Grupo invade sistema de banco e cobra 10 bitcoins para não vazar dados

A Polícia Civil do Distrito Federal deflagrou nesta terça-feira (11) uma operação contra um grupo suspeito de invadir o sistema de uma instituição financeira e exigir 10 bitcoins para não divulgar os dados obtidos. O valor equivale a cerca de R$ 329.442,93 na cotação do dia 11 de agosto de 2026.

Foram cumpridos 11 mandados de busca e apreensão em três estados e no Distrito Federal. A ação foi conduzida pela Delegacia Especial de Repressão aos Crimes Cibernéticos, ligada à estrutura de repressão a crimes de alta tecnologia da corporação.

Como o esquema funcionava

A investigação começou depois que a própria instituição financeira comunicou à polícia o acesso não autorizado à sua base de dados. O nome do banco não foi divulgado pelos investigadores.

Segundo a apuração, as ameaças foram feitas por WhatsApp. Os suspeitos criaram um site específico para negociar com a empresa, estrutura que dá aparência de organização ao contato e serve para pressionar a vítima a pagar dentro de um prazo estipulado. É o desenho clássico da extorsão digital: em vez de vender os dados no mercado clandestino, o grupo cobra da própria vítima para não publicá-los.

A escolha do bitcoin como forma de pagamento também segue o padrão desse tipo de crime. A transação em criptomoeda não passa por uma instituição financeira tradicional e dificulta o rastreamento imediato do destinatário, embora o registro em blockchain permita reconstruir o caminho do dinheiro em investigações mais longas.

Penas somadas chegam a 18 anos

Os suspeitos respondem por três crimes:

• invasão de dispositivo informático, prevista no Código Penal desde 2012 e endurecida em 2021;
• divulgação de segredo, quando há exposição de informação sigilosa obtida indevidamente;
• extorsão, que é o núcleo do caso, por exigir vantagem econômica mediante ameaça.

Somadas, as penas máximas dos três crimes chegam a 18 anos de prisão. O material apreendido nos 11 endereços passa por perícia, etapa que costuma definir o rumo da investigação em casos de crime cibernético, porque é nos aparelhos que ficam os vestígios de acesso e as conversas de negociação.

O que empresas e clientes devem observar

Ataques de extorsão digital contra empresas seguem um roteiro previsível: acesso indevido, cópia da base, contato com a direção e prazo curto para pagamento. Especialistas em segurança da informação orientam que a empresa não negocie sem comunicar a autoridade policial, porque o pagamento não garante a destruição dos dados copiados.

Para o cliente, o risco aparece depois. Bases vazadas de instituições financeiras alimentam golpes de engenharia social, quando o criminoso liga se passando por funcionário e demonstra conhecer dados verdadeiros da vítima para pedir transferência ou senha. Nenhum banco solicita senha, código de aplicativo ou transferência para conta de segurança por telefone.

A Lei Geral de Proteção de Dados obriga a empresa a comunicar incidentes de segurança relevantes à Autoridade Nacional de Proteção de Dados e aos titulares afetados. No caso, foi a própria instituição que procurou a polícia depois de identificar o acesso indevido.