Ataque ao BRBJUS: como 520 Pix sumiram em quatro horas?

O Banco de Brasília (BRB) revisou para R$ 53,1 milhões — ante estimativa inicial de R$ 43 milhões — o valor desviado do sistema BRBJUS por meio de 520 transferências via Pix não autorizadas. A informação consta de ofício enviado pelo banco ao Tribunal de Justiça da Bahia (TJBA) e foi reportada pelo Correio Braziliense. O episódio começou na madrugada de 17 de setembro e só foi contido quatro horas depois, em meio a uma disputa judicial sobre quem administrará os depósitos da Justiça baiana.

Como o valor desviado quase dobrou em uma semana

Segundo o levantamento do próprio BRB, as transações irregulares começaram por volta das 6h10 de 17 de setembro. O banco só confirmou as anomalias por volta das 10h e bloqueou o sistema às 10h10 — um intervalo de cerca de quatro horas entre o início das transferências e a contenção.

A estimativa inicial, divulgada em 21 de setembro pelo TJBA, apontava R$ 43 milhões em prejuízo. O valor foi revisado para R$ 53,1 milhões, conforme ofício mais recente do banco — um aumento de cerca de 23%. O BRB informou que acionou o mecanismo de devolução do Pix junto ao Banco Central e se comprometeu a recompor integralmente o valor nas contas judiciais, com ou sem a recuperação do dinheiro.

BRB e TJBA divergem sobre a origem da falha

Este é o ponto mais sensível da apuração, e as duas instituições dizem coisas diferentes — não apenas em tom, mas em conteúdo técnico.

Em nota oficial, o TJBA afirmou:

"Cumpre esclarecer que o incidente ocorreu, integralmente, em ambiente tecnológico externo ao TJBA, de propriedade e sob administração exclusiva do BRB, a quem compete a gestão, a operação e a segurança do sistema BRBJUS."

O tribunal reforçou que as credenciais de acesso dos usuários envolvidos no incidente são geridas pelo próprio banco, e que nenhuma vulnerabilidade foi identificada em seus sistemas internos.

Já o BRB, em ofício de 22 de setembro, afirmou que a origem do problema foi externa ao ambiente sob sua própria gestão — uma formulação que, segundo a reportagem, remete ao ambiente do TJBA. Ou seja: cada instituição aponta a origem da falha para o lado da outra. Até a publicação desta matéria, nenhuma apuração técnica conclusiva e pública confirma qual das duas versões procede.

O banco declarou que suas equipes de tecnologia trabalham 24 horas por dia para localizar os responsáveis, e que há suspeita — levantada pelo próprio BRB, não confirmada por perícia pública — de que o ataque tenha motivação política e origem no exterior.

O que o BRB informou ao STF — e o que não detalhou

O caso chegou ao Supremo Tribunal Federal porque o contrato entre BRB e TJBA está sob uma decisão do ministro Luiz Fux, relator da Reclamação (RCL) 96.420. Após o incidente, o TJBA acionou Fux relatando "riscos operacionais" no âmbito dessa reclamação.

Em resposta, Fux determinou que o BRB explicasse as providências administrativas e criminais adotadas. O banco respondeu em 28 de setembro. Segundo o que foi tornado público, o BRB informou ao STF que medidas criminais foram tomadas — mas não detalhou publicamente quais foram. Esse detalhamento é, portanto, informação insuficiente para verificar neste momento.

Sistema volta a funcionar, mas com travas de segurança

O TJBA informou, em comunicado de 24 de setembro, que o BRB notificou o restabelecimento integral do sistema BRBJUS, inclusive para pagamento eletrônico de alvarás. Para garantir uma retomada segura, porém, foram impostos limites temporários por operação:

1. Período diurno (a partir das 7h): limite de R$ 1.000.000,00 por operação
2. Período noturno (a partir das 18h): limite de R$ 100.000,00 por operação

Ordens que ultrapassem esses limites precisam ser encaminhadas diretamente ao BRB por e-mail, para processamento manual.

O pano de fundo: uma disputa de R$ 394 milhões por mês

O ataque ao BRBJUS não ocorre num vácuo institucional. Ele acontece no meio de uma queda de braço judicial sobre o próprio contrato entre BRB e TJBA.

O contrato, de cinco anos de vigência, venceu em 26 de agosto. O TJBA havia decidido não renová-lo e migrar a custódia dos depósitos judiciais para a Caixa Econômica Federal. O Governo do Distrito Federal (GDF), controlador do BRB, recorreu ao STF por meio da RCL 96.420, e o ministro Luiz Fux concedeu liminar, em 26 de agosto, determinando que o TJBA mantivesse o contrato com o BRB por 90 dias, sob o argumento de risco à liquidez do banco e de impacto sistêmico.

Essa liminar foi referendada por maioria formada na 2ª Turma do STF em 14 de setembro — mas o julgamento colegiado ainda não foi concluído: o ministro Gilmar Mendes pediu vista dos autos depois que a maioria já havia se formado. Ou seja, a manutenção do BRB na gestão dos depósitos está em vigor, mas o processo segue aberto, sem decisão final do colegiado.

O valor em disputa é expressivo: segundo o próprio BRB, o banco deixaria de receber cerca de R$ 394 milhões por mês em novos depósitos judiciais caso perdesse o contrato com o TJBA — recursos que, segundo reportagens do período, se inserem num momento de fragilidade financeira do banco, ligado a outro processo em curso no STF envolvendo o Banco Master. Esse pano de fundo ajuda a explicar por que a disputa sobre "quem administra o dinheiro" tem peso maior do que normalmente teria um contrato de custódia bancária.

As informações sobre a crise financeira do BRB ligada ao caso Banco Master aparecem em reportagens de veículos como Metrópoles, CartaCapital e InfoMoney; não há, até aqui, decisão pública que estabeleça nexo direto entre essa crise e o incidente de Pix no BRBJUS — são dois processos distintos, tratados aqui como contexto, não como causa.

O que vem a seguir

O episódio deixa duas perguntas em aberto, e nenhuma das duas tem resposta pública ainda. A primeira é técnica: qual das duas instituições — BRB ou TJBA — de fato teve a falha de segurança que permitiu 520 transferências não autorizadas em quatro horas, sem que o sistema disparasse alarme antes. A segunda é política: até que ponto a disputa bilionária pelo contrato de custódia, que já tramita no STF desde agosto, influencia o ritmo e o tom com que cada lado está contando essa história.

Enquanto a 2ª Turma do STF não conclui o julgamento represado pelo pedido de vista de Gilmar Mendes, o BRB segue administrando os depósitos judiciais da Bahia — agora sob um sistema com travas de segurança e sob cobrança do próprio Supremo por explicações que, até aqui, não vieram completas.

Versão em áudio disponível no topo do post.