Na fraude contra instituição financeira, três perguntas decidem o caso: por onde entraram, quem ajudou e para onde o dinheiro foi. A perícia responde às três com evidência preservada, a tempo de recuperar valores.
Fraude em banco, fintech ou instituição de pagamento raramente tem culpado óbvio. O mesmo vale para o provedor de Banking as a Service, a instituição que cede sua licença e sua infraestrutura para que outras empresas ofereçam conta, cartão e Pix com a própria marca. O primeiro suspeito é o autor da invasão, e quase sempre ele vira o foco exclusivo da investigação. A instituição madura em segurança não descarta de imediato a participação de um colaborador, por negligência ou como insider. O modo de agir do atacante mostra se houve ajuda de dentro.
A perícia reconstrói a fraude pelos registros: sistemas internos, APIs (as interfaces pelas quais os sistemas conversam entre si), logs de autenticação, transações Pix, cadastros e dispositivos. Mostra como o acesso aconteceu, em que ordem e por quem, e segue o dinheiro até o destino.
O ataque chega quase sempre por trás de uma VPN. Em alguns casos o ator usa mais de uma camada de proxy, servidores intermediários que escondem a origem da conexão. Mas o excesso de confiança cobra seu preço: uma falha na conexão passa despercebida, o IP real vaza e aparece nos registros do ataque.
O atacante entra pela identidade de um funcionário, por uma API exposta ou por um sistema de terceiro, e contorna a autenticação por MFA. Em um caso, centenas de Pix saíram por script contra a API interna. A perícia mostra o primeiro acesso e cada movimentação; identifica as contas de teste usadas para validar a operação, as regras que o criminoso adotou para definir os valores individuais e os limites máximos que não disparam alertas, e o intervalo entre as transações.
O roteiro se repete: inclusão de um dispositivo de confiança, troca de telefone e e-mail no cadastro, um Pix de teste e, depois, o cartão virtual usado por aproximação. Em muitos casos, o criminoso liga para a vítima e cita dados confidenciais que só a instituição teria, o que a convence de que fala com um funcionário do banco. O cliente então segue procedimentos que permitem ao ator cadastrar um novo dispositivo de confiança; a partir daí, a fraude é disparada.
Também é recorrente a invasão do próprio aparelho da vítima. Os meios variam, mas o padrão é o phishing: uma ligação de quem se passa pelo banco, pela operadora do cartão ou por outra empresa com que a vítima se relaciona, ou um link que instala no celular um programa de acesso remoto. Com as credenciais capturadas, o criminoso ativa a conta num aparelho que ele controla. Para o banco, a fraude parece ter saído do aparelho legítimo do cliente.
No phishing por ligação, o ator avisa que há algo errado na conta: pagamentos feitos ou lançamentos suspeitos que o cliente precisa conferir. A história muda conforme a vítima, mas o criminoso sempre arranja um motivo para ver a tela do cliente. Pede uma chamada de vídeo pelo WhatsApp ou, quando percebe que a vítima é solícita, orienta a instalação de um programa de acesso remoto.
O insider tem três perfis: o oportunista, que viu a brecha; o cooptado, que aceitou comissão; o ameaçado, que agiu por medo. Entrega ao atacante como o sistema funciona, o melhor momento, o código de MFA. Há ainda quem fraude por dentro, alterando limites e gerando cartões virtuais pela API da processadora.
Credencial de funcionário na fraude não prova funcionário envolvido: phishing bem planejado entrega a mesma credencial. A perícia testa a hipótese e separa o vestígio real do ilusório e do forjado. Descartar um suspeito com evidência protege o funcionário e reorienta a investigação.
O dinheiro sai fracionado abaixo dos limites de alerta. Passa por MEIs de fachada e por empresas legítimas, mas em geral se concentra em certas agências e correspondentes bancários, e sai por corretoras de criptomoedas (exchanges). Parte vai para contas de despiste, que só atrapalham o rastreio. A perícia separa o laranja pago por comissão, a conta aberta indevidamente e a conta de despiste.
Com os documentos de abertura da conta fornecidos pelo banco, a perícia confronta a impressão digital colhida na abertura da conta com a de quem consta como titular. A divergência demonstra que a conta foi aberta em nome de quem não sabia.
Há quem assine, receba o dinheiro na própria conta e depois diga que foi golpe. Quase sempre quem recebeu participa, mas não é regra. A perícia vem antes da execução: se uma perícia posterior mostrar que o cliente também foi vítima, a instituição, já lesada, ainda responde por danos morais.
Há também a fraude que nasce dentro da agência. Para bater metas, o funcionário faz um cliente desatento, em geral idoso, assinar mais papéis do que deveria. Com eles, contrata um empréstimo na conta do cliente e, tempo depois, renova o mesmo empréstimo. O funcionário nunca toca no dinheiro. O crédito entra na conta sem que a vítima perceba, e só muito depois ela nota que a aposentadoria não cobre mais as despesas: as parcelas de um empréstimo que nunca quis debitam valores cada vez maiores. A perícia reconstrói a contratação e as renovações pelos registros do sistema e pelas assinaturas, e mostra quem conduziu cada operação.
No Pix, o Mecanismo Especial de Devolução (MED), previsto no Regulamento do Pix (anexo à Resolução BCB nº 1/2020), permite devolver valores quando há fundada suspeita de fraude. Com o chamado MED 2.0 (Resolução BCB nº 493/2025), o rastreio segue o dinheiro além da primeira conta recebedora. O prazo é curto: pelo guia do Banco Central, a contestação vale para transações de até 80 dias.
A perícia entrega o mapa de que o MED e o processo precisam: que contas receberam, em que ordem e quais merecem prioridade. O mesmo trabalho fundamenta a quebra de sigilo bancário e telemático: a perícia indica que dados pedir e a quem; o advogado leva o pedido ao juízo. Com o prazo correndo, o trabalho pode começar fora do horário comercial.
A perícia também rastreia as movimentações bancárias, conta a conta. Esse mapa ajuda os advogados a recuperar valores e entrega às autoridades policiais os rastros para a apuração de autoria. O exame descreve o modus operandi: a técnica usada, o padrão dos testes nas contas e o intervalo entre os Pix enviados.
O lojista diz que vendeu no cartão e não recebeu. Mostra o recibo de POS, o comprovante da maquininha. A pergunta é se a transação existiu.
O exame une forense computacional e documentoscopia. No sistema, a perícia consulta a base do autorizador e o histórico do terminal, sem expor dados de outros clientes. No papel, examina o comprovante térmico (o número sequencial da transação, NSU; o código de autorização; o identificador da aplicação do cartão, AID; fonte, logotipo e desgaste) contra comprovantes-padrão gerados na hora num terminal de homologação. Serve à contestação de pagamento e à fraude contra o banco ou a credenciadora.
A Resolução CMN nº 4.893/2021 vale para as instituições autorizadas pelo Banco Central, exceto as de pagamento. Ela pede o registro e a análise da causa e do impacto dos incidentes relevantes (art. 3º, IV) e a comunicação tempestiva ao Banco Central dos que configurem situação de crise (art. 20, III).
Quem responde ao regulador é a instituição. A perícia dá suporte técnico a essas demandas e relatórios, para o Banco Central e para a CVM; o Parecer Técnico Simplificado responde aos quesitos do regulador. No Pix, o mesmo parecer, com a análise forense do incidente, fundamenta o pedido dos dados das contas que receberam o dinheiro e das que serviram para pulverizá-lo, no rastreio que o MED 2.0 (Resolução BCB nº 493/2025) passou a permitir.
Uma instituição financeira foi invadida. Os atacantes movimentaram a conta de balanço da própria instituição, numa fraude milionária, e criaram cartões virtuais em nome de clientes do segmento premium.
Os rastros mostraram a origem dos acessos. As compras com os cartões viraram fonte de autoria: as câmeras das lojas físicas registraram o rosto dos autores e os veículos que usaram.
A autoridade policial identificou e qualificou os envolvidos.
Numa fraude milionária contra uma fintech, o colaborador cuja conta foi usada se apresentou como vítima.
A navegação do atacante não tinha erro nem tentativa: ele sabia por onde passar. A perícia mostrou que o próprio colaborador havia fornecido ao ator externo o acesso para a autenticação MFA.
O laudo comprovou a participação do insider que se dizia vítima.
Uma instituição financeira atribuía a funcionários uma fraude milionária, pulverizada em milhares de contas laranja.
A perícia mostrou o contrário: as credenciais vieram de um phishing planejado, com máquinas infectadas por malware. As contas de destino revelaram um padrão de agências e correspondentes, contas abertas indevidamente, laranjas pagos por comissão e contas de despiste.
O laudo permitiu recuperar valores pelo MED e embasou ações civis contra as instituições de destino, para identificar os titulares e as contas abertas indevidamente.
Um lojista cobrava da instituição mais de uma dezena de pagamentos com cartão "não creditados".
O terminal quase não tinha transações na vida inteira. Nos comprovantes, NSU e código de autorização se repetiam, o AID era incompatível, fonte e logotipo diferiam do padrão e o desgaste do papel não batia com a data.
Todos eram forjados, impressos em impressora térmica portátil. A diligência foi registrada em ata notarial.
Consulte também
Direito Bancário, Mercado de Capitais e Financeiro → Autoria Digital e Quebra de Sigilo Telemático → Investigação Corporativa e Compliance → Perícia em Nuvem, Identidade e DevOps → Perícia em Impressão Digital → Grafotécnica e Documentoscopia →
Antes de decidir, vale ver o que já passou por este laboratório: casos descritos sem identificar as partes, no formato desafio, método e resultado.
O canal de controle do invasor estava gravado em contratos inteligentes. A perícia decodificou o que ele havia apagado e entregou às autoridades os caminhos de identificação.
Ver o caso Prova negativaA perícia oficial havia concluído pela participação. O reexame demonstrou que os vínculos eram falsos positivos, e a pessoa acusada foi inocentada.
Ver o caso