Promotoria denuncia hacker por furto de R$ 479 milhões via transferências Pix

O Ministério Público de São Paulo denunciou à Justiça o operador de sistemas João Nazareno Roque, apontado como o hacker que executou ‘sofisticado esquema criminoso’ para consumar o furto de R$ 479,3 milhões da conta de liquidação do Banco BMP por meio de transferências eletrônicas fraudulentas via sistema PIX.

Segundo a acusação, Roque se valeu de ‘sua condição profissional e do acesso privilegiado aos sistemas internos da empresa’.

O golpe foi executado entre os dias 22 e 30 de junho. O promotor criminal Rafael Adeo Lapeiz destaca que o operador ‘violou o mecanismo de segurança e subtraiu, para si e para terceiros, por meio de dispositivo eletrônico conectado à rede de computadores, com violação de mecanismo de segurança e utilização de programa malicioso, R$ 479,3 milhões, de propriedade do Banco BMP Instituição de Pagamento S.A.’

A C&M Software, anota o promotor, é uma empresa responsável pela intermediação técnica das transações entre o Banco BMP e o Banco Central. Segundo Lapeiz, o acusado ‘executou um sofisticado esquema criminoso’.

Roque foi preso temporariamente pela Polícia Civil de São Paulo e confessou sua participação na fraude mediante uma comissão de R$ 15 mil.

O promotor pediu a conversão do regime temporário em prisão preventiva para o hacker. Ele destaca ‘a gravidade do crime, o vulto do prejuízo causado e os indícios de reiteração criminosa, pela conveniência da instrução criminal, tendo em vista o risco concreto de destruição de provas eletrônicas’.

Lapeiz vê, ainda, riscos de que, em liberdade, o hacker promova ‘interferência em sistemas e comunicação com os demais membros da organização criminosa ainda não identificados’.

Também sustenta que a custódia preventiva de Roque vai ‘assegurar a aplicação da lei penal, considerando que o denunciado ainda não recebeu sua parcela dos valores prometidos, o que potencializaria sua capacidade de fuga’.

“A custódia cautelar é indispensável para quebrar o sistema comunicativo da associação criminosa e garantir a eficaz identificação de todos os envolvidos”, argumenta o promotor.

Lapeiz pediu que os autos sejam encaminhados à 1.ª Vara de Crimes Tributários, Organização Criminosa e Lavagem de Bens e Valores da Capital. Ele concordou com o pedido da Polícia para instauração de um inquérito à parte, destinado à investigação do crime de associação criminosa.

“A medida se justifica pela complexidade da operação criminosa, que envolveu múltiplos agentes em diferentes núcleos (intelectual, operacional e financeiro), bem como pela necessidade de individualização das condutas e aprofundamento das investigações para identificação dos demais partícipes”, assinala o promotor.

Em seu entendimento, ‘a cisão investigatória atende aos princípios da eficiência administrativa e da economia processual, evitando o tumulto procedimental e permitindo a persecução penal adequada de todos os envolvidos’.

O promotor descarta a possibilidade de um acordo com Roque. “Em que pese a primariedade do denunciado, não se mostra cabível a propositura de acordo de não persecução penal. Nesse sentido, a pena mínima cominada ao delito de furto qualificado excede o limite máximo previsto no artigo 28-A, caput, do Código de Processo Penal, que estabelece a possibilidade do acordo apenas para infrações penais com pena mínima inferior a quatro anos.”

“Ademais, a gravidade concreta do fato, envolvendo prejuízo de quase meio bilhão de reais e violação de dever profissional, torna inadequada a aplicação do instituto despenalizador”, adverte Lapeiz.

‘SCRIPTS MALICIOSOS’

A denúncia ressalta que, segundo esclarecido por Kevin Venâncio Sant’Ana, coordenador de Operações da C&M Software, as funções atribuídas a Roque eram limitadas ao atendimento de clientes e monitoramento das aplicações onde rodam os softwares que fazem todas as operações fornecidas pela empresa, como transferências PIX, TEDs e pagamento de boletos.

“Destaca-se que a empresa não realizava nenhum tipo de programação, limitando-se apenas ao cuidado do sistema, podendo ‘restartar’ o sistema em casos de travamentos ou erros e realizar pequenas manutenções”, anota o promotor.

Segundo ele, João Nazareno Roque, ‘bem como todos os outros funcionários e jovens aprendizes, executava exatamente esses procedimentos operacionais básicos, não possuindo autorização nem competência técnica para inserir códigos de programação ou executar comandos avançados nas máquinas da empresa’.

“Dessa forma, a execução de scripts maliciosos pelo denunciado extrapolou completamente suas atribuições funcionais legítimas, caracterizando clara violação dos protocolos internos e uso indevido de seu acesso privilegiado aos sistemas”, diz a denúncia.

O promotor relata que no dia 27 de junho, ‘os agentes externos, utilizando-se da porta de entrada criada pelo denunciado, instalaram uma VPN (Ligolo Proxy) no sistema, mascarando o tráfego de dados e preparando a infraestrutura necessária para a execução das transferências fraudulentas’.

Na madrugada do dia 30, ‘o grupo criminoso executou o golpe, realizando múltiplas transferências eletrônicas não autorizadas da conta de liquidação do Banco BMP junto ao Banco Central, transferindo valores’.

Inicialmente o montante desviado chegou a R$ 541 milhões, depois ajustados para R$ 479, 3 milhões ‘após medidas de repatriamento administrativo’.

“Tem-se que as transferências fraudulentas tiveram como principal destino a Instituição de Pagamento Soffy, que recebeu aproximadamente R$ 270 milhões dos valores subtraídos”, segue o promotor Rafael Adeo Lapeiz. “Outras instituições também receberam parcelas dos recursos desviados, evidenciando a coordenação e sofisticação da operação criminosa.”

Segundo o Ministério Público, o esquema somente foi descoberto quando o Corp Bank alertou o Banco BMP sobre transações PIX suspeitas no valor de R$ 16 milhões, iniciando uma investigação que revelou a extensão do prejuízo causado.

“A investigação demonstrou de forma inequívoca que João Nazareno Roque foi o elemento interno fundamental para a execução do crime de furto qualificado mediante fraude eletrônica, atuando como facilitador (‘insider’) dos demais coautores do crime”, acusa o promotor.

Roque confessou seu envolvimento direto, em dois interrogatórios. Ele admitiu ter quebrado credenciais de segurança e manipulado sistemas internos da C&M Software. Confirmou ter recebido R$ 15 mil como pagamento, valor pago em duas parcelas (R$ 5 mil e R$ 10 mil), além de promessas de valores adicionais após a consolidação da operação.

Ao imputar ‘especial gravidade’ ao crime atribuído ao hacker, o promotor destaca. “Tinha o dever profissional de zelar pela segurança e integridade dos sistemas sob sua responsabilidade. Ao contrário, valeu-se exatamente desta posição privilegiada e da confiança nele depositada para viabilizar o crime, traindo os deveres mais elementares de sua profissão e causando prejuízo milionário à vítima.”

A C&M Software presta serviços de infraestrutura tecnológica para doze instituições financeiras no ambiente PIX. É responsável por viabilizar transações como TED e PIX através da conexão entre os sistemas internos dos bancos e o ambiente do Banco Central.

A execução do crime iniciou-se em 22 de junho de 2025, quando Roque, utilizando-se de sua credencial de acesso como funcionário da C&M Software, acessou duas estações de trabalho da empresa, quebrando protocolos de segurança e manipulando sistemas restritos para os quais não possuía autorização específica.

A investigação técnica conduzida pelo coordenador de Segurança da Informação Leandro Roberto de Souza indica que Roque acessou um notebook que não possuía acesso à internet, mas que se conectava à rede interna da empresa, utilizado pela área de operação para verificação de logs de aplicação e análise.

“Violando os deveres inerentes à sua profissão e função, João Nazareno Roque inseriu comandos maliciosos no sistema, rodando um script aparentemente malicioso na pasta/tmp, que demonstrou ser uma tentativa de ataque, pois o arquivo era oculto e requeria senha SUDO para acessar o usuário ROOT”, diz a denúncia.

Imagens do circuito interno de segurança da C&M Software captaram o hacker ‘manipulando fisicamente as estações de trabalho comprometidas’.

A análise técnica dos logs de sistema confirmou que os comandos maliciosos foram executados utilizando as credenciais de acesso de Roque.

DOR DE DENTE

As suspeitas sobre Roque ganharam peso por causa de seu ‘comportamento peculiar’ no dia seguinte ao acesso aos sistemas. Ele compareceu rapidamente à empresa, acessou novamente sistemas restritos e se retirou imediatamente alegando ‘dor de dente’. Ficou no escritório apenas cerca de cinco a seis minutos, ‘em clara tentativa de ocultar provas ou interferir nos vestígios digitais’.

Dois colegas de trabalho dele relataram à Polícia que, nos últimos meses, Roque ‘apresentou mudança significativa de comportamento, tornando-se mais rude, impaciente e tenso com os colegas, além de passar a receber ligações telefônicas durante o expediente, ausentando-se da sala por 20 a 25 minutos sem explicar o teor das conversas’.