Ataque a lotéricas da Caixa desvia R$ 1 milhão e mantém serviços restritos há 5 dias

Na semana de 22 de julho, o sistema que opera as casas lotéricas da Caixa Econômica Federal sofreu um ataque cibernético que resultou no desvio de cerca de R$ 1 milhão em transações no Piauí, segundo o sindicato do setor. O banco classificou o evento como "incidente tecnológico" e, desde então, mantém restrições nos serviços prestados pelas lotéricas — redução de limites de transações, suspensão de depósitos e pagamentos de boletos. Nesta segunda-feira (27/07), as limitações continuavam ativas em todo o país, completando cinco dias de operação parcial.

Fontes: G1 · Folha de S.Paulo · ConvergenciaDigital · Baguete

O impacto vai além do valor desviado. As lotéricas são a face física da Caixa em mais de 13 mil pontos pelo Brasil — em centenas de municípios, são o único canal de acesso a serviços bancários como saques, pagamentos de contas e transferências via Pix. Um incidente nesse sistema interrompe a vida financeira de milhões de brasileiros que dependem desses estabelecimentos. O ataque expôs duas classes de risco que vão muito além da Caixa: risco de terceiros (o sistema das lotéricas é operado por parceiros, mas está interconectado ao core bancário) e continuidade operacional (a resposta ao incidente levou à redução de serviços, e não à recuperação total em horas).

Para o setor regulado, o recado é claro: a Resolução BCB 538 exige não só testes anuais nas aplicações próprias, mas também a avaliação dos sistemas de terceiros que se conectam ao ambiente da instituição. Uma fintech que processa Pix, um banco que terceiriza sua rede de correspondentes, uma cooperativa que expõe APIs a parceiros — todos carregam o mesmo risco: um elo fraco na cadeia de terceiros pode se tornar o vetor do próximo incidente.

O que toda organização deveria testar continuamente: (1) a superfície exposta dos sistemas de parceiros (SPF/DMARC, APIs públicas, portais de acesso); (2) a segmentação de rede entre ambientes próprios e de terceiros (um sistema lotérico comprometido consegue alcançar o core bancário?); (3) o plano de continuidade — com teste real, não de prancheta — para o cenário de "sistema de parceiro fora do ar por 5 dias". Não é exercício teórico: é o que aconteceu na última semana com o segundo maior banco público do país.