RAT Bancário: como um “vírus espião” ajudou hackers a esvaziar contas e lavar milhões em bitcoin.

1. O que aconteceu

Em março de 2018, a Polícia Federal deflagrou a Operação Código Reverso para desarticular um grupo de cibercriminosos, com conexões internacionais, especializado em fraudes bancárias pela internet. Segundo a PF, a organização usava um programa malicioso do tipo RAT (Remote Access Trojan, ou “trojan de acesso remoto”) para controlar computadores das vítimas à distância e movimentar suas contas bancárias sem autorização.

A operação cumpriu 43 mandados judiciais — entre prisões preventivas, prisão temporária, intimações e buscas e apreensões — em quatro estados (Tocantins, São Paulo, Goiás e Pernambuco). De acordo com a investigação, o grupo teria causado prejuízo estimado em R$ 10 milhões em cerca de nove meses, valendo-se ainda de empresas de fachada e da compra de bitcoins para ocultar e dificultar o rastreamento dos valores desviados.

Fonte: Reportagens de veículos como Exame, InfoMoney e ISTOÉ, com base em comunicado oficial da Polícia Federal (21/03/2018).

Este caso é usado aqui como referência real para explicar, de forma didática, um esquema que continua extremamente atual: o uso de RAT para fraude bancária eletrônica.

2. Classificação jurídica do fato

De forma geral, esquemas desse tipo costumam envolver a combinação de mais de um crime:

• Invasão de dispositivo informático (art. 154-A do Código Penal), quando há instalação de programa malicioso no computador da vítima sem autorização, para obter dados ou vantagem indevida.
• Furto mediante fraude (art. 155, §4º-B, do Código Penal, com redação dada pela Lei 14.155/2021), quando o criminoso, sem o conhecimento da vítima, movimenta a conta e transfere valores — hipótese normalmente distinta do estelionato, já que a vítima não é convencida a entregar o dinheiro voluntariamente; ela é dela subtraída por manipulação remota do sistema.
• Organização criminosa (Lei 12.850/2013), quando há estrutura, divisão de tarefas e permanência do grupo — o que costuma se confirmar em operações desse porte.
• Lavagem de dinheiro (Lei 9.613/1998), pela ocultação e dissimulação da origem ilícita dos valores, inclusive por meio de empresas de fachada e conversão em criptoativos.
• Falsificação e uso de documento falso (arts. 297 e 304 do Código Penal), comum em casos em que o grupo usa identidades falsas para movimentar valores ou realizar compras.

A definição exata do enquadramento depende sempre das provas colhidas em cada inquérito — o que se descreve aqui é o padrão típico desse tipo de esquema, não uma afirmação sobre a situação processual atual dos investigados no caso citado.

3. Como o golpe funciona (padrão observável, não um “manual”)

Em termos gerais — e apenas no nível necessário para o leitor reconhecer o padrão —, esquemas com RAT bancário costumam seguir esta lógica:

• A vítima recebe algum tipo de mensagem (e-mail, SMS ou aplicativo) com um anexo ou link aparentemente legítimo, disfarçado de boleto, nota fiscal, atualização de sistema ou comunicado de instituição conhecida.
• Ao interagir com esse conteúdo, o dispositivo é infectado por um programa que passa a rodar em segundo plano, sem sinais visíveis para o usuário comum.
• Esse programa permite que o criminoso, remotamente, veja a tela, capture o que é digitado ou até assuma o controle do dispositivo no momento em que a vítima acessa o aplicativo do banco.
• Com esse acesso, o golpista realiza transferências, pagamentos de boletos ou compras, muitas vezes justamente quando a vítima “abre a porta” ao fazer login em sua própria conta — dando a falsa sensação de que a operação partiu do titular.

Não há, aqui, qualquer indicação sobre como esses programas são criados, distribuídos ou configurados — informação que não ajuda o cidadão a se proteger e apenas facilitaria a reprodução do crime.

4. Sinais de alerta

• Computador ou celular passa a funcionar mais lento, trava ou reinicia sem motivo aparente após abrir um anexo ou link.
• Ícones, janelas ou o cursor do mouse se movem sozinhos, mesmo que por instantes.
• Recebimento de e-mails, SMS ou mensagens não solicitadas pedindo urgência para abrir um arquivo (“fatura vencendo”, “pacote retido”, “atualize seu app agora”).
• Notificações do banco sobre acessos, transferências ou alterações cadastrais que a pessoa não reconhece.
• Antivírus ou sistema operacional desatualizados por muito tempo.

5. Como se prevenir

• Nunca abra anexos ou clique em links de mensagens inesperadas, mesmo que pareçam vir de bancos, órgãos públicos ou empresas conhecidas — confirme sempre por canal oficial.
• Mantenha sistema operacional, navegador e aplicativo do banco sempre atualizados.
• Use antivírus de fabricante confiável e mantenha-o ativo e atualizado.
• Ative a autenticação em duas etapas em contas bancárias e de e-mail.
• Evite acessar o aplicativo do banco em computadores compartilhados, públicos ou já usados para baixar arquivos de origem duvidosa.
• Desconfie de qualquer solicitação de urgência para “regularizar”, “atualizar cadastro” ou “evitar bloqueio” — esse é o principal gatilho psicológico explorado nesses golpes.

6. Se você já caiu no golpe

1. Desconecte o dispositivo da internet imediatamente, para interromper eventual controle remoto em andamento.
2. Contate o banco por telefone oficial (não pelo número que veio na mensagem suspeita) para bloquear a conta e contestar transações.
3. Registre um Boletim de Ocorrência, de preferência em Delegacia de Crimes Cibernéticos, quando houver na sua região.
4. Guarde prints, e-mails e qualquer evidência do golpe, sem apagar nada do dispositivo antes de eventual perícia.
5. Solicite ao banco a instauração de procedimento de ressarcimento, conforme normas do Banco Central sobre fraudes eletrônicas.
6. Troque imediatamente as senhas de e-mail, banco e demais contas sensíveis, usando outro dispositivo limpo.

7. O que a lei prevê para o autor

As penas variam conforme o enquadramento definitivo do caso, mas, de forma ilustrativa: a invasão de dispositivo informático (art. 154-A CP) prevê reclusão além de multa, com aumento de pena se há obtenção de conteúdo de comunicações ou dados financeiros; o furto mediante fraude eletrônica (art. 155, §4º-B CP) tem pena de reclusão de 4 a 8 anos, além de multa; a lavagem de dinheiro (Lei 9.613/1998) prevê reclusão de 3 a 10 anos e multa, podendo ser aumentada quando praticada de forma reiterada ou por organização criminosa; e a participação em organização criminosa (Lei 12.850/2013) tem pena autônoma de reclusão de 3 a 8 anos, além das penas dos crimes efetivamente cometidos.

No caso citado como referência (Operação Código Reverso), a Polícia Federal apontou a existência de conexões internacionais do grupo investigado e informou que parte dos suspeitos responderia por crimes como associação criminosa, falsificação de documentos e furto qualificado, além de lavagem de dinheiro — tratando-se, à época, de investigados, e não de condenados definitivos.

8. Aviso editorial

Este conteúdo tem finalidade exclusivamente educativa e preventiva, elaborado com base em informações públicas veiculadas pela imprensa e por comunicado oficial da Polícia Federal. Não há exposição de dados de vítimas, e eventuais suspeitos mencionados devem ser compreendidos sob a presunção de inocência, já que o texto não reflete o andamento processual atual do caso. O objetivo é ajudar o leitor a reconhecer padrões de golpe e se proteger — não descrever meios técnicos de execução de crimes.

Leia também

• [Sugestão de link interno: post sobre golpe do Pix / engenharia social]
• [Sugestão de link interno: post sobre marco legal dos criptoativos (Lei 14.478/2022) e lavagem de dinheiro]

Links externos recomendados (fontes institucionais e técnicas)

• Banco Central do Brasil — canal de denúncias e informações sobre fraudes eletrônicas: https://www.bcb.gov.br
• Polícia Federal — canal de denúncia e informações institucionais: https://www.gov.br/pf
• Febraban — Portal de segurança bancária e prevenção a fraudes: https://portalfebraban.org.br
• CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil): https://www.cert.br
• Kaspersky Brasil — conteúdo educativo sobre trojans e RATs: https://www.kaspersky.com.br