São Paulo vigia a cidade com mais de 58 mil câmeras. Durante quase um ano, dados de acesso a esse sistema ficaram num repositório aberto na internet.

O Smart Sampa, programa de videomonitoramento da Prefeitura de São Paulo, é um avanço tecnológico real. Com inteligência artificial, reconhecimento facial e cruzamento de dados, ajuda a localizar foragidos, identificar autores de crimes e encontrar pessoas desaparecidas.

Nesta terça-feira, 20 de outubro, uma reportagem do UOL mostrou o outro lado dessa estrutura: dados de acesso ao sistema ficaram disponíveis em um repositório público na internet por cerca de 11 meses.

O que a reportagem encontrou

• 181 logins e senhas de usuários autorizados a operar o sistema;
• dados de mais de 6 mil agentes de segurança;
• instruções para reproduzir o acesso em computadores e celulares;
• uma plataforma ligada a mais de 58 mil câmeras, com equipamentos em ruas, escolas, creches, hospitais, centros de atendimento a dependentes químicos e bases da Guarda Civil Metropolitana.

Segundo a reportagem, foi possível visualizar imagens com as credenciais expostas, sem autenticação em duas etapas. Os arquivos foram retirados do ar depois do alerta.

A Prefeitura atribui o caso a um servidor, que foi afastado e é investigado pela Corregedoria da GCM. A administração classifica o episódio como ato criminoso, nega que o documento contivesse senhas e afirma que não há fragilidade nos mecanismos de segurança da plataforma. Informou ainda que reforçou o acesso com senhas exclusivas, autenticação em dois fatores e validação por SMS.

O problema não é a câmera. É a senha.

Podemos investir milhões em tecnologia, inteligência artificial e sistemas sofisticados. Se as credenciais de acesso não forem protegidas, a porta continua aberta.

Repare na própria resposta oficial: a autenticação em dois fatores foi reforçada depois que o caso veio a público. Em um sistema que enxerga escolas e hospitais, essa camada deveria ser o ponto de partida, não a reação a uma reportagem.

O fator humano continua sendo a principal vulnerabilidade da segurança da informação. E ele aparece de duas formas: o descuido de quem guarda a senha e a má-fé de quem já tem acesso autorizado. A explicação da Prefeitura, de que um servidor vazou os dados, não encerra o problema. Ela o confirma. Um bom projeto de segurança parte do princípio de que alguém de dentro, um dia, vai errar ou agir de má-fé.

Por isso, câmera inteligente sem governança de acesso é metade de um projeto. O mínimo esperado inclui:

• autenticação multifator obrigatória para todos os perfis, desde o primeiro dia;
• privilégio mínimo: cada agente enxerga apenas o que a sua função exige;
• registro e monitoramento de cada acesso, com alertas para uso fora do padrão;
• troca imediata de credenciais sempre que houver suspeita de exposição;
• auditorias independentes e testes de invasão periódicos;
• treinamento contínuo de quem opera o sistema.

Por que isso interessa a quem nunca operou uma câmera

No nosso escritório, atendemos todos os dias vítimas de golpes que começam com dados vazados. Nome, cargo e matrícula de agentes de segurança são matéria-prima de um dos golpes que mais crescem no país: o do falso policial, em que o criminoso se apresenta como autoridade para convencer a vítima a transferir dinheiro.

Não há, até aqui, notícia de que os dados do Smart Sampa tenham sido usados dessa forma. Mas a lição vale para qualquer pessoa: uma ligação de alguém que diz ser policial, delegado ou agente, e que conhece detalhes que parecem oficiais, não prova nada. Autoridade de verdade não pede transferência, Pix nem “depósito de garantia”.

O que diz a lei

Sob a perspectiva jurídica, o episódio levanta questões sérias de governança e responsabilidade.

• LGPD, art. 46: quem trata dados pessoais, inclusive o poder público, deve adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados.
• LGPD, art. 48: incidentes que possam gerar risco ou dano relevante aos titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e aos próprios titulares.
• LGPD, arts. 31 e 32: a ANPD pode exigir medidas para cessar a violação e solicitar relatório de impacto à proteção de dados a órgãos públicos.
• Constituição Federal, art. 37, § 6º: o Estado responde objetivamente pelos danos que seus agentes, nessa qualidade, causarem a terceiros.
• Código Penal, art. 325: revelar informação que deva permanecer em segredo, obtida em razão do cargo, é crime de violação de sigilo funcional. Quem usar credenciais alheias para entrar no sistema pode responder pelo crime de invasão de dispositivo informático (art. 154-A).

O cidadão também tem instrumentos. A LGPD (art. 18) garante ao titular o direito de saber se os seus dados são tratados e de obter informações sobre o uso compartilhado. Esses pedidos podem ser feitos ao encarregado de proteção de dados do órgão.

Quem vigia os vigilantes digitais?

A tecnologia pode ser extraordinária, mas a sua eficiência depende da integridade de quem a administra e da segurança dos sistemas que a sustentam.

O Smart Sampa mostra o potencial da inteligência artificial aplicada à segurança pública. O desafio agora é garantir que essa mesma tecnologia nunca seja usada contra os cidadãos que deveria proteger.

Essa pergunta, quem vigia os vigilantes digitais, precisa fazer parte de qualquer projeto de segurança pública baseado em inteligência artificial. Antes da primeira câmera ser ligada.

Afonso Morais é advogado especialista em fraudes digitais e recuperação judicial de ativos financeiros, sócio fundador da Pardi e Morais e criador e apresentador do podcast Falando de Fraudes.

Fontes: reportagem do UOL (coluna de Artur Rodrigues, 20/10/2026), repercutida por InfoMoney, Olhar Digital e Metrópoles, que também publicou a nota da Prefeitura. Conteúdo informativo.

The post Smart Sampa: 181 senhas expostas e 58 mil câmeras. Quem vigia os vigilantes digitais? appeared first on Falando de Fraudes.

15h59. Nove mil novecentos e noventa e nove reais e noventa e nove centavos.

16h30. O mesmo valor, outro destinatário.

16h58. O mesmo valor de novo, um terceiro nome.

Cinquenta e nove minutos. Três transferências idênticas, até o centavo, para três pessoas que a dona da conta nunca tinha visto na vida. Nenhum sistema parou. Nenhum alerta tocou. E quando ela perguntou, ainda durante a ligação, por que estava mandando dinheiro para estranhos, a mulher do outro lado respondeu que era para o dinheiro dela ficar seguro, e que depois voltava para a conta.

Não voltou.

Mas não foi a voz que convenceu. Ninguém transfere trinta mil reais porque ouviu uma voz simpática ao telefone. O que convenceu foi o papel.

A ligação

Começa quase sempre do mesmo jeito. Uma chamada de vídeo pelo WhatsApp, no meio da tarde, de um número que a vítima não conhece. Do outro lado, uma pessoa que se apresenta com nome e sobrenome e diz que é do banco. Fala calmo. Sabe o nome completo. Às vezes sabe a agência. Diz que detectou acesso indevido na conta e que precisa agir agora.

Num dos casos que analisei, a chamada durou uma hora. Em outro, foram mais de vinte chamadas de vídeo ao longo de uma tarde inteira, de sete minutos, de vinte e seis, de vinte, de dois, uma atrás da outra, até a noite. Tem um padrão nisso, e o padrão é o cansaço. Ninguém raciocina bem na quinta hora de uma ligação em que estão dizendo que a sua conta está sendo invadida.

E tem uma coisa que eu só vi depois, olhando o histórico exportado: mensagens apagadas. No meio da conversa, duas mensagens do golpista aparecem como “mensagem apagada”. Ele mandou alguma coisa e tirou. Quem está limpando rastro no meio da própria operação sabe exatamente o que está fazendo.

“A senhora não vai pagar, ok. Eu já expliquei tudo certinho.”

A falsa atendente, por escrito, às 19h19, depois de a vítima dizer que esperava não ter que pagar nada

O papel

Minutos depois da primeira ligação, chega um PDF.

Não é um link suspeito. Não é um arquivo com nome estranho. É um documento com brasão da República, timbre de órgão público, número de protocolo, campo de situação, despacho de autoridade. Parece exatamente com o que uma pessoa que nunca viu um boletim de ocorrência imagina que um boletim de ocorrência seja.

E é falso. Inteiro.

O órgão que não existe

O documento se apresenta como emitido pelo “Departamento de Inteligência da Polícia Federal, DIPF, Delegacia Eletrônica”. Esse departamento não existe. A Polícia Federal não tem DIPF, não tem “delegacia eletrônica” que emita esse tipo de comprovante e não registra ocorrência nesse formato.

Numa das versões, a coisa é ainda mais escancarada: o cabeçalho diz, ao mesmo tempo, “Governo do Estado de São Paulo”, “Secretaria da Segurança Pública” e “Polícia Federal do Estado de São Paulo”. Não existe Polícia Federal estadual. Federal e estadual são coisas diferentes, e o falsificador juntou as duas na mesma linha. Para completar, colou o brasão da Polícia Federal de um lado e o da Polícia Civil de São Paulo do outro, na mesma folha.

Quem registrou a ocorrência foi o banco

Esta é a parte que, para mim, decide tudo.

No campo “Nome do Declarante”, ou seja, quem foi à polícia fazer o registro, não está o nome da vítima. Está o nome do banco. Com e-mail institucional e tudo.

Pare um segundo nisso. Um boletim de ocorrência em que o seu banco aparece como a pessoa que registrou a queixa, enquanto você, que é a vítima, não aparece em lugar nenhum. Bancos não registram boletim de ocorrência no lugar do cliente. Isso não existe em nenhum procedimento, de nenhuma instituição, em nenhum lugar do país.

E aí a coisa fica interessante

Eu tinha dois desses documentos na mão, de dois casos diferentes, de vítimas que não se conhecem, em cidades diferentes.

Um é datado de 5 de outubro. O outro, de 16 de outubro. Onze dias de diferença.

No primeiro, está lá a barbaridade da “Polícia Federal do Estado de São Paulo”, com os dois brasões.

No segundo, não está mais. O cabeçalho foi corrigido para “Governo do Brasil, Ministério da Justiça e Segurança Pública, Polícia Federal”. Sobrou um brasão só, o certo.

Alguém revisou o molde. Entre uma vítima e outra, o erro mais grosseiro do documento foi encontrado e consertado. Isso não é um golpista improvisando no WhatsApp. Isso é um produto com manutenção.

O documento que dá a ordem

Num dos casos veio um segundo arquivo, e esse é de outra categoria.

É um “Registro de Ocorrência” da Polícia Civil do Estado de São Paulo, com brasão, endereço de delegacia, número de protocolo, “Despacho da Autoridade”. E, do lado direito dos dados da vítima, o logotipo do banco. Impresso ali, dentro do documento policial, como se polícia e banco assinassem juntos.

Tem três outras coisas erradas nele, e cada uma sozinha já derruba o documento.

A classificação diz “Fato Atípico”. Em direito penal, fato atípico quer dizer isto não é crime. Logo abaixo, o mesmo documento capitula o artigo 154-A do Código Penal. Ou é crime ou não é. O documento diz as duas coisas em duas linhas seguidas.

A unidade é de uma delegacia da capital, no bairro de Perdizes, para um fato ocorrido a quase seiscentos quilômetros de lá.

E a última linha, antes das “diligências realizadas”, é esta: “PROCEDIMENTO DE CANCELAMENTO IMEDIATO ATRAVÉS DE VALIDAÇÃO BIOMETRIA FACIAL.”

Boletim de ocorrência não dá ordem para a vítima. Boletim de ocorrência registra o que aconteceu. Aquela frase não está ali por acaso: ela é o próximo passo do golpe, escrito dentro do documento que deveria ser a prova de que a vítima estava protegida.

E o documento que acalma

No outro caso veio um “Comprovante de Cancelamento”, com a marca do banco, um visto verde grande e a frase “Cancelamento concluído”.

O texto explica que, através do MED, o Mecanismo Especial de Devolução, os valores contestados voltam para a conta de origem “no prazo mínimo de 24h, o prazo máximo de 7 dias úteis”. No rodapé, o CNPJ verdadeiro da instituição e o endereço verdadeiro da sede.

O MED existe mesmo. É um mecanismo real do Banco Central, criado para devolver dinheiro de fraude. Usaram o nome dele para dar lastro à mentira.

E funcionou pelo motivo mais simples do mundo: quem acredita que o cancelamento já foi feito continua obedecendo. Em um dos casos, a vítima seguiu executando ordens por mais dois dias depois de receber esse papel.

O dinheiro

O dinheiro não some. Ele vai para algum lugar, e esse lugar tem CNPJ, endereço e data de abertura.

Fui atrás dos destinatários de um dos casos na base pública da Receita Federal. O golpe foi numa sexta-feira. Uma das empresas que receberam o dinheiro tinha sido inscrita na véspera. A outra, quatro dias antes. As duas com capital social de exatamente dez mil reais, as duas registradas como microempreendedor em atividades que nada têm a ver com finanças, as duas em cidades vizinhas, na mesma região do DDD do telefone que ligou para a vítima.

E cada uma recebeu, no primeiro movimento relevante da sua existência, o mesmo valor: um centavo abaixo de dez mil reais.

E não é um caso isolado. Em outros dois casos deste mesmo período encontrei o mesmo desenho: duas empresas abertas no mesmo dia, na mesma cidade do interior, com capital idêntico, mesma atividade declarada, em ruas diferentes mas com números quase sequenciais. Em outro, uma empresa de sócio único, atividade declarada de marketing direto, conta aberta em instituição de pagamento e noventa dias de existência, do registro à baixa.

Os dois detalhes que mudam a conversa

Primeiro: num dos casos, as contas que receberam o dinheiro estavam na mesma instituição da vítima. O mesmo banco que abriu a conta de origem abriu as contas de destino. As duas pontas da fraude dentro da mesma casa.

Segundo: no minuto exato da primeira transferência, o aplicativo registrou “Crédito liberado, Pix no Crédito”. A instituição não só deixou passar: ela financiou a operação, concedendo crédito para que a transferência a um desconhecido acontecesse. Em outro caso, sete transferências seguidas saíram do limite de um cartão de crédito, em uma hora, somando quase cinquenta mil reais.

Há ainda uma variação mais sofisticada. Em um dos casos, a vítima foi conduzida passo a passo a usar a função “Vender” de um aplicativo de pagamentos e cobrar o próprio cartão de crédito: três cobranças, onze mil reais, em que a titular do cartão e a “lojista” eram a mesma pessoa. Dinheiro novo criado do nada, dentro da conta da vítima, para sair em seguida.

O número que resume

Fracionar valores logo abaixo de um número redondo é o desenho mais antigo e mais conhecido de lavagem de dinheiro. Nos casos que analisei, apareceu assim:

• Cinco transferências de pouco menos de cinco mil reais, em dezessete minutos, para a mesma pessoa.
• Três transferências de R$ 9.999,99, o mesmo centavo abaixo de dez mil, três vezes, em cinquenta e nove minutos, para três pessoas diferentes.

Não é coincidência. É o valor escolhido para passar embaixo do radar. E passou.

O depois

O que acontece depois é quase sempre a mesma sequência.

A vítima percebe. Liga para o banco. Abre contestação. Registra boletim de ocorrência, o de verdade, dessa vez, na delegacia. E espera.

Numa das contestações que acompanhei, a resposta foi negativa. Em outra, o banco devolveu uma parte e ficou em silêncio sobre o resto. Em todos os casos, a defesa é a mesma em três linhas: houve autenticação regular, a própria cliente digitou a senha, culpa exclusiva da vítima.

Só que não é disso que se trata. Ninguém está discutindo quem digitou. O que se discute é por que nenhum sistema parou três transferências idênticas, em menos de uma hora, para três beneficiários que nunca tinham aparecido naquela conta, numa conta cujo histórico, nos meses anteriores, era de movimentação completamente diferente.

Há uma última cena, e ela diz mais do que qualquer argumento. Quando a conta de uma das vítimas foi bloqueada pelo próprio banco, no fim do dia, a falsa atendente escreveu:

“Fala com a gerente que a conta bloqueou. Só não fala da fraude, porque já estou resolvendo.”

O criminoso sabia exatamente o que aconteceria se a vítima falasse. Por isso mandou calar.

O que mudou

Não escrevi isto para dizer que existe um golpe novo. Golpe de falsa central de atendimento tem anos.

Escrevi porque o que mudou foi outra coisa. O documento falso agora tem versão corrigida. A conta que recebe é aberta na véspera, com CNPJ, dentro de um banco de verdade. O crédito que financia a transferência é liberado pela própria instituição, no mesmo minuto. E o papel que convence a vítima traz, lado a lado, o brasão da polícia e a marca do banco.

Isso não é um sujeito no computador de casa. É operação montada.

E se você está lendo isto porque aconteceu com você, ou com a sua mãe, ou com o seu pai, a primeira coisa que eu preciso dizer é que não foi burrice. Essas pessoas não caíram por desatenção. Elas caíram porque receberam um documento com brasão da República dizendo que a polícia já estava cuidando do caso.

Os seis sinais, antes de pagar

1. O banco não registra boletim de ocorrência no seu lugar. Se o nome do declarante no documento é o do banco e não o seu, o documento é falso.
2. Não existe “Polícia Federal do Estado de” nada. Polícia Federal é federal. Polícia Civil é estadual. Documento que mistura as duas é falso.
3. Boletim de ocorrência não dá ordem. Se o papel manda você fazer alguma coisa, como cancelar, validar biometria, transferir ou “proteger o saldo”, não é um boletim. É um roteiro.
4. Nenhum procedimento de segurança bancária existente pede transferência. Nenhum. Se para proteger o dinheiro você precisa mandar o dinheiro embora, é golpe.
5. Valores logo abaixo de um número redondo, repetidos. R$ 9.999,99 três vezes, ou R$ 4.999,99 cinco vezes, não é como gente de verdade movimenta conta.
6. Chamada de vídeo que não acaba. Atendimento bancário legítimo não mantém você uma hora, nem duas, nem a tarde inteira em vídeo. A duração é parte do método.

Se já pagou, nesta ordem

1. Peça o MED no mesmo dia, pelo aplicativo ou pela central. O Mecanismo Especial de Devolução é do Banco Central e tem janela curta. Cada hora conta.
2. Registre o boletim de ocorrência de verdade, na delegacia ou na delegacia eletrônica oficial do seu estado. Guarde o número.
3. Abra contestação formal no banco e anote o protocolo. Por escrito, sempre.
4. Não apague nada. Nem a conversa, nem os PDFs falsos, nem o histórico de chamadas. Exporte a conversa inteira do WhatsApp com mídia. Esses arquivos são a prova.
5. Tire print dos comprovantes com o ID da transação visível e salve o extrato do período.
6. Peça os seus relatórios no Registrato do Banco Central (registrato.bcb.gov.br): o de Chaves Pix e o de Relacionamentos com Instituições Financeiras. Eles mostram, em documento oficial, que contas e chaves existem no seu CPF e desde quando.

Por que existe ação mesmo sem alcançar o criminoso

Quase ninguém recupera dinheiro indo atrás do golpista. Recupera-se discutindo com as instituições que estavam nas duas pontas da operação.

De um lado, o banco de origem, que tem dever regulatório de monitorar e barrar movimentação incompatível com o perfil do cliente. Do outro, a instituição que abriu a conta de destino dias antes e permitiu que ela recebesse o dinheiro no primeiro movimento.

A base está na Súmula 479 do Superior Tribunal de Justiça, que firma a responsabilidade objetiva das instituições financeiras por fraudes de terceiros, porque esse risco é inerente ao negócio delas; no artigo 14 do Código de Defesa do Consumidor; e, no plano regulatório, na Circular BACEN nº 3.978/2020 e na Resolução CMN nº 4.753/2019, que impõem conhecer o cliente e monitorar o que destoa do perfil dele.

Quando há documento falsificado no meio, entra também o Código Civil, artigos 145 a 147: não houve consentimento válido, houve erro induzido por dolo. É juridicamente diferente de uma transferência autorizada, e é essa diferença que o banco vai tentar apagar.

Se você passou por isso, guarde tudo e procure orientação jurídica. O que decide um caso desses não é a indignação. É o que ficou registrado.

Nota de método

Este texto foi escrito a partir de quatro casos atendidos pelo escritório entre agosto e outubro de 2026. Nenhuma vítima é identificada, e nenhum dado pessoal, valor exato individualizado, número de boletim ou número de processo foi publicado.

Os documentos reproduzidos são os arquivos originais recebidos pelas vítimas, com os dados pessoais tarjados e a marca do banco ocultada. As datas de abertura e os dados cadastrais das empresas destinatárias foram conferidos na base pública de CNPJ da Receita Federal. As descrições de horário e valor vêm dos comprovantes e extratos fornecidos pelas próprias vítimas.

Não se afirma aqui a existência de vínculo comprovado entre os casos. Afirma-se o que é verificável nos documentos: que molde, estrutura e campos coincidem.

The post O boletim de ocorrência que o seu banco assinou por você appeared first on Falando de Fraudes.

Um novo malware voltado para celulares Android passou a usar uma tática avançada para roubar dados bancários: o programa malicioso remove os aplicativos legítimos das instituições financeiras e instala versões modificadas no lugar. Batizado de “Hirudo”, o vírus atua para desativar mecanismos internos de proteção dos bancos e garantir acesso amplo ao aparelho da vítima.

O alerta foi emitido pela empresa de segurança cibernética ThreatFabric em relatório divulgado nesta quarta-feira (14). Segundo os pesquisadores, o ataque começa quando o usuário baixa aplicativos aparentemente inofensivos de compras, vídeos ou entretenimento. Escondido nesses programas, o vírus exibe uma falsa notificação de atualização para induzir a vítima a conceder permissões do sistema.

Com o acesso liberado, o malware baixa a versão alterada do aplicativo bancário, abre a tela de desinstalação da plataforma verdadeira e usa os privilégios obtidos para concluir a substituição sem levantar suspeitas.

As versões modificadas mantêm visual e funcionamento quase idênticos aos originais, mas carregam um código interno capaz de enganar o sistema operacional. Esse mecanismo substitui certificados digitais de validação, oculta serviços suspeitos em execução e remove a proteção que impede capturas de tela. Assim, os criminosos conseguem monitorar o celular em tempo real, registrar senhas, capturar códigos PIN de pagamento, ler mensagens SMS e até transmitir imagens das câmeras do aparelho.

Alvo principal e alcance global

Apesar de o código do vírus conter registros com alvos em países como China, Índia, México, Marrocos e Tailândia, a estrutura de substituição direta de aplicativos foi direcionada para instituições da Indonésia. No entanto, os especialistas da ThreatFabric ressaltam que o modelo de ataque pode ser adaptado rapidamente para atingir organizações financeiras em qualquer outra região.

De acordo com o relatório técnico, a estratégia representa um avanço perigoso nas táticas de criminosos virtuais ao focar em falhas no próprio processo dos aplicativos:

“O Hirudo marca uma escalada deliberada na forma como os vírus bancários de Android abordam aplicativos protegidos.”

A análise da infraestrutura utilizada pelos cibercriminosos revelou um painel de controle desprotegido que armazenava milhares de credenciais roubadas, dados de dispositivos e perfis financeiros de vítimas. Os estudiosos descobriram que a distribuição do malware ocorria por meio de redes de anúncios e servidores de entrega de conteúdo que mantinham links ativos até o momento da publicação das descobertas.

Recomendações para usuários e bancos

O relatório destaca que as defesas locais do aparelho deixam de ser confiáveis quando o aplicativo bancário é adulterado por completo. “Com o mecanismo rodando dentro do próprio processo do aplicativo bancário, as defesas do app são voltadas contra ele mesmo”, alertaram os analistas.

Para mitigar os riscos, eles recomendam que as instituições financeiras realizem as checagens de segurança e integridade diretamente dos servidores. Para os usuários de dispositivos Android, a orientação principal é manter o sistema operacional atualizado, utilizar a verificação contínua do Google Play Protect e jamais baixar ou instalar arquivos de aplicativos vindos de fontes não oficiais.

Análise jurídica

Do ponto de vista do direito digital, a substituição fraudulenta de aplicativos e a interceptação de dados podem configurar, em tese, crimes como invasão de dispositivo informático (art. 154-A do Código Penal), estelionato (art. 171) e furto mediante fraude (art. 155, § 4º, II), além de violação à Lei Geral de Proteção de Dados (LGPD). A responsabilização de instituições e plataformas depende da apuração de falhas específicas e do dever de segurança em cada caso.

Siga o Falando de Fraudes no Instagram e YouTube e assine para ficar por dentro de tudo sobre golpes e fraudes digitais, direito digital e tecnologia.

The post Novo vírus para Android troca aplicativos de bancos para roubar senhas appeared first on Falando de Fraudes.

O tamanho do problema

Mais de 75.000 organizações em 150 países foram alvo. Só contra clientes da Microsoft, foram 750 milhões de mensagens maliciosas apenas neste ano. A investigação, conduzida pela Microsoft e pela Polícia Nacional do Japão, revelou um mercado clandestino de crimes cibernéticos que vendia ferramentas de phishing prontas, como um “kit de golpes” para criminosos.

Como os golpistas operavam

A YAM Store, como era chamada, vendia ambientes, contas e licenças comprometidas da Microsoft e do Google. Os criminosos compravam domínios expirados de empresas reais, reconstruíam os sites para parecerem ativos e usavam essas identidades falsas para criar contas na nuvem. Também criavam organizações fictícias com documentos gerados por inteligência artificial.

As ferramentas ofereciam pretextos variados: pedágios não pagos, multas, problemas com entregas e pedidos de verificação de conta. Um dos kits, o Iron Man, possui mais de 2.300 modelos que imitam bancos, varejistas, serviços de entrega e órgãos governamentais.

O que foi apreendido

Com ordem judicial nos EUA, a Microsoft e parceiros apreenderam domínios, desativaram mais de 20.000 contas e bloquearam 100.000 domínios fraudulentos. A investigação envolveu ainda Resecurity, Cloudflare, Oracle, Proofpoint e TRM Labs.

Como se proteger

• Desconfie de mensagens urgentes sobre multas, entregas ou verificações de conta.
• Nunca clique em links recebidos por SMS ou e-mail sem verificar a fonte.
• Acesse bancos e serviços digitais digitando o endereço manualmente.
• Ative a autenticação em dois fatores em todas as contas.
• Verifique se o remetente é realmente quem diz ser.

A verdade incômoda

Os golpistas estão cada vez mais sofisticados, usando IA para criar sites e documentos falsos convincentes. A operação desmantelada é um alívio, mas representa apenas uma fração do ecossistema criminoso. A melhor defesa continua sendo a informação e a desconfiança saudável.

Se você recebeu mensagens suspeitas, denuncie. Compartilhe este artigo com familiares e amigos — especialmente aqueles menos familiarizados com tecnologia. A prevenção começa com a conscientização.

Quer ficar por dentro de notícias sobre golpes, fraudes e direito digital? Acompanhe o Falando de Fraudes. Aqui você encontra alertas, dicas de proteção e análises jurídicas sobre o mundo digital. Siga, compartilhe e ajude mais pessoas a não caírem em armadilhas.

The post Ação global desmantela rede ligada ao envio de 1 bilhão de mensagens de phishing appeared first on Falando de Fraudes.

Em resumo: o Hospital Israelita Albert Einstein confirmou, em 7 de outubro de 2026, que um ataque cibernético identificado em 4 de agosto deu acesso não autorizado a dados de pacientes, entre eles dados cadastrais, imagens de documentos pessoais (RG, CPF e CNH) e, segundo a imprensa, possivelmente prescrições médicas e resultados de exames. Os pacientes atingidos estão recebendo um e-mail que informa quais dados seus foram acessados. Abaixo, o que se sabe até agora, o que a lei diz, o que o STJ já decidiu e o que o paciente pode fazer.

O que aconteceu

Segundo as informações divulgadas pelo próprio hospital e pela imprensa entre 7 e 8 de outubro de 2026:

• o Einstein identificou sinais de invasão em seus sistemas em 4 de agosto de 2026;
• houve acesso e obtenção não autorizados de parte das bases de dados de pacientes;
• entre os dados atingidos estão dados cadastrais (nome, CPF e data de nascimento) e, possivelmente, dados de saúde, como prescrições médicas e resultados de exames;
• o hospital afirma que não encontrou, até agora, evidência de divulgação ou uso indevido das informações, e que os sistemas de atendimento e o prontuário eletrônico funcionaram normalmente;
• o caso foi comunicado à Autoridade Nacional de Proteção de Dados (ANPD) e à Polícia Federal;
• em 7 de outubro, a Polícia Federal deflagrou a Operação Insidioso, em Joinville (SC), com prisão temporária de um suspeito de facilitar a extração dos dados. Segundo a PF, os investigados teriam exigido pagamentos depois de obter as informações do hospital;
• os pacientes afetados estão sendo avisados individualmente por e-mail, e o hospital criou um canal de atendimento para dúvidas.

O que diz o e-mail enviado aos pacientes

A comunicação que os pacientes vêm recebendo confirma o “acesso e obtenção não autorizados de uma parte da base de dados de pacientes”, informa que a suspeita do incidente surgiu em 4 de agosto e que a ANPD e a Polícia Federal foram comunicadas. Em seguida, traz um item chamado “Quais dos seus dados foram afetados”, que muda de paciente para paciente. Em mensagens às quais tivemos acesso, os dados listados eram:

• dados pessoais, como nome, CPF, e-mail ou telefone;
• imagens de documentos pessoais, como RG, CPF ou CNH.

O próprio hospital recomenda atenção redobrada a mensagens, ligações e e-mails que usem informações pessoais ou de saúde para pedir pagamentos, senhas, códigos ou instalação de aplicativos, e indica o Portal de Relacionamento com o Titular para quem quiser detalhes sobre os próprios dados. Guarde esse e-mail. É a prova de que você está entre os atingidos e de quais dados seus foram expostos.

O número de pessoas atingidas não foi divulgado. O próprio hospital informou que os dados estavam distribuídos em bases diferentes, o que dificulta medir a extensão do incidente.

Por que dados de saúde mudam tudo

A LGPD (Lei nº 13.709/2018) separa os dados pessoais comuns dos dados pessoais sensíveis. Dado referente à saúde está expressamente nessa segunda categoria (art. 5º, II). A razão é simples: um exame, um diagnóstico ou uma receita revelam aspectos da intimidade que podem gerar discriminação, constrangimento e prejuízo, no trabalho, no seguro, na família.

Por isso, a lei exige cuidado redobrado no tratamento desses dados e impõe a quem os guarda o dever de adotar medidas de segurança aptas a protegê-los de acessos não autorizados (art. 46). Um hospital é, por natureza, um dos maiores guardiões de dados sensíveis que existem.

Ataque hacker afasta a responsabilidade do hospital?

Em regra, não. A LGPD estabelece que quem causa dano em razão do tratamento de dados pessoais, em violação à legislação, é obrigado a repará-lo (art. 42), e considera irregular o tratamento que não fornece a segurança que o titular pode esperar (art. 44). A relação entre paciente e hospital também é relação de consumo, o que atrai a responsabilidade objetiva do Código de Defesa do Consumidor (art. 14), como a própria LGPD prevê (art. 45).

A lei admite que o agente se exima de responsabilidade se provar culpa exclusiva de terceiro (art. 43, III). Mas a ação de um hacker, por si só, não basta. Em dezembro de 2024, a Terceira Turma do STJ julgou caso de vazamento causado por ataque hacker e concluiu que a alegação de ato de terceiro não afasta os deveres do agente de tratamento quando a culpa exclusiva do terceiro não é comprovada (REsp 2.147.374/SP, Rel. Min. Ricardo Villas Bôas Cueva, j. 3/12/2024). Proteger o sistema contra invasões é exatamente o que se espera de quem guarda esse tipo de informação.

Cabe indenização por dano moral?

Aqui está o ponto mais importante, e a resposta depende de quais dados de cada paciente foram atingidos. Por isso o e-mail do hospital é tão relevante.

O que o STJ já decidiu. Em 2023, a Segunda Turma decidiu que o vazamento de dados pessoais comuns, daqueles que se informam em qualquer cadastro, não gera dano moral presumido: o titular precisa demonstrar o prejuízo concreto (AREsp 2.130.619/SP, Rel. Min. Francisco Falcão, j. 7/3/2023). O próprio julgado ressalvou que a situação seria diferente se houvesse vazamento de dados sensíveis.

Em fevereiro de 2025, a Terceira Turma enfrentou justamente essa diferença. Ao julgar o vazamento de dados sensíveis, inclusive de saúde, decidiu que a responsabilidade do fornecedor é objetiva e que o dano moral é presumido, porque a exposição desses dados, por si só, submete o titular a riscos à honra, à intimidade, ao patrimônio e à segurança. O acórdão também afirma que cabe ao fornecedor provar que cumpriu o dever de proteger os dados (REsp 2.121.904/SP, Rel. Min. Nancy Andrighi, j. 11/2/2025).

Na prática, há três situações:

• Dados de saúde expostos (exames, prescrições, informações clínicas): há fundamento sólido para pedir indenização por dano moral, com base no entendimento mais recente da Terceira Turma do STJ.
• Imagens de documentos (RG, CPF, CNH): não são dados sensíveis na definição da lei, mas também não são dados “de qualquer cadastro”. A cópia de um documento com foto, assinatura e número é exatamente o que um criminoso precisa para abrir conta em nome de outra pessoa, contratar empréstimo ou habilitar chip de celular. Há bons argumentos para distinguir esse caso do precedente de 2023, e o pedido de indenização ganha muita força se houver qualquer uso indevido do documento.
• Apenas nome, CPF, e-mail e telefone: a indenização é possível, mas, pelo entendimento de 2023, tende a exigir a demonstração de prejuízo concreto, como tentativas de golpe ou uso indevido do CPF.

Em qualquer das três situações, prejuízos materiais causados pelo vazamento, como valores perdidos em golpes aplicados com esses dados, podem ser cobrados, desde que comprovados.

O prazo de comunicação também importa

Desde 2024, o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) exige que o controlador comunique a ANPD e os titulares em até três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, quando houver risco ou dano relevante, e o envolvimento de dados sensíveis é um dos critérios desse risco. A comunicação deve explicar, entre outros pontos, quais dados foram afetados, os riscos envolvidos, as medidas adotadas e, se houver atraso, os motivos.

Pelas informações públicas, a invasão foi identificada em agosto e a comunicação aos pacientes começou em outubro. Ainda não se sabe em que momento o hospital teve conhecimento de que dados pessoais haviam sido atingidos. Esse ponto deve ser esclarecido e pode ter peso na avaliação de cada caso.

Como saber se você foi afetado

• Verifique seu e-mail, inclusive a caixa de spam, em busca da comunicação do hospital. Guarde a mensagem: ela é a primeira prova de que seus dados estavam entre os atingidos.
• Peça informações formalmente. A LGPD garante ao titular o direito de saber quais dados seus são tratados e o que aconteceu com eles (arts. 18 e 19). Faça o pedido por escrito ao canal do hospital ou ao encarregado de dados e guarde o protocolo. O STJ já decidiu que essa obrigação de informar se mantém mesmo quando o vazamento decorre de ataque hacker (REsp 2.147.374/SP).
• Anote tudo o que acontecer a partir de agora: ligações, mensagens, cobranças e tentativas de golpe que mencionem seus exames, seu médico ou seu convênio.
• Se imagens dos seus documentos foram expostas, consulte o Registrato, serviço gratuito do Banco Central, para ver se há contas, chaves Pix ou empréstimos abertos em seu nome, e acompanhe seu CPF nos birôs de crédito. Repita a consulta periodicamente. Qualquer registro que você não reconheça é prova e precisa ser contestado na hora.

Cuidado redobrado com golpes

Dados médicos são matéria-prima de golpes sofisticados, porque dão credibilidade ao criminoso. Fique atento a:

• ligações ou mensagens de supostos médicos, laboratórios ou do próprio hospital cobrando exames, procedimentos ou “taxas de liberação” de resultados;
• falsas centrais de convênio pedindo confirmação de dados, senhas ou códigos recebidos por SMS;
• links para “consultar se seus dados vazaram” ou “receber indenização”;
• pedidos de Pix urgentes em nome de familiares internados.

Na dúvida, desligue e ligue você mesmo para o número oficial. Nenhuma instituição séria pede senha, código ou pagamento por esses canais. Se você perder dinheiro num golpe que use seus dados, registre boletim de ocorrência e comunique seu banco imediatamente: no Pix, o pedido de devolução pelo Mecanismo Especial de Devolução (MED) tem prazo de 80 dias.

Quando vale a pena entrar com ação

Cada caso precisa ser analisado individualmente. Em geral, a ação de reparação é mais consistente quando:

• há comunicação do hospital ou outra prova de que seus dados estavam entre os atingidos;
• os dados expostos incluem informações de saúde ou imagens de documentos;
• houve consequências concretas, como tentativas de golpe, uso do CPF por terceiros ou exposição de diagnóstico;
• o hospital não respondeu, ou respondeu de forma incompleta, ao pedido de informações.

O prazo para a ação de reparação por falha na prestação de serviço é de cinco anos (CDC, art. 27), mas a prova se perde com o tempo. O ideal é organizar a documentação desde já.

Como a Pardi e Morais pode ajudar

A Pardi e Morais atua em direito digital, proteção de dados e responsabilização por fraudes e vazamentos. Se você recebeu a comunicação do hospital ou suspeita que seus dados foram expostos, podemos analisar o seu caso de forma confidencial: quais dados foram atingidos, que provas reunir e se há fundamento para a ação.

Fale com a equipe pelo WhatsApp

Fontes

• Comunicado do Einstein enviado por e-mail aos pacientes atingidos (outubro de 2026) e página einstein.br/comunicado.
• Imprensa: Diário ESP, 8/10/2026; Gazeta de São Paulo, 8/10/2026; Viva, 8/10/2026; Saúde Digital News, 9/10/2026.
• STJ, Informativo nº 842: REsp 2.121.904/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 11/2/2025.
• STJ, Informativo nº 838: REsp 2.147.374/SP, Rel. Min. Ricardo Villas Bôas Cueva, Terceira Turma, j. 3/12/2024.
• STJ, Informativo nº 766: AREsp 2.130.619/SP, Rel. Min. Francisco Falcão, Segunda Turma, j. 7/3/2023.
• Lei nº 13.709/2018 (LGPD), arts. 5º, 18, 19, 42 a 46; Código de Defesa do Consumidor, arts. 14 e 27; Resolução CD/ANPD nº 15/2024.

Conteúdo informativo, atualizado em 13 de outubro de 2026, com base nas informações públicas disponíveis até esta data. As apurações seguem em andamento e o texto será atualizado se houver fatos novos. Este artigo não substitui a análise individual do caso.

The post Vazamento de dados no Einstein: quem foi afetado pode pedir indenização? appeared first on Falando de Fraudes.

Se alguém está pedindo um Pix para “liberar” o dinheiro que ficou parado numa bet, é golpe. A devolução dos saldos depois da proibição das apostas é feita pelos bancos, para a conta de onde o dinheiro saiu, e a regra não prevê nenhum pagamento por parte do apostador.

O assunto explodiu nesta semana. O prazo para sacar voluntariamente o saldo das casas de apostas terminou na segunda-feira, 5 de outubro, como noticiou a Agência Brasil. As plataformas saíram do ar no dia 6. E justamente agora, entre 7 e 14 de outubro, o dinheiro de quem não sacou começa a voltar pelos bancos.

É o cenário perfeito para o golpista: milhões de pessoas esperando um dinheiro, sem saber direito como ele vai chegar. E a fraude já está rodando. A empresa de cibersegurança ZenoX identificou o chamado golpe do “saque fantasma”, com sites falsos de apostas que mostram um saldo inventado e cobram uma taxa para liberar o saque, segundo reportagem publicada hoje.

O que mudou com o fim das bets?

A Medida Provisória 1.394, de 25 de setembro de 2026, proibiu a exploração, a oferta e a publicidade das apostas de quota fixa no país. O texto está no site do Planalto. Para quem tinha saldo, o calendário divulgado pelo governo é este:

• até 5 de outubro: prazo para o saque voluntário, direto na plataforma;
• 7 e 8 de outubro: as empresas informam aos bancos quanto cada apostador tem a receber;
• de 9 a 14 de outubro: os bancos devolvem os valores;
• depois disso: a Caixa Econômica Federal cuida dos casos em que a devolução não deu certo.

Pela MP, o dinheiro volta de preferência para a conta de origem, aquela de onde saiu o depósito, com identificação pelo CPF. Se essa conta não estiver mais ativa, pode ir para outra conta do próprio apostador. O que sobrar vai para uma conta específica na Caixa.

Como funciona o golpe do saldo das bets?

O roteiro é quase sempre o mesmo. A pessoa recebe uma mensagem no WhatsApp, um SMS, ou vê um anúncio no Instagram ou no TikTok dizendo que tem um valor a receber das bets. Tem logo do governo, tem contagem regressiva, tem urgência.

Ela clica, cai num site com cara de oficial, digita o CPF e vê um saldo. Às vezes até maior do que esperava. Para liberar, pedem uma “taxa de processamento”, um “imposto” ou uma “tarifa de antecipação”. A pessoa paga por Pix e o saldo continua travado. Logo vem uma segunda cobrança. Depois, uma terceira.

No caso do saque fantasma, a ZenoX encontrou dados de mais de 3,6 mil pessoas cadastradas nesses sites falsos. Ou seja: além do Pix perdido, a vítima entregou CPF, telefone e às vezes dados bancários para criminosos.

Esse mecanismo de cobrar para liberar um dinheiro que não existe eu já expliquei no artigo sobre o golpe das tarefas. Muda o figurino, a lógica é a mesma. E o uso do nome do governo é o truque que vimos agora há pouco no golpe da multa eleitoral com site falso do TSE.

Como saber se a mensagem sobre o saldo é verdadeira?

O governo de fato mandou aviso pelo canal oficial do Gov.br no WhatsApp, como mostrou o Campo Grande News. Então receber uma mensagem não significa, sozinho, que é golpe. O que entrega a fraude é o pedido.

• pediu Pix, taxa, imposto ou depósito para liberar o saldo: golpe;
• pediu senha, código recebido por SMS ou foto do cartão: golpe;
• mandou link para um site que não termina em gov.br: desconfie;
• prometeu um valor maior do que você tinha na plataforma: golpe.

A regra é simples. Quem devolve é o banco, na conta que você já usava. Você não precisa pagar nada para isso acontecer. Na dúvida, confira no aplicativo do seu banco e nos canais oficiais do Ministério da Fazenda, nunca pelo link que chegou na mensagem.

Paguei a taxa. Consigo o dinheiro de volta?

Depende muito de rapidez. Assim que perceber o golpe, ligue para o seu banco, diga que foi fraude e peça a abertura do MED, o Mecanismo Especial de Devolução do Pix. Desde fevereiro de 2026 vale o MED 2.0, que permite seguir o dinheiro mesmo depois que ele pulou para outras contas. Expliquei o funcionamento no texto sobre o que mudou na devolução do Pix.

Depois, registre boletim de ocorrência e guarde prints da conversa, do site, do QR Code e do comprovante. Vejo toda semana no escritório gente que apagou a conversa de vergonha. Não apague nada. É a sua prova.

Se você ainda está nas primeiras horas, siga o roteiro do artigo Golpe do Pix: o que fazer nas primeiras 72 horas. Cada hora conta.

O banco tem responsabilidade nesse caso?

Pode ter, mas não é automático. A Súmula 479 do STJ diz que o banco responde por fraudes de terceiros ligadas à sua atividade. Só que o próprio STJ, em 2026, deixou claro que ela não se aplica sozinha. É preciso olhar o caso concreto.

O que eu costumo analisar: a transação fugiu do seu perfil? Foram vários Pix seguidos, em valores que você nunca movimentou? A conta que recebeu era nova e recebia dinheiro de dezenas de pessoas? No REsp 2.052.228, o STJ reconheceu que o banco tem o dever de identificar e barrar operações fora do padrão do cliente. E a instituição que abriu a conta usada pelo golpista também pode ter de responder, quando falhou na verificação.

Cada caso é um caso. Às vezes vale a pena brigar, às vezes não. Essa conta só se faz olhando os documentos.

E se o meu saldo das bets não cair até o dia 14?

Não entre em pânico e, principalmente, não procure “intermediário” para resolver. Pela regra, o que os bancos não conseguirem devolver vai para a Caixa, que passa a intermediar o resgate. Acompanhe pelos canais oficiais. Quem aparecer oferecendo “agilizar” a liberação mediante pagamento é golpista.

Agora, se a plataforma reteve seu dinheiro de forma irregular, ou se o valor devolvido estiver errado, aí existe caminho jurídico, inclusive pelo Código de Defesa do Consumidor.

Caiu no golpe do saldo das bets? Fale comigo

Se você pagou uma taxa para liberar saldo de bet, ou passou seus dados num site falso, não espere. Atendo vítimas de golpe do Pix com escritório em Alphaville. Veja como trabalho na página de advogado para golpe do Pix ou, se preferir, me chame no WhatsApp e me conte o que aconteceu.

Foto: Akshar Dave / Unsplash

The post Golpe do saldo das bets: ninguém cobra taxa para devolver appeared first on Falando de Fraudes.

Passada a votação, começam a circular mensagens que usam o nome do Tribunal Superior Eleitoral para cobrar uma suposta multa por ausência às urnas. O texto informa um débito no CPF, fixa um prazo curto e indica um link para “regularizar” a situação por Pix.

O valor cobrado, R$ 47,90, não é um detalhe. Uma quantia baixa reduz a desconfiança: a pessoa prefere pagar logo a correr o risco de ter o título cancelado ou de enfrentar problemas para tirar passaporte ou tomar posse em concurso.

A página aberta pelo link imita o visual dos sites do governo, pede nome e CPF e gera um código Pix. O dinheiro vai para uma conta controlada pelos golpistas. Os dados digitados costumam ser reaproveitados em outras fraudes, às vezes pela mesma quadrilha.

O valor baixo é a isca. O prejuízo de verdade vem depois, com os dados que a vítima entregou.

Teste: qual é o endereço oficial?

Como reconhecer a mensagem falsa

• A Justiça Eleitoral não cobra multa por SMS com link.
• O endereço do site não termina em .jus.br.
• Há prazo curto e ameaça de bloqueio do CPF ou do título.
• O pagamento é por Pix para uma conta de pessoa física ou empresa desconhecida.

Pagou? Faça isto agora

Procure o seu banco e peça a abertura do MED. Quanto mais cedo o pedido, maior a chance de o valor ainda estar na conta de destino. Depois, registre um boletim de ocorrência e guarde o print da mensagem, o link e o comprovante.

Se você digitou dados pessoais na página falsa, troque a senha da conta gov.br, ative a verificação em duas etapas e consulte o Registrato para ver se aparecem contas ou empréstimos que você não reconhece.

Quem pode ser responsabilizado

A conta que recebeu o dinheiro pertence a alguém, e a instituição que a abriu tem o dever de conferir quem é o titular. Quando a conta foi aberta com documentos falsos ou usada por uma conta laranja, pode haver discussão sobre falha na segurança. A análise depende de cada caso e das provas reunidas.

Fontes e leitura complementar

• Pardi e Morais: golpe da multa eleitoral por Pix
• Tribunal Superior Eleitoral (site oficial)
• Banco Central: Pix e Mecanismo Especial de Devolução

The post Golpe da falsa multa eleitoral cobra R$ 47,90 por Pix e usa o nome do TSE appeared first on Falando de Fraudes.