Polícia prende quadrilha por fraude de €30 milhões contra clientes do Commerzbank via falha em provedor de pagamentos
Em novembro de 2023, criminosos exploraram uma vulnerabilidade introduzida por uma atualização de software falha no sistema de processamento de pagamentos de um prestador de serviços do Commerzbank, iniciando débitos diretos não autorizados em contas de clientes alemães e desviando cerca de €30 milhões em quatro dias. O banco absorveu integralmente o prejuízo, e a 'Operação Klonen' prendeu quatro suspeitos no Brasil em agosto de 2026, com mais três indiciados na Espanha e na Bulgária.
O ponto de entrada da fraude não foi o cliente nem o banco diretamente, mas um prestador de serviços terceirizado que processava transações para o Commerzbank. Uma atualização de software defeituosa introduziu uma falha no sistema de processamento de pagamentos, e os atacantes a exploraram para disparar débitos diretos não autorizados em contas de home banking de clientes alemães ao longo de quatro dias, somando aproximadamente €30 milhões (US$ 34,6 milhões). Esse padrão — comprometer o elo mais fraco da cadeia de pagamento, não a instituição financeira final — é recorrente em fraudes de grande escala, porque provedores terceirizados frequentemente têm controles de segurança e monitoramento menos rigorosos do que o banco que os contrata.
A parte mais reveladora do caso, do ponto de vista de combate à lavagem de dinheiro, é a engenharia da fuga dos recursos: o dinheiro foi transferido para o Brasil através de uma rede desenhada especificamente para obscurecer a origem, passando por contas de passagem, empresas de fachada, instituições de pagamento, plataformas de criptomoeda e cartões de pagamento emitidos fraudulentamente. Essa cadeia de camadas (layering) é o manual clássico de lavagem de dinheiro: cada camada dificulta o rastreamento pelas autoridades e dilui o vínculo entre o crime original e o destino final dos fundos, especialmente quando cripto e instituições de pagamento menores — com KYC tipicamente mais fraco que bancos tradicionais — entram na cadeia.
A prisão de quatro suspeitos no Brasil (Rio de Janeiro, Guarulhos, Goiânia e Carapicuíba) na 'Operação Klonen', em 14 de agosto de 2026, junto com o indiciamento de mais três pessoas na Espanha e na Bulgária, mostra o alcance transnacional necessário para investigar esse tipo de esquema — e o detalhe de que um dos suspeitos teria usado parte dos recursos desviados para financiar sua própria candidatura a cargo eletivo em 2024 ilustra como o dinheiro de fraude financeira pode penetrar em outras esferas, dificultando ainda mais a resposta. As autoridades brasileiras apreenderam bens avaliados em cerca de R$ 106 milhões.
O caso reforça, na prática, três frentes de prevenção e resposta para o setor financeiro: primeiro, provedores terceirizados de processamento de pagamento precisam de monitoramento de mudanças (change management) e testes de segurança tão rigorosos quanto os sistemas internos do banco, já que uma falha neles equivale a uma falha no próprio banco; segundo, instituições de pagamento e exchanges de cripto usadas como intermediárias em transferências internacionais precisam de KYC/AML robusto para não se tornarem, ainda que involuntariamente, elos de lavagem; terceiro, para o cliente final, o episódio mostra que perdas por fraude em débito direto/home banking tendem a ser absorvidas pelo banco quando a falha é comprovadamente do lado da instituição ou de seu fornecedor — o que não dispensa a vigilância do próprio correntista sobre débitos não reconhecidos na fatura.