penas máximas dos crimes chegam a 18 anos de prisão.
O que a lei prevê
A invasão de dispositivo informático está tipificada no artigo 154-A do Código Penal, com redação reforçada em 2021. A pena base foi elevada e passou a admitir aumento quando a invasão resulta em obtenção de conteúdo de comunicações privadas, segredos comerciais ou dados sigilosos.
A extorsão, prevista no artigo 158, é o crime mais grave da combinação. Ela se configura no momento em que o agente constrange alguém a fazer ou deixar de fazer algo com o objetivo de obter vantagem econômica indevida, independentemente de o pagamento ocorrer.
- Valor exigido: 10 bitcoins, cerca de R$ 329.442,93
- Mandados cumpridos: 11, em três estados e no DF
- Unidade responsável: DECOR/DRCC, da PCDF
- Meio das ameaças: WhatsApp, com site criado para a negociação
- Crimes apurados: invasão de dispositivo, divulgação de segredo e extorsão
O que fazer se seus dados vazarem
Clientes de instituições financeiras que suspeitem de exposição de dados devem começar pelo canal oficial do banco e registrar protocolo. A Lei Geral de Proteção de Dados obriga o controlador a comunicar incidentes de segurança relevantes à Autoridade Nacional de Proteção de Dados e aos titulares afetados.
Em seguida, vale monitorar o CPF em serviços de consulta de crédito e ativar alerta de movimentação. A abertura de conta ou a contratação de crédito em nome de terceiro costuma aparecer primeiro nesses registros, antes de chegar por carta de cobrança.
O boletim de ocorrência pode ser feito pela Delegacia Eletrônica da PCDF. Denúncias com informação sobre autoria vão para o 197, canal da Polícia Civil do Distrito Federal.
A polícia não divulgou o volume de dados acessado nem se houve pagamento. A instituição financeira não se manifestou publicamente sobre o caso. O SouBrasília atualizará a reportagem caso o banco ou a PCDF apresentem novas informações.
Por que o pagamento não resolve
A orientação das autoridades a empresas atacadas é não pagar. O pagamento não gera obrigação nenhuma para o criminoso, que segue com a cópia dos dados e pode voltar a cobrar, e ainda sinaliza ao mercado criminoso que a vítima é pagadora, o que aumenta a chance de novo ataque.
Há também o efeito jurídico. O vazamento de dados pessoais é fato que deve ser comunicado à Autoridade Nacional de Proteção de Dados independentemente de acordo com o invasor, e o pagamento não afasta a responsabilidade do controlador perante os titulares afetados.
Do lado da investigação, a transação em criptomoeda deixa rastro público na blockchain. O trabalho da polícia consiste em acompanhar o caminho dos valores até um ponto de conversão para moeda tradicional, etapa em que costuma haver identificação, o que explica por que operações desse tipo chegam a mandados semanas depois da ameaça inicial.
Como as empresas do DF podem se proteger
Ataque a banco de dados corporativo raramente começa com uma falha sofisticada. Na maior parte dos casos, a porta de entrada é credencial reaproveitada, acesso remoto exposto à internet sem restrição de origem ou funcionário que clica em link de phishing bem construído.
- Ativar autenticação em duas etapas em todos os acessos administrativos
- Manter backup isolado da rede, testado com restauração periódica
- Restringir acesso remoto por lista de endereços autorizados
- Registrar e revisar logs de acesso ao banco de dados
- Treinar a equipe para reconhecer tentativa de phishing
Empresas vítimas de invasão devem preservar os registros do sistema antes de qualquer tentativa de limpeza. Log apagado inviabiliza a perícia e enfraquece a apuração.
