Uma fraude eletrônica investigada pela Polícia Civil de São Paulo teria causado prejuízo de aproximadamente R$ 50 milhões ao Banco do Brasil em um caso envolvendo apenas três pessoas jurídicas correntistas. A dimensão financeira levou à Operação Rastro, deflagrada nesta quinta-feira (20), e deixa uma questão prática para empresas: quem ainda pode acessar a conta bancária e quanto cada usuário pode movimentar?
Ao todo, são cumpridos 37 mandados de busca e apreensão contra 14 investigados em 14 municípios de São Paulo, Minas Gerais, Roraima e Santa Catarina. As medidas cautelares foram autorizadas no inquérito que apura fraude praticada contra as três pessoas jurídicas correntistas do BB.
A investigação continua em andamento. As informações disponíveis não detalham quanto do prejuízo corresponde a cada empresa e, por isso, não permitem dividir o valor entre as três vítimas. Também não estabelecem que uma configuração específica das contas tenha provocado ou facilitado a fraude.
Fraude em conta PJ envolve suspeita sobre credenciais
Durante a investigação, a Polícia Civil identificou indícios de uso indevido das credenciais de acesso de dois funcionários do Banco do Brasil, que também estão entre os investigados, segundo informações da apuração publicadas nesta quinta-feira. A condição de investigado não significa que os funcionários tenham cometido crime, e as responsabilidades ainda são objeto do inquérito.
É justamente nesse ponto que o caso produz uma checagem útil para quem administra dinheiro empresarial. Na página do BB Digital PJ consultada em 20 de agosto, o Banco do Brasil informa que empresas podem fazer gestão de usuários e acessos, definir horários e estabelecer limites de movimentação da conta.
O Guia de Segurança PJ do próprio banco detalha ainda mais essas possibilidades. Segundo o documento, o limite de movimentação pode ser ajustado de acordo com a necessidade do negócio. O horário de acesso ao BB Digital PJ também pode ser personalizado, inclusive para determinar o período em que um usuário específico poderá executar transações.
Isso permite transformar o caso em uma revisão objetiva dentro da empresa: conferir usuários cadastrados, acessos concedidos, limites vigentes e horários autorizados. São configurações disponíveis às empresas, não uma explicação para a fraude investigada.
Não há informação pública sobre como esses mecanismos estavam configurados nas contas das três pessoas jurídicas envolvidas na Operação Rastro. Portanto, também não há base para afirmar que algum deles tenha falhado ou que uma configuração diferente teria evitado o prejuízo investigado.
Limite menor e horário restrito estão entre opções do BB
Para uma empresa que não precisa realizar determinada movimentação durante todo o dia, por exemplo, o guia do BB informa ser possível personalizar o horário de acesso. Já os limites podem ser reduzidos ou aumentados, dentro do teto máximo, de acordo com a necessidade do negócio. O documento também menciona o cadastramento prévio de favorecidos como outro recurso disponível.
O Banco do Brasil informa separadamente que sua gestão de segurança adota o princípio do privilégio mínimo, pelo qual o usuário deve ter acesso apenas aos recursos necessários para executar suas atividades. A instituição também declara conceder a funcionários e terceiros somente acesso às informações necessárias às respectivas funções.
Enquanto a Polícia Civil apura a participação de cada investigado, a Operação Rastro deixa uma providência imediata que não depende da conclusão do inquérito: empresas podem revisar agora quem acessa suas contas, em quais horários e com quais limites. Se esses controles tiveram alguma relação com a fraude de aproximadamente R$ 50 milhões, porém, é uma questão que permanece sem resposta.
