Fraudes Internas em Instituições Financeiras: um caso real

No cenário atual de digitalização acelerada do setor financeiro, o inimigo mais perigoso raramente é o hacker externo que tenta transpor o firewall. Estatisticamente e tecnicamente, o risco mais crítico reside no Insider Threat no setor financeiro: colaboradores ou terceiros com acesso privilegiado que utilizam seu conhecimento técnico para manipular sistemas, desviar recursos e exfiltrar dados sensíveis.

Para instituições de pagamento, fintechs e bancos tradicionais, a Investigação de Fraudes Internas é apenas o início de uma corrida contra o tempo. O desafio não é apenas interromper o desvio, mas construir uma prova técnica inatacável que suporte demissões por justa causa, ações de regresso e processos criminais.

Neste artigo, exploraremos as metodologias avançadas de computação forense utilizadas para desvendar fraudes sofisticadas, baseando-nos em protocolos de rigor internacional e na experiência de uma década em perícias de alta complexidade.

A Anatomia da Fraude Interna em Instituições Financeiras

Fraudes internas raramente começam grandes. Na maioria das empresas, elas surgem como pequenas exceções operacionais: um crédito manual fora do fluxo, um acesso administrativo “temporário”, uma alteração pontual em cadastro, um dispositivo que aparece em mais de uma conta, uma rotina de suporte usada além do necessário. O problema é que, quando ninguém investiga com profundidade, essas exceções deixam de parecer anomalias e passam a compor um método.

É exatamente nesse ponto que a perícia em fraude interna corporativa se torna decisiva. Não se trata apenas de descobrir “quem fez”. Trata-se de reconstruir tecnicamente a verdade: quais sistemas foram usados, quais registros foram manipulados, quais evidências digitais sobreviveram, quais foram apagadas, como a fraude foi operacionalizada e se houve autoria direta, conivência ou omissão relevante.

No laudo que serviu de inspiração para este artigo, a investigação analisou uma sequência de eventos envolvendo fraudes bancárias internas, com múltiplos casos ao longo do tempo, todos submetidos a um mesmo objetivo pericial: verificar correlação de autoria, possibilidade de determinação do autor e eventual participação de terceiros por omissão ou conivência.

Metodologia Forense: Do Incidente ao Laudo

Para que uma investigação corporativa tenha validade jurídica, ela deve seguir um rito científico estrito. Não basta encontrar a prova; é preciso garantir que ela não foi contaminada.

A Preservação da Cadeia de Custódia (ISO 27037)

A Cadeia de Custódia é o espinha dorsal de qualquer perícia. Ela documenta cronologicamente a história da evidência digital, desde a coleta inicial até a apresentação em juízo. Qualquer falha nesse processo pode levar à anulação da prova em um tribunal, resultando em prejuízos milionários para a instituição.

No laboratório Alves Amorim, a coleta de evidências segue a norma ISO 27037, garantindo a imutabilidade dos dados através de cálculos de Hash (algoritmos matemáticos que geram uma “impressão digital” do arquivo).

Processamento Massivo com IPED

Em casos de alta complexidade, o volume de dados pode ser avassalador. Investigar manualmente milhares de pastas e arquivos de imagem (como fotos de cartões e documentos de clientes exfiltrados) é impossível.

O uso de ferramentas como o IPED (Indexador e Processador de Evidências Digitais) permite que o perito realize buscas indexadas, recupere arquivos apagados e organize milhares de evidências em uma linha do tempo lógica. Essa tecnologia é a mesma utilizada pelas polícias federais e órgãos de inteligência para processar crimes cibernéticos de grande escala.

Investigando o “Insider”: O Rastro Digital

Nenhum usuário, por mais técnico que seja, é invisível dentro de uma rede corporativa. A perícia busca por “pegadas digitais” deixadas em locais que o fraudador muitas vezes ignora.

Análise de Artefatos de Sistema e Navegação

Ferramentas de acesso remoto (como AnyDesk ou TeamViewer) e ferramentas de teste de API (como Postman) são frequentemente utilizadas para facilitar a fraude. A investigação forense analisa:

• Logs de execução de programas: Para provar que softwares não autorizados foram utilizados no horário da fraude.

• Lixeira e arquivos temporários: Onde muitas vezes são encontrados restos de dados exfiltrados antes da limpeza.

• Metadados de imagens: Fotos de documentos de clientes tiradas pelo fraudador podem conter coordenadas de GPS e o modelo do celular utilizado, ligando diretamente o crime à pessoa.

Por que Fraudes Internas em Instituições Financeiras são mais difíceis de detectar?

A fraude externa costuma gerar sinais clássicos de intrusão. Já a fraude interna normalmente nasce dentro do fluxo autorizado. O fraudador conhece a operação, entende as exceções, sabe quais controles são fracos e explora exatamente o ponto onde o processo depende de confiança.

Isso faz com que as fraudes internas em instituições financeiras tenham cinco características especialmente perigosas.

A primeira é a aparência de normalidade. Um crédito manual pode parecer ajuste operacional. Um acesso a banco de dados pode parecer suporte. Um login em ferramenta de requisições pode parecer teste técnico.

A segunda é o uso de privilégios legítimos. No laudo, aparecem ferramentas compatíveis com ambientes corporativos e financeiros, como pgAdmin, FortiClient e Postman, cuja simples presença não prova fraude, mas cuja execução em contexto suspeito muda totalmente o significado pericial.

A terceira é a dispersão dos eventos. Um caso isolado pode não chamar atenção, mas vários eventos separados no tempo podem revelar o mesmo método. A linha temporal da investigação mostra justamente isso: casos distintos, com naturezas aparentemente diferentes, mas passíveis de correlação técnica.

A quarta é a capacidade de adulteração. Quando o suspeito tem conhecimento técnico ou acesso elevado, ele não apenas executa a fraude; ele também tenta influenciar como ela será percebida.

A quinta é a eliminação de vestígios. No laudo, houve menção à exclusão de 1.203 arquivos de logs e registros do sistema após o conhecimento da contratação da perícia, o que reforça uma dinâmica muito comum: quando a investigação começa, o fraudador tenta reduzir a visibilidade do passado.

Como a perícia identifica autoria em ambiente corporativo?

Determinar autoria em fraude interna não significa depender de uma “confissão digital”. O trabalho sério é cumulativo. O perito reúne camadas de evidência até que a hipótese mais provável se torne tecnicamente sustentável.

1. Correlação temporal

O primeiro passo é alinhar o tempo dos fatos. Quando ocorreram as transações suspeitas? Quais arquivos foram acessados no mesmo período? Quais ferramentas foram executadas? Quais conexões remotas foram estabelecidas? Quais documentos foram abertos?

No material analisado, arquivos relacionados ao caso Renato foram acessados e modificados justamente no período compatível com os fatos investigados, incluindo planilhas, PDFs e documentos ligados a boletos e gift cards.

2. Correlação de dispositivo

Em muitos casos, o ponto mais forte não está no nome do usuário, mas no rastro do dispositivo. O laudo registra exemplos em que um mesmo ID de dispositivo foi utilizado para transações associadas a correntistas distintos, o que é um forte indicativo de centralização operacional.

3. Correlação de ambiente técnico

O uso de ferramentas específicas também é decisivo. Se o investigado ou o usuário do equipamento executa pgAdmin, Postman, VPN corporativa e acessos remotos em datas críticas, isso precisa ser lido em conjunto, não isoladamente. O laudo destaca exatamente esse cenário durante a posse do equipamento por área de TI, inclusive com acesso ao banco de dados e uso de ferramentas capazes de enviar comandos aos servidores de aplicação.

4. Correlação de comportamento

Fraude interna costuma ter padrão. Se a mesma lógica aparece em casos diferentes, a perícia passa a olhar o “modo de operação”: contas relacionadas, saques rápidos, pulverização de valores, uso de gift card, alteração de nomes, cash-in manual, acesso administrativo fora do fluxo.

5. Correlação de tentativa de ocultação

Quando surgem exclusões de logs, limpeza de histórico, manipulação de registros ou uso de proxy e emuladores, a autoria ganha uma camada adicional de intenção. No caso inspirado, houve não só exclusão massiva de registros, mas também indicação de IPs com uso de proxy e hipótese técnica de emulação de dispositivos para múltiplos acessos

O papel dos logs: a caixa-preta da fraude interna em instituições financeiras

Empresas costumam subestimar logs até o dia em que precisam deles. Nesse momento, descobrem que o log não é um detalhe técnico; é a memória auditável do sistema.

O laudo explica isso de forma muito clara ao tratar logs como diários digitais do sistema, capazes de registrar eventos, ações, erros, transações, data, hora, usuário e contexto operacional. Em uma investigação de fraude interna, os logs cumprem pelo menos quatro papéis.

O primeiro é provar a existência do evento. Sem log, a empresa depende de relato.

O segundo é provar a sequência do evento. Com log, é possível reconstruir ordem e contexto.

O terceiro é provar a vinculação entre usuário, sistema e ação.

O quarto é provar a tentativa de ocultação, quando o padrão de apagamento ou limpeza se torna ele próprio um indício.

No caso que inspirou este artigo, foram citados registros potencialmente valiosos apagados em massa, incluindo arquivos EVTX, dados de navegadores, OneDrive, logs de antivírus, hibernação, artefatos de atividade do sistema e registros de conexões.

Para qualquer empresa, a lição é simples: quem trata log como custo provavelmente pagará mais caro em investigação.

Banco de dados, APIs e ferramentas administrativas: onde a fraude escala

Uma das partes mais valiosas do laudo é mostrar que a fraude interna moderna não acontece apenas na interface visível do sistema. Ela pode acontecer em camadas muito mais poderosas.

Quando uma investigação alcança banco de dados e APIs, o patamar muda.

No laudo, há referência a execução de pgAdmin, SSMS, FortiClient e Postman, com explicação pericial de que essas ferramentas permitem acesso a servidores, envio de comandos a aplicações e operações de inclusão, exclusão, modificação e consulta na base de dados. Isso é extremamente relevante para empresas B2B, porque muitos gestores ainda acreditam que o principal risco está no usuário final. Nem sempre.

Em ambientes corporativos, a fraude pode ocorrer por:

• alteração direta de registros na base;

• requisições manuais a endpoints internos;

• simulação de ações de correntistas ou clientes;

• ativação indevida de funções administrativas;

• criação de fluxos paralelos por ferramenta de teste;

• análise forense de logs bancários;

• uso de credenciais privilegiadas de terceiros.

O laudo ainda registra acessos a plataformas da empresa e infraestrutura de TI com uso irrestrito e inclusive senhas de terceiros, o que amplia o debate para controles de privilégio, segregação de acesso e governança de credenciais.

Para o público B2B, esse ponto é crucial: a investigação de fraude interna em ambiente de TI precisa olhar além do dashboard. A fraude de alto impacto normalmente deixa vestígios na camada administrativa.

Emuladores, device ID e simulação de legitimidade

Outro aspecto muito relevante do laudo é a hipótese técnica de uso de emuladores de Android e modificação de identificadores de dispositivo, como por exemplo o MAC ADDRESS. Em vez de múltiplas pessoas acessando múltiplas contas a partir de locais distintos, a investigação aponta para a possibilidade de um único operador controlando acessos que aparentavam ser independentes.

Isso muda completamente a interpretação do incidente.

Muitas empresas ainda associam fraude à ideia de ataque massivo externo. Mas, em alguns cenários, o comportamento que parece “força bruta” ou “alto volume de logins” pode, na verdade, ser orquestrado por software, máquinas virtuais ou emuladores. O laudo explora essa hipótese ao comparar ataque clássico de força bruta com execução centralizada por software e ao apontar acessos por IPs e forma de acesso via app em sequência altamente suspeita.

Para operações financeiras, marketplaces, plataformas SaaS e empresas com onboarding digital, isso tem enorme valor comercial: uma boa perícia consegue diferenciar ruído, automação oportunista e fraude interna sofisticada.

O erro mais caro: investigar sem preservar

Não adianta contratar investigação depois de destruir a prova. Esse é talvez o maior erro das empresas.

Sempre que surge suspeita de fraude interna, a reação impulsiva costuma ser uma destas:

• desligar máquina e reformatar;

• trocar credenciais sem preservar contexto;

• permitir que o equipamento circule por vários setores;

• continuar usando o dispositivo investigado;

• acessar a conta do suspeito “só para olhar”;

• abrir, copiar ou mover arquivos sem protocolo;

• apagar registros acidentalmente em ações de contenção.

O laudo mostra como a posse do equipamento e sua utilização posterior por terceiros ou por usuário não totalmente identificado complicou a leitura pericial, ao mesmo tempo em que gerou novos vestígios relevantes.

Isso é uma aula prática: contenção sem método pode comprometer prova, autoria e responsabilização.

O que uma empresa B2B deve fazer ao suspeitar de fraude interna?

A melhor resposta é rápida, técnica e silenciosa.

Primeiro, preserve o ambiente. Não formate, não limpe, não “otimize”.

Depois, restrinja acessos de modo controlado. O objetivo é conter o risco sem apagar contexto.

Em seguida, identifique os sistemas críticos: banco de dados, VPN, ferramentas administrativas, e-mail, nuvem, storage, trilha de auditoria e endpoints.

Quarto, mantenha governança de cadeia de custódia. Quem coletou, quando coletou, de onde tirou, onde guardou.

Quinto, contrate perícia especializada antes de transformar suspeita em acusação formal.

Sexto, alinhe jurídico, compliance, segurança e direção. Fraude interna é tema transversal.

Sétimo, prepare a tomada de decisão baseada em evidência, não em impressão.

Quando a perícia reduz prejuízo e quando ela salva a empresa?

Muita gente enxerga perícia apenas como custo pós-incidente. No B2B, isso é uma visão curta.

A perícia reduz prejuízo quando consegue interromper o método antes que ele escale.

Ela protege a empresa quando delimita autoria e evita responsabilizar a pessoa errada.

Ela fortalece a governança quando transforma falha operacional em aprendizado controlável.

Ela sustenta medidas jurídicas quando o caso precisa ir para esfera cível, trabalhista, criminal ou arbitral.

E ela salva reputação quando a empresa consegue demonstrar diligência, método e base técnica, em vez de improviso.

No laudo que serviu de inspiração, o valor pericial aparece justamente na combinação entre auditoria interna e exame técnico independente: a equipe interna identificou fatos; a perícia organizou, testou, correlacionou e deu estrutura probatória à narrativa.

Estudo de Caso Real: A Fraude da Instituição de Pagamento

Imagine uma instituição de pagamento que detecta um desbalanceamento de saldo. A investigação interna inicial aponta para um Insider Threat no setor financeiro, que era um colaborador do setor de TI.

A perícia digital é acionada e descobre que o colaborador utilizava um emulador Android para criar contas “laranjas”. Através da análise de logs do servidor SQL, o perito identifica que o colaborador executou comandos manuais para creditar valores nessas contas. Ao analisar o computador físico, o IPED revela milhares de fotos de cartões de crédito de clientes reais armazenadas em pastas ocultas, prontas para serem vendidas ou utilizadas.

Com um Laudo pericial de fraude corporativa, a empresa não apenas demite o colaborador, mas obtém uma condenação criminal e a recuperação dos ativos, pois a prova apresentada era tecnicamente inquestionável.

Conclusão: A Ciência a Favor da Justiça

A Investigação de Fraudes Internas em Instituições Financeiras é um desafio complexo que mistura falhas humanas e manipulações tecnológicas. Para instituições financeiras, a resposta a esses incidentes deve ser igualmente sofisticada.

Contar com um laboratório que possui 10 anos de experiência, que entende o rigor do Banco Central e as exigências do judiciário brasileiro, é o que separa uma perda financeira definitiva de uma recuperação de ativos bem-sucedida.

Se a sua instituição enfrenta uma suspeita de fraude ou necessita de um protocolo de resposta a incidentes robusto, a perícia digital não é um custo, mas o maior ativo de proteção jurídica que você pode ter.

Sobre a Alves Amorim: Especialistas em computação forense e assistência técnica judicial, atendendo grandes instituições financeiras desde 2016 com foco em alta complexidade e validade jurídica da prova.