Alvo de Estado: Como APTs estrangeiras estão atacando o sistema financeiro brasileiro

O alerta vermelho piscou nos painéis do FinCERT da Febraban na segunda quinzena de março de 2026. Não era um ataque de negação de serviço (DDoS) padrão de ativistas. Muito menos uma quadrilha local tentando fraudar chaves PIX de clientes desavisados. O tráfego anômalo que começou a mapear as APIs de três grandes provedores de Banking as a Service (BaaS) operando no Brasil tinha uma assinatura complexa e silenciosa.

A inteligência de ameaças logo confirmou: tratava-se de táticas associadas ao APT38, o braço focado em roubo financeiro do Lazarus Group, patrocinado pelo governo da Coreia do Norte. A realidade bateu à porta da Faria Lima sem pedir licença. O sistema financeiro brasileiro virou alvo prioritário da guerra cibernética global.

Nós acompanhamos a evolução da segurança bancária brasileira há quase duas décadas. Vimos a transição dos velhos trojans de internet banking que capturavam tokens físicos para as gangues de ransomware que paralisaram operações inteiras na pandemia. Agora em 2026, o jogo mudou de patamar.

Com o Drex rodando em ambiente de produção e o PIX liquidando mais de R$ 20 trilhões anuais, o Brasil consolidou a infraestrutura financeira mais digitalizada e rápida do hemisfério sul. E onde há liquidez instantânea em escala monumental, há a atenção de Estados-nação buscando financiar regimes sancionados ou desestabilizar economias emergentes.

A anatomia de um ataque de Estado-nação

Para entender o perigo, precisamos separar o joio do trigo. Um ataque cibernético comum busca lucro rápido. Uma gangue de ransomware invade um servidor, criptografa os dados, exige pagamento em Bitcoin e some. A operação dura semanas, estourando meses.

As Ameaças Persistentes Avançadas (APTs) patrocinadas por governos operam com uma lógica completamente diferente. O objetivo não é o lucro rápido, mas o acesso profundo e persistente. Grupos ligados à Rússia (como o Cozy Bear), China (APT41) e Coreia do Norte (Lazarus) têm orçamentos milionários, tempo infinito e os melhores talentos matemáticos de seus países.

Eles usam uma técnica conhecida como Living off the Land (vivendo da terra). Em vez de instalar malwares barulhentos que disparam os alarmes dos EDRs (Endpoint Detection and Response) dos bancos, eles usam as próprias ferramentas administrativas do sistema Windows ou Linux da instituição financeira para se mover lateralmente.

Um invasor estatal pode passar 250 dias dentro da rede de uma instituição de pagamento autorizada pelo BACEN apenas observando. Eles mapeiam como os operadores aprovam TEDs de alto valor, entendem a arquitetura de liquidação no Sistema de Transferência de Reservas (STR) e descobrem os horários de troca de turno dos analistas de SOC (Security Operations Center).

Quando o ataque finalmente ocorre, ele simula o comportamento exato de um usuário legítimo com credenciais de alto privilégio. A exfiltração de fundos acontece em minutos, muitas vezes pulverizada através de milhares de contas laranjas no ecossistema de criptoativos antes que o botão de pânico seja acionado.

O alvo óbvio e o alvo invisível

Atacar o Banco Central do Brasil, a B3 ou os gigantes do varejo como Itaú, Bradesco e Nubank diretamente é uma missão quase suicida. Essas instituições possuem orçamentos de segurança na casa dos bilhões de reais, equipes de Red Team internas operando 24/7 e arquiteturas de Zero Trust maduras.

A estratégia das APTs estatais foca no que chamamos de vulnerabilidade da cadeia de suprimentos (Supply Chain Attack). Se você não consegue derrubar a porta da frente do castelo, você suborna ou rouba a chave do fornecedor de pão que entra pela porta dos fundos todos os dias.

No mercado brasileiro, os alvos invisíveis são as fintechs Tier 2 e Tier 3. Estamos falando de processadoras de cartão menores, plataformas de Banking as a Service (BaaS) white-label, correspondentes bancários digitais e, principalmente, fornecedores de software de integração (APIs) para validação de identidade (KYC) e biometria.

Se um grupo como o Lazarus consegue comprometer o ambiente de desenvolvimento de uma empresa que fornece software de conciliação bancária para 50 fintechs brasileiras, eles ganham acesso indireto a todo o ecossistema. Eles injetam código malicioso nas atualizações legítimas do software. Quando a fintech atualiza o sistema, ela mesma abre as portas do cofre para o atacante. Foi exatamente essa a tática usada no infame ataque da SolarWinds nos EUA, e é a tática que estamos vendo ser tropicalizada para o nosso mercado.

O fator Drex e a nova superfície de ataque

A entrada do Drex (o Real Digital) trouxe uma complexidade inédita. Enquanto o PIX roda em uma infraestrutura de mensageria centralizada no BACEN, o Drex opera em uma rede DLT (Distributed Ledger Technology) permissionada, o Hyperledger Besu.

Os contratos inteligentes (smart contracts) que regem as transações de compra e venda de títulos públicos tokenizados são escritos em código. E código tem bugs. Hackers norte-coreanos são especialistas absolutos em explorar vulnerabilidades lógicas em smart contracts e pontes (bridges) de blockchain. O Tesouro Nacional e o BACEN construíram barreiras formidáveis na Rede do Sistema Financeiro Nacional (RSFN), mas a responsabilidade pela segurança dos nós do Drex operados pelos consórcios privados recai sobre as próprias instituições.

Uma falha de segurança na implementação do nó de uma corretora de valores menor pode ser o vetor de entrada para um ataque de negação de serviço focado em paralisar a liquidação de títulos federais — um ataque com claras motivações geopolíticas.

Criptoativos como máquina de lavagem estatal

O Brasil é um dos mercados de criptomoedas que mais cresce no mundo. Temos exchanges locais robustas como o Mercado Bitcoin, além da forte presença de players globais. Para um Estado-nação sancionado pelas potências ocidentais, o mercado cripto brasileiro é uma lavanderia perfeita.

Na nossa análise das movimentações on-chain recentes, notamos um padrão claro. Fundos roubados de protocolos DeFi asiáticos ou europeus frequentemente passam por serviços de mixagem (como o Tornado Cash, mesmo após sanções) e, em seguida, são fracionados em milhares de microtransações direcionadas a contas abertas com identidades sintéticas em corretoras operando no Brasil.

Aqui, o criptoativo é convertido em reais, repassado via PIX para uma rede de laranjas e, finalmente, convertido novamente em stablecoins (como USDT) ou enviado para o exterior via remessas de importações fraudulentas. A velocidade do PIX, que é uma bênção para a economia real, torna-se uma arma nas mãos de operadores estatais se os controles de Prevenção à Lavagem de Dinheiro (PLD) das instituições falharem.

A Comissão de Valores Mobiliários (CVM) e o COAF têm apertado o cerco, exigindo reportes cada vez mais granulares de operações suspeitas. As regras de segregação patrimonial e controles cibernéticos exigidas pelo Marco Legal das Criptomoedas (Lei 14.478/22) forçaram a profissionalização do setor, mas a assimetria tecnológica entre os reguladores e os atacantes estatais ainda é um abismo perigoso.

A resposta regulatória do BACEN

O Banco Central não está dormindo no ponto. A Resolução CMN 4.893 (e suas atualizações recentes) estabeleceu a espinha dorsal da política de segurança cibernética para o sistema financeiro. Ela obriga as instituições a terem planos de resposta a incidentes, testes de penetração regulares e controles rígidos sobre provedores de nuvem.

A grande mudança nos últimos dois anos foi a exigência de inteligência contra ameaças (Threat Intelligence) de forma proativa. O BACEN exige que bancos e instituições de pagamento não apenas se defendam dos ataques que já conhecem, mas que monitorem ativamente a dark web e fóruns de cibercrime em busca de menções aos seus sistemas, vazamento de credenciais de funcionários e planejamento de ataques coordenados.

As auditorias do regulador deixaram de ser meros checklists de conformidade. Inspetores do BACEN agora pedem evidências práticas de exercícios de simulação de crise envolvendo a alta diretoria. Se um ataque do tipo APT comprometer o banco de dados principal de um BaaS, o CEO sabe exatamente quem ligar no Banco Central em 15 minutos? O plano de comúnicação com a imprensa está pronto? A redundância dos dados garante a volta da operação em menos de 4 horas? Se a resposta for não, as multas e até suspensões de licença de operação são imediatas.

Implicações práticas: O que isso significa para o seu negócio

Se você opera uma fintech, um e-commerce integrado a pagamentos diretos ou uma corretora de criptoativos, preste atenção aqui. A época de tratar segurança cibernética como um problema exclusivo da área de TI acabou.

Na prática, a ameaça de atores estatais muda a alocação de capital da sua empresa. O orçamento não pode mais ser focado apenas em firewalls e antivírus corporativos. O foco deve ser em resiliência e monitoramento comportamental.

1. Zero Trust Architecture: Ninguém confia em ninguém. O fato de um desenvolvedor estar logado na VPN da empresa não significa que ele tem acesso ao banco de dados de produção. Exija autenticação multifator (MFA) baseada em hardware (como chaves FIDO2) para acessos críticos. Hackers de Estado contornam SMS e aplicativos de autenticação com fácilidade via ataques de SIM Swap ou engenharia social.
2. Auditoria implacável de fornecedores: O seu sistema é tão seguro quanto o menor e mais barato plugin de terceiros que você integra na sua plataforma. Exija relatórios SOC 2 Type II dos seus fornecedores. Faça testes de intrusão nas APIs que conectam sua empresa ao mundo externo.
3. Higiene do Active Directory: A maioria dos ataques massivos começa com a escalação de privilégios em sistemas antigos de gestão de identidade corporativa. Reduza o número de administradores globais a quase zero.
4. Treinamento paranoico: Esqueça aqueles vídeos chatos de compliance anual. Faça campanhas de phishing simulado agressivas contra seus próprios diretores. O CFO é sempre o alvo preferido de ataques de spear-phishing altamente customizados.

A nova fronteira cibernética

O Brasil construiu uma maravilha tecnológica com o PIX e está pavimentando o futuro da tokenização global com o Drex. A inclusão financeira gerada por essas tecnologias é irreversível e invejada por reguladores do mundo todo, do Federal Reserve americano ao Banco Central Europeu.

A conta dessa hiper-digitalização chegou na forma de uma exposição geopolítica sem precedentes. Grupos de hackers ligados a Estados hostis não veem o Brasil apenas como um país emergente, mas como um gigantesco cofre digital conectado em tempo real.

A defesa desse patrimônio nacional dependerá menos de tecnologias milagrosas compradas de prateleira e mais de uma colaboração visceral entre bancos concorrentes, fintechs, provedores de nuvem e o Estado. Quando a Coreia do Norte ou a Rússia decidem atacar a infraestrutura financeira de um país, não existem concorrentes de mercado. Existe apenas quem sobrevive e quem é desconectado.