Ataque Pix a cooperativa de crédito: o que o desvio de R$ 5 milhões ensina às empresas

Um ataque Pix a uma cooperativa de crédito de Brasília tirou mais de R$ 5 milhões do caixa da instituição com 425 transferências, uma a cada dois segundos. Não houve arrombamento: um programa instalado dentro dos sistemas disparou as transações sozinho, com ajuda de alguém de dentro. O caso mostra que fraude digital não é problema só de banco grande.

Para quem cuida de TI e de negócios, a pergunta que fica é simples: se acontecesse hoje na sua empresa, quanto tempo vocês levariam para perceber que algo estava errado?

O que aconteceu na cooperativa

Segundo a reportagem do Metrópoles, a Polícia Civil do DF apurou que, em dezembro de 2025, o grupo explorou uma falha em um microsserviço do sistema Pix da cooperativa. Na Operação Rastro, deflagrada em junho de 2026, foram cumpridos sete mandados de busca e apreensão em quatro cidades. Entre os pontos da investigação estão:

425 transferências fraudulentas em intervalos de cerca de dois segundos;
valores fracionados e espalhados por contas de várias empresas, para dificultar o rastreio;
parte do dinheiro convertida em criptoativos em corretoras no Brasil e no exterior.

De acordo com a Lets Money, a investigação aponta que os suspeitos contaram com a ajuda de uma pessoa que trabalhava na própria cooperativa. O prejuízo passa de R$ 5,5 milhões, segundo o Mais Goiás.

O risco não está só na falha técnica

Três fatores se somaram: uma vulnerabilidade no sistema, um acesso interno sem controle e ninguém olhando para um volume anormal de transações em tempo real. Basta um deles para abrir a porta; juntos, transformam um incidente em prejuízo milionário.

E as tentativas não param: em junho de 2026, cada organização no Brasil sofreu em média 4.001 tentativas de ataque por semana, segundo a Check Point Research. No país, o custo médio de uma violação de dados chegou a R$ 7,19 milhões, de acordo com o estudo da IBM divulgado pelo Tecnoblog.

5 lições do ataque Pix para a sua empresa

Ameaça interna é risco real. Colaborador, ex-colaborador ou fornecedor com acesso administrativo sem controle é a porta mais curta para um ataque. A gestão de acessos privilegiados define quem acessa cada sistema crítico, quando e com qual permissão, e registra o que foi feito em cada sessão.
Fraude automatizada acontece em minutos. Um NOC acompanhando a rede e os sistemas 24 horas identifica comportamentos fora do padrão, como dezenas de transações em sequência, quando a contenção ainda é simples. Não por acaso, 93% das empresas brasileiras já usam SOC terceirizado ou híbrido, segundo o IT Forum.
Sistema desatualizado é convite. Falhas conhecidas precisam ser corrigidas rapidamente, com rotina de atualização e inventário do ambiente.
Treine as pessoas. O phishing segue como o principal vetor inicial de violações no Brasil, segundo a IBM. Muitas vezes é ele que entrega a primeira credencial ao criminoso.
Conheça o seu ambiente de TI por inteiro. Não dá para proteger o que você não enxerga. Leia também por que ataques hackers já preocupam mais que uma nova pandemia e como proteger sua empresa contra ransomware.

Como a Netsun Tech ajuda

A Netsun Tech atua desde 1997 com conectividade e tecnologia para empresas, atendendo clientes em todo o Brasil a partir de Mogi das Cruzes (SP). Na área de cibersegurança, combinamos NOC gerenciado, Service Desk, proteção de rede e soluções de gestão de acessos privilegiados.

O objetivo é dar à sua empresa mais controle, visibilidade e rapidez para agir quando algo sair do padrão, com um time próximo do início ao fim do atendimento.

Fale com um especialista da Netsun Tech pelo WhatsApp e solicite uma avaliação dos seus acessos privilegiados.

FAQ

O que aconteceu na cooperativa de crédito de Brasília?
Segundo a Polícia Civil do DF, criminosos exploraram uma falha no sistema Pix da cooperativa e fizeram 425 transferências automáticas, uma a cada dois segundos, com ajuda de uma pessoa de dentro. O prejuízo passou de R$ 5 milhões.

Empresas que não são bancos correm risco de fraude Pix?
Sim. Qualquer empresa que faz pagamentos, recebe por Pix ou guarda credenciais bancárias em seus sistemas pode ser alvo, principalmente por acessos internos sem controle e por phishing.

Como identificar uma fraude automatizada a tempo?
Com monitoramento contínuo e alertas para comportamentos fora do padrão, como muitas transações em sequência ou acessos em horários incomuns.

Qual o prazo para comunicar um incidente com dados pessoais?
Pela Resolução CD/ANPD nº 15/2024, são três dias úteis a partir do momento em que a empresa sabe que dados pessoais foram afetados, quando houver risco ou dano relevante aos titulares.

O que é gestão de acessos privilegiados?
É o controle de quem pode acessar sistemas e ambientes críticos, quando o acesso ocorre e quais atividades são realizadas em cada sessão. Vai além de um cofre de senhas: envolve autorização, rastreabilidade e auditoria.