Hackers desviam R$ 40 milhões de startup

Um ataque cibernético ocorrido no último domingo (19) resultou no desvio de pelo menos R$ 40 milhões de instituições financeiras que utilizavam sistemas da Diletta Solutions, empresa de tecnologia sediada na agência de fomento da Unicamp, em Campinas (SP). A companhia confirmou o incidente em nota divulgada nesta terça-feira (21), informando que adotou medidas emergenciais e notificou as autoridades competentes.

A Diletta desenvolve sistemas e aplicativos voltados ao setor financeiro. Entre seus clientes está a FictorPay, pertencente ao conglomerado Fictor, que oferece serviços de pagamento sob o modelo white label. Nesse formato, a marca mantém o relacionamento com os usuários, mas terceiriza a estrutura bancária a uma instituição autorizada. No caso da FictorPay, as transações via Pix são processadas pela Celcoin, responsável por intermediar operações e criar contas vinculadas aos clientes.

De acordo com informações do setor, o grupo criminoso conseguiu acessar o ambiente tecnológico da Diletta, explorando falhas para enviar comandos falsos à Celcoin. Essas ordens instruíram transferências indevidas de valores pertencentes aos clientes das instituições financeiras conectadas. Estimativas indicam que cerca de R$ 26 milhões foram retirados de contas administradas pela FictorPay, enquanto outros R$ 14 milhões teriam sido movimentados de usuários de empresas que também utilizam a mesma infraestrutura tecnológica.

Fluxo do ataque cibernético

O esquema funcionava por meio de comunicações adulteradas. A Diletta intermediava a conexão entre os aplicativos das fintechs e os serviços da Celcoin. Ao invadir esse elo, o invasor conseguiu instruir transferências de dinheiro a contas de terceiros, conhecidas como “laranjas”. O fluxo envolvia contas bolsão mantidas pela FictorPay e a camada operacional da Celcoin, que executava as ordens acreditando tratar-se de solicitações legítimas.

Tanto a Celcoin quanto a FictorPay afirmam que seus sistemas principais permanecem íntegros e que a falha ocorreu na tecnologia fornecida pela Diletta. As empresas comunicaram o Banco Central e a Polícia Civil de São Paulo sobre o caso. O órgão regulador, responsável pelo sistema Pix, foi informado, mas não há registro de indisponibilidade na infraestrutura do serviço nacional de pagamentos instantâneos.

Após identificar o ataque, a Celcoin suspendeu a FictorPay e outras instituições ligadas à Diletta de sua rede de operações, mantendo contato direto com autoridades e clientes afetados. A companhia declarou que apoia as investigações e os procedimentos de recuperação dos valores, ressaltando que seus ambientes seguem estáveis e em conformidade com as normas do Banco Central.

A Diletta, por sua vez, informou que coopera com as autoridades na apuração e na tentativa de rastrear o autor do ataque. A startup não identificou vazamento de dados pessoais, mas reconheceu a extensão do impacto financeiro. Disse ainda que mantém diálogo com as empresas envolvidas para viabilizar o ressarcimento dos prejuízos.

Clientes de outras plataformas, como a corretora Sim;paul — controlada pela Binance —, relataram instabilidades, mas sem registro de perdas. A empresa confirmou que não houve desvio de recursos e que reforçou seus protocolos de segurança.

Até o momento, nenhuma das companhias envolvidas detalhou como será feita a compensação dos valores subtraídos. Fontes próximas às negociações afirmam que a Diletta deve concentrar os esforços de responsabilização e suporte às investigações.

A Secretaria de Segurança Pública do Estado de São Paulo informou que não localizou boletim de ocorrência registrado sobre o ataque. A Associação Brasileira de Fintechs preferiu não se manifestar. O caso segue sob análise das autoridades.

Aproveite e junte-se ao nosso canal no WhatsApp para receber conteúdos exclusivos em primeira mão. Clique aqui para participar. Startupi | Jornalismo para quem lidera inovação!