A tarde de sexta-feira, 29 de agosto, era de comemoração nas salas e corredores da Artta. Criada em 2021, para atender inicialmente as operações da SB Crédito, sua empresa-mãe, a fintech de banking e credit as a service acabara de fechar o mês com mais um recorde mensal de receita.
A marca veio acompanhada de outros números contabilizados desde o início de 2025, quando a novata decidiu competir em mar aberto, além das fronteiras do grupo. Com uma base de cerca de 3 mil clientes – de varejistas a empresas de transporte -, a receita havia crescido 974% no acumulado do ano.
A celebração, entretanto, foi interrompida por outro burburinho, fora dos limites da fintech de Curitiba, no Paraná: mais um ciberataque contra empresas do sistema financeiro nacional. Poucas horas depois, a má notícia para o time da Artta se confirmou. A companhia, ao lado do HSBC, era uma das empresas afetadas em um ataque hacker à Sinqia.
Naquela mesma tarde de sexta, 29, conforme revelou com exclusividade o NeoFeed, cibercriminosos invadiram os sistemas da Sinqia, que prestava serviços para a dupla. E, a partir dessa conexão, fizeram transferências via Pix desviando um valor total estimado, até aqui, em cerca de R$ 710 milhões das duas empresas.
“Toda a anatomia do ataque foi aparecendo para a Artta a conta gotas e nós fomos digerindo isso ao longo da madrugada”, diz Marcelo Francisco, CEO da Artta, em entrevista exclusiva ao NeoFeed. “Até por volta das 23 horas, estávamos cegos.”
A falta de visibilidade sobre o ataque não significa que a empresa ficou parada. Nas primeiras horas, quando o caso ainda não havia sido confirmado, a Artta bloqueou seus saldos a partir do momento que os rumores apontavam para um incidente envolvendo a Sinqia, uma empresa do seu “perímetro”.
Na sequência, o Banco Central (BC) desligou a Sinqia, e, por consequência, todas as empresas plugadas em seu ambiente, do sistema financeiro. A Artta, por sua vez, entrou em contato com o BC, que, já no fim daquela noite, encaminhou um extrato da situação.
Foi somente nesse momento que a fintech começou a ter a dimensão do impacto do ataque. No caso dela, os desvios chegaram a R$ 40 milhões. Desse total, quase 50% foram recuperados no fim de semana após o incidente. Pouco mais de duas semanas depois, esse índice está em 83%.
“O que eu sonho em recuperar é, no máximo, 90%”, afirma Francisco. “Quanto mais o dinheiro triangula, mais difícil é bloquear. E mais difícil ainda é quando isso chega ao perímetro das criptomoedas. E boa parte do que fragmenta, chega.”
Ele ressalta que, a princípio, quem assumirá o prejuízo dessa parcela não recuperada será a própria Artta. Mas diz que uma “conversa amigável” sobre esse tema deverá acabar acontecendo entre a fintech e o HSBC, de um lado, e a Sinqia, a origem dos ataques, na outra ponta.
O CEO da Artta conta mais sobre os bastidores do ataque e os impactos para a operação, além de falar sobre as resoluções recentes do BC. Entre elas, o limite de R$ 15 mil para Pix e TEDs feitos por instituições não autorizadas a operar diretamente e que se conectem à rede do Sistema Financeiro Nacional via prestadoras de serviços de tecnologia da informação (PSTI).
Confira, a seguir, os principais trechos da entrevista:
Quando vocês tomaram conhecimento do ataque hacker?
Na tarde da sexta-feira, 29 de agosto, estávamos celebrando mais uma vez um recorde de receita. Até que o evento veio à luz. Toda a anatomia do ataque foi aparecendo para a Artta a conta a cotas e nós fomos digerindo isso ao longo da madrugada.
Como vocês ficaram sabendo do incidente?
Como em outros casos, até você ter a certeza, a comunicação acontece praticamente por meios informais, como grupos de WhatsApp ou telefonemas. O mercado se comunica o tempo todo. E há muitos alarmes falsos. Mas, infelizmente, dessa vez estava acontecendo.
Isso ficou restrito a meios informais? Não houve um alerta dos sistemas da Artta ou da própria Sinqia?
Quando algo acontece fora do nosso perímetro, na pilotagem das transações, é como se nada estivesse acontecendo aqui. Você enxerga um comportamento extremamente normal de saídas e entradas.
“Em função do que tinha acontecido dias antes na operação Carbono Oculto, houve muita associação entre os eventos. Eu esclareci [aos clientes] que os dois casos não tinham correlação e ressaltei que o dinheiro deles estava protegido”
Mas o que acendeu, de fato, o alerta para a Artta?
Com o rumor de que a Sinqia ou o HSBC teriam sofrido um ataque, o mercado entrou em alerta. E nós olhamos e falamos: “Sinqia e HSBC estão no nosso perímetro”. Nesse exato momento, nós bloqueamos todo o saldo da nossa reserva. A Sinqia é quem nos conecta com o Banco Central. E qualquer instituição que estivesse nessa cabine poderia ter sofrido o ataque.
Isso já era a madrugada de sábado, 30 de agosto?
Era a tarde da sexta-feira ainda. Não ficamos esperando para ver se era, de fato, algo real ou apenas um rumor de mercado. Simplesmente fomos lá e bloqueamos. Por prudência. Saímos da cabine, pegamos todo o nosso saldo e colocamos em uma conta reserva, em um ambiente controlado, conectada diretamente ao BC. Nesse momento, não havia noção se tínhamos perdido dinheiro ou não.
Por quê?
Porque, na sequência, fomos desconectados e tirados da tomada, indiretamente, do BC. Porque a Sinqia foi retirada do sistema. Então, todos que estavam plugados nela saíram da conexão e perderam suas mensagerias. Nós nunca saberemos, mas se tivéssemos sido desligados antes de termos feito o bloqueio, poderia ter sido pior.
Quais foram os próximos passos?
Até por volta das 23 horas, estávamos cegos, por conta de não termos mais esse acesso. Entramos em contato com o BC, que, pouco tempo depois, encaminhou um extrato da cabine. Com esse extrato e com a conciliação concluída por volta das 2 horas, conseguimos ver qual era a nossa real situação.
Qual foi o total desviado no caso da Artta?
A maior parte do ataque aconteceu, obviamente, no maior bolso. No nosso caso, foram R$ 40 milhões. Isso está totalmente estancado. Não passa desse valor. Mas, naquele momento, nossa preocupação era se estávamos líquidos o suficiente para atender eventuais demandas de saques de clientes.
Como foi a comunicação com esses clientes?
Logo quando bloqueamos nosso saldo, os clientes começaram a entrar em contato e dissemos que talvez estivesse acontecendo um ataque hacker e que, por prudência, achamos melhor tomar essa medida. E, na segunda-feira após o episódio, tivemos a primeira conversa, de fato, com os clientes. Mas tivemos que separar as coisas.
Por quê?
Porque havia muita ansiedade, em função do que tinha acontecido dias antes na operação Carbono Oculto. Houve muita associação entre os eventos. Eu esclareci que os dois casos não tinham correlação e ressaltei que o dinheiro deles estava protegido. Mas que não era possível movimentá-lo. E que sabia que o negócio deles dependia desse restabelecimento, mas que isso era temerário naquele momento. E aí expliquei a anatomia do ataque e todo o arcabouço sistêmico em que estamos ancorados.
E como foi a interlocução com o BC nesse contexto?
Em momento algum, Artta ou HSBC foram colocados em xeque. Isso foi dito na primeira reunião com o BC no domingo, após o ataque. Disseram que 99% da investigação aconteceria no perímetro da Sinqia e que, obviamente, isso resvalaria nas duas empresas, que teriam que acompanhar a evolução dos procedimentos da companhia que elas contrataram. Eu fiquei aliviado. Porque é algo que tira o seu chão, pois, até então, você não entende onde pode ter errado. Meu maior receio era ter falhado com meus clientes e funcionários.
“Em momento algum, Artta ou HSBC foram colocados em xeque. Isso foi dito na primeira reunião com o BC no domingo, após o ataque. Disseram que 99% da investigação aconteceria no perímetro da Sinqia”
O que já é possível saber sobre o ataque em si?
Não temos ainda contato com nenhuma frente de investigação policial ou regulatória. O próprio BC pede informações, só que ainda não fez nenhuma colocação diferente daqueles que teve com o mercado como um todo. Mas você percebe que a engenharia do ataque é bastante potente. Só na Artta, por exemplo, ele ramificou para mais de 30 instituições.
O quanto isso dificulta o rastreamento e o bloqueio desses recursos?
Quanto mais o dinheiro triangula, mais difícil é bloquear. E mais difícil ainda é quando isso chega ao perímetro das criptomoedas. E boa parte que fragmenta, chega. E quando você vai granulando no nível de R$ 500, R$ 5 mil, R$ 10 mil, R$ 15 mil, dificilmente você consegue bloquear e recuperar esse dinheiro. Ele some muito rápido. Os valores mais gordos, são os mais fáceis. Teve instituição que já bloqueou, no primeiro nível, quase R$ 10 milhões na cabeça. Não deixou passar nenhum centavo. No mercado, o que se ouve é que eles atacam para ficar com 10%, 15% do total.
Quanto a Artta já conseguiu recuperar do total de R$ 40 milhões?
O número mais atualizado é de 83%, que, inclusive, apresentamos nesta semana para o BC. Nós começamos a trabalhar de uma maneira meio que analógica logo após o ataque. E como estávamos fora do sistema, tivemos que contar com nossos parceiros. E o mercado se ajuda, é bastante unido nesse ponto. Então, no próprio fim de semana do ataque, já tínhamos bloqueado quase 50% dos recursos.
Há alguma perspectiva de recuperar o restante dos valores?
O que eu sonho em capturar é, no máximo, 90%. Os outros 10% acho muito difícil.
Quem vai arcar com esse prejuízo?
A Artta. Nós absorvemos pelo capital. Depois, vamos ter, obviamente, uma conversa de cavalheiros. Isso vai ter que acabar acontecendo entre nós, o HSBC e a Sinqia. Vamos conversar amigavelmente. Mas se tivermos que assumir esse valor – e também estamos conversando com o BC sobre isso, o que sobrou, dos R$ 40 milhões, nós conseguimos diluir. Isso não vai afetar a performance da companhia.
Esse episódio afetou, de alguma forma, a relação entre Artta e Sinqia?
Fizemos uma reanálise se fomos corretos ao selecioná-la como prestadora de serviço e não existe nenhuma dúvida sobre isso. Ela é o maior player nesse mercado. Aconteceu, não adianta ficar olhando para trás e a Sinqia vem trabalhando conosco da melhor forma possível.
A Artta já conseguiu restabelecer suas operações?
Não estamos 100% ainda, porque voltamos com a TED e o processo de cobrança, já que a Sinqia conseguiu atender as demandas do BC nessas frentes, mas não com o Pix. Nesse caso, a última atualização que temos é de um retorno até quarta-feira (dia 17 de setembro). Nós, juntamente com HSBC, auditores e o BC estamos em cima para que não exista 0,001% de chance de algo acontecer novamente.
“Sou muito favorável [às resoluções do BC]. O mercado financeiro é muito dinâmico. E você começa a ramificar demais, com as inserções dos PSTIs, bancos digitais, fintechs, instituições de pagamento, sociedades de crédito direto…”
Qual foi o impacto dessas semanas com a operação incompleta para a Artta?
Ainda não conseguimos apurar. É claro que vai ser um mês atípico, pois perdemos duas semanas. Mas o dinheiro voltou a fluir aqui de uma maneira bastante acentuada. Não perdemos clientes. Somos um negócio novo, então, qualquer soluço pode machucar. Mas isso não aconteceu. Acho que fomos bastante eficientes e velozes na comunicação. Não nos omitimos. E, apesar dos ânimos bastante acalorados, fomos compreendidos.
A Artta planeja reforçar seus controles a partir desse caso?
Nós já agimos como um banco e temos uma estrutura extremamente robusta. E eu não enxergava a necessidade de aprimoramentos de curto prazo, pois tudo o que tínhamos planejado foi cumprido. Mas o BC passou uma lista gigantesca de obrigações para a Sinqia cumprir. E essas adaptações também escorrem para o nosso lado. Então, teremos que ser auditados por uma empresa autorizada pelo BC ou pela CVM para chancelar que tudo foi efetivamente implantado.
Como você avalia as resoluções anunciadas pelo BC após esses ataques e a operação Carbono Oculto?
Eu sou muito favorável. O mercado financeiro é muito dinâmico. E você começa a ramificar demais, com as inserções dos PSTIs, bancos digitais, fintechs, instituições de pagamento, sociedades de crédito direto. E que estão ancorados ali em normas que foram observadas em 2018. Quando você tem um mercado como esse, crescendo de uma forma exponencial, é preciso parar e rever.
Como isso vai impactar o mercado?
Acho que isso foi cirúrgico. Quem realmente aposta no negócio, de uma maneira sustentável, que veio para ficar, olhando crescimento de longo prazo, com investimento sólido e acreditando no segmento, não vai ter problema nenhum em se aprimorar e usar essa situação a seu favor. Nós mesmos, aqui da Artta, entendemos que, do jeito que está, o mercado não vai mais se sustentar.
E como isso se reflete nos planos da Artta?
Vamos abraçar essas mudanças e, talvez, até acelerar nosso roadmap. Já estamos pensando em pedir mais responsabilidade ao BC, saindo de uma Sociedade de Crédito Direto para virar uma Sociedade de Crédito, Financiamento e Investimento (SCFI). Chegou a hora de antecipar muita coisa, pois o mercado vai ser filtrado. Aquele não que não tiver capital, disponibilidade e conhecimento, vai ficar para trás.
Leave a Reply