Em abril de 2024, criminosos acessaram o Siafi, sistema de administração financeira do governo federal, usando CPF e senha gov.br de gestores habilitados, provavelmente obtidos por phishing. PF e Abin investigaram, e o Tesouro passou a exigir certificado digital do Serpro.
Em abril de 2024, o Siafi, sistema que administra a execução financeira do governo federal, foi invadido. Segundo a Polícia Federal, citada pelo Olhar Digital, os invasores entraram com credenciais de gestores habilitados, isto é, CPF e senha da plataforma gov.br, provavelmente obtidas por meio de links suspeitos e phishing. Uma vez dentro, realizaram operações financeiras. A PF e a Agência Brasileira de Inteligência (Abin) passaram a investigar o caso, e o Tesouro Nacional restringiu o acesso ao uso de certificado digital emitido pelo Serpro.
Como o ataque aconteceu?
O caso não envolveu, segundo o que foi divulgado, uma falha técnica sofisticada no software do Siafi. O ponto de entrada foi a identidade de usuários autorizados.
| Elemento | O que foi divulgado |
|---|---|
| Sistema atacado | Siafi, sistema de administração financeira federal |
| Período | Desvios entre o fim de março e meados de abril de 2024 |
| Forma de acesso | CPF e senha gov.br de gestores habilitados |
| Origem provável das credenciais | Links suspeitos e phishing |
| Como foi detectado | O CPF de um gestor apareceu em tentativa de Pix não autorizada |
| Investigação | Polícia Federal e Abin |
| Resposta do Tesouro | Acesso apenas com certificado digital do Serpro |
A detecção, segundo o Olhar Digital, ocorreu quando o CPF de um gestor apareceu em uma tentativa de transação Pix não autorizada, modalidade que não é usada em pagamentos do governo.
Quanto foi desviado?
Os valores foram revelados aos poucos pela imprensa, a partir de reportagens da Folha de S.Paulo reproduzidas pelo Jornal de Brasília. Segundo esse levantamento, publicado em 30 de abril de 2024, foram desviados pelo menos R$ 15,19 milhões:
- R$ 3,8 milhões do Ministério da Gestão e da Inovação, em 28 de março, detectados em 1º de abril;
- R$ 11,39 milhões do TSE, em 16 operações em 16 de abril, das quais oito, somando R$ 6,7 milhões, foram feitas em um único minuto;
- outras seis tentativas, de R$ 2,22 milhões, foram canceladas depois de rejeitadas pelo Banco Central.
A reportagem ressaltou que o governo não havia confirmado oficialmente os números, porque a investigação da PF corria sob sigilo. Os valores foram enviados a contas de empresas e pessoas sem contratos com o governo.
O que mudou depois da invasão?
A principal reação foi reforçar a autenticação:
- o Tesouro Nacional passou a exigir certificado digital, a partir de 8 de abril, e verificação em duas etapas, a partir de 17 de abril, segundo o Jornal de Brasília; o Olhar Digital informou que o acesso passaria a ser feito com certificado emitido pelo Serpro;
- o governo detectou novas tentativas de invasão usando certificados digitais emitidos por empresas privadas;
- a investigação conjunta da PF e da Abin buscou identificar os responsáveis.
Que lições o caso deixou para empresas?
O episódio do Siafi ilustrou um padrão que se repetiria em outros incidentes no Brasil: o elo mais frágil costuma ser a credencial de quem tem acesso legítimo, e não o sistema em si. As lições aplicáveis a qualquer empresa são:
- Senha sozinha não basta para sistemas que movimentam dinheiro; autenticação forte é obrigatória.
- Treinamento contra phishing deve alcançar todos os usuários com acesso privilegiado.
- Monitoramento de comportamento atípico ajuda a detectar uso indevido de contas legítimas.
- Acessos devem ser revisados com frequência, removendo permissões desnecessárias.
O que isso significa hoje?
Em 2026, ao contratar um fornecedor de software ou de segurança, pergunte como o sistema protege acessos privilegiados, se há autenticação multifator obrigatória e como são registradas e auditadas as operações sensíveis. A Citeo reúne empresas de cibersegurança que podem ser comparadas por especialidade, como gestão de identidades e testes de intrusão.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Como o Siafi foi invadido em 2024?
Segundo a Polícia Federal, os invasores usaram CPF e senha gov.br de gestores habilitados, provavelmente obtidos por phishing, e realizaram operações financeiras dentro do sistema.
Quem investigou a invasão do Siafi?
A Polícia Federal e a Agência Brasileira de Inteligência, a Abin, em investigação conjunta.
O que o governo fez para proteger o Siafi?
O Tesouro Nacional passou a exigir certificado digital emitido pelo Serpro para acessar o sistema, e o governo monitorou novas tentativas de invasão, inclusive com certificados emitidos por empresas privadas.