noticias

💸 Novo ataque hacker desvia R$ 25 milhões de fintech brasileira — e expõe o calcanhar de Aquiles do sistema financeiro digital

Imagine acordar e ver seu saldo evaporar como uma linha de código mal escrita. Foi basicamente isso que aconteceu com um cliente de uma fintech brasileira, depois que um ataque hacker desviou cerca de R$ 25 milhões usando um golpe de precisão milimétrica no sistema de pagamentos instantâneos.

O alvo da vez foi a FictorPay, uma fintech que opera sob o modelo banking as a service — ou seja, não lida diretamente com o Banco Central, mas com um intermediário que faz essa ponte: a Celcoin, que fornece a infraestrutura financeira usada por dezenas de startups no país.

O ataque começou discreto, em 19 de outubro, e só foi notado quando centenas de transações PIX começaram a sair em cascata para contas-laranja espalhadas por diferentes bancos e carteiras digitais. No total, foram 280 transferências que sugaram R$ 25 milhões de uma única conta corporativa.

"A movimentação foi atípica e bloqueamos as operações imediatamente", declarou a Celcoin em nota.

Mas o estrago já estava feito.

🔍 O elo fraco: a fintech do meio

Esse tipo de incidente está se tornando cada vez mais comum — e por um motivo técnico claro: o modelo de terceirização em camadas.

As fintechs menores não se conectam diretamente ao Sistema de Pagamentos Brasileiro (SPB). Elas usam empresas intermediárias — as famosas white-labels — que integram APIs de bancos, gateways PIX, e autenticações do Banco Central.

É aí que mora o problema: cada camada adicional de código, cada servidor externo e cada credencial compartilhada abre uma nova superfície de ataque.

No caso da FictorPay, tudo indica que o vazamento não aconteceu nem dentro da fintech, nem na Celcoin — mas numa prestadora intermediária que fornecia módulos de automação financeira. Um plugin entre dois mundos. Um atalho que virou porta dos fundos.

🧨 O bug humano em meio ao firewall

Mesmo com sistemas protegidos por autenticação multifator, monitoramento em tempo real e detecção de anomalias via IA, o que os especialistas chamam de “engenharia social digital” continua sendo o maior vetor de invasão.

Em termos simples: o ataque não precisa quebrar o cofre — basta enganar o vigia.

Esses hackers podem ter conseguido acesso via phishing interno, token temporário ou API de integração sem verificação adequada. Um simples descuido em logs expostos, senhas salvas em painel de desenvolvimento ou credenciais esquecidas no GitHub pode ser o ponto de entrada.

E quando a máquina roda, o sistema obedece. O resultado? Transferências automáticas perfeitamente válidas — mas para as contas erradas.

🧱 BC na berlinda: quem vigia os intermediários?

O Banco Central do Brasil vem endurecendo o jogo. Desde 2023, as novas resoluções exigem que fintechs que oferecem serviços de pagamento solicitem autorização formal até maio de 2026 e assumam responsabilidade sobre seus parceiros tecnológicos.

Só que, na prática, o setor ainda funciona em um ecossistema de dependência invisível — onde startups financeiras subcontratam infraestruturas que, por sua vez, dependem de outras.

Quando uma falha ocorre, a culpa viaja de servidor em servidor até sumir no labirinto jurídico das prestadoras.

Enquanto isso, o dinheiro some em segundos.

⚠️ A nova corrida do ouro digital

Esse ataque é mais do que um golpe de R$ 25 milhões — é um lembrete de que o sistema financeiro moderno está se tornando um ecossistema de APIs vulneráveis, onde cada endpoint é uma potencial porta aberta.

O problema não é a tecnologia em si, mas a pressa em escalar sem revisar o código.

Fintechs que tratam segurança como “feature opcional” estão brincando de roleta russa com a confiança do público.

E, no meio disso tudo, o PIX — orgulho nacional — vira a estrada perfeita para escoar milhões em segundos, sem fronteiras, sem trilhas e sem pausa para café.

🧩 O que vem a seguir

Auditoria profunda nas integrações white-label e APIs terceirizadas.

Atualização de compliance exigindo transparência entre fintechs e seus provedores.

Novo sandbox de segurança em estudo pelo Banco Central para 2026.

E, claro, mais golpes, enquanto o setor corre para tapar as brechas com patches, logs e promessas.

📡 Conclusão: a guerra digital não é contra o hacker — é contra a própria arquitetura

O caso da FictorPay não é isolado; é um sintoma de um ecossistema mal conectado, onde inovação corre mais rápido do que a segurança.

Enquanto o dinheiro circula à velocidade da luz, a proteção ainda depende de e-mails e respostas humanas.

O próximo ataque não vai perguntar quem é culpado — só vai mirar o próximo endpoint vulnerável.

🕶️ Pixbugtech — Tecnologia, Poder e Paranoia Digital.

Se o sistema falha, a gente desmonta o código.