Attacchi ai pagamenti bancari: quattro arresti in Brasile per una frode da 30 milioni di euro

L’operazione tra Brasile e Germania

Quattro presunti cybercriminali sono stati arrestati in Brasile nell’ambito di un’indagine coordinata dalla Polícia Federal brasiliana e dal Bundeskriminalamt (BKA) tedesco. Altri tre sospettati sono stati individuati in Europa e potrebbero essere sottoposti a procedimenti giudiziari in Spagna e Bulgaria.

L’operazione, denominata Operation Klonen, ha portato all’esecuzione di 21 mandati di perquisizione e sequestro in sette città brasiliane. Gli arresti sono avvenuti a Rio de Janeiro, Guarulhos, Goiânia e Carapicuíba.

Le autorità contestano agli indagati furto aggravato tramite frode elettronica, partecipazione a un’organizzazione criminale e riciclaggio. Un tribunale federale brasiliano ha inoltre disposto il sequestro di disponibilità finanziarie, automobili e immobili fino a 106 milioni di real brasiliani, pari a circa 22,4 milioni di dollari.

L’indagine riguarda un’operazione criminale condotta nell’arco di quattro giorni nel novembre 2023. Il danno complessivo è stimato in circa 30 milioni di euro, equivalenti a 34,6 milioni di dollari.

Una vulnerabilità introdotta da un aggiornamento difettoso

Secondo la ricostruzione investigativa, gli aggressori avrebbero sfruttato una vulnerabilità comparsa dopo un aggiornamento software difettoso installato presso un fornitore di servizi.

Il componente interessato faceva parte dell’infrastruttura usata da un istituto finanziario per elaborare pagamenti e transazioni. Il problema avrebbe consentito di avviare numerosi addebiti o prelievi non autorizzati da conti di online banking tedeschi.

Il caso non viene quindi descritto come una semplice compromissione delle credenziali dei correntisti. Il punto d’ingresso sarebbe stato un difetto introdotto nella catena tecnologica del fornitore, all’interno di un sistema con accesso ai flussi di pagamento.

Non sono state rese note né l’identità del fornitore né le versioni software coinvolte. Non risultano inoltre indicati una patch, un aggiornamento correttivo o un workaround tecnico destinato agli operatori che utilizzano la piattaforma.

Le autorità tedesche non hanno identificato pubblicamente l’istituto finanziario colpito. Media brasiliani lo hanno ricondotto a Commerzbank, banca europea con ricavi annuali superiori a 11,1 miliardi di euro.

La banca ha confermato che alcuni propri clienti sono stati coinvolti in addebiti diretti non autorizzati causati da problemi tecnici presso un fornitore. Commerzbank ha però precisato che i correntisti non hanno subito perdite finanziarie e ha dichiarato di aver collaborato con gli investigatori.

Dal prelievo al trasferimento del denaro

Gli autori avrebbero disposto numerosi prelievi da diversi conti bancari online, spostando successivamente il denaro in Brasile attraverso una rete progettata per rendere più difficile ricostruirne la provenienza.

La parte principale delle somme sarebbe stata ritirata in Brasile. Una quota minore sarebbe stata convertita in contanti in quattro Paesi europei.

Il riciclaggio avrebbe utilizzato più livelli finanziari e societari: conti di transito, società, istituti di pagamento, piattaforme per asset virtuali e carte di pagamento emesse senza il consenso dei beneficiari.

Questa struttura avrebbe permesso di separare l’accesso iniziale ai conti dalle fasi successive di trasferimento e incasso. Il denaro poteva così passare attraverso diversi intermediari prima di essere prelevato o convertito, aumentando la complessità dell’analisi forense.

Il coinvolgimento di soggetti situati in più Paesi spiega la collaborazione tra Polícia Federal e BKA. Gli arresti in Brasile sono accompagnati da procedimenti previsti in Spagna e Bulgaria, dove sarebbero stati individuati altri tre sospettati.

Un’indagine con conseguenze anche politiche

Tra gli arrestati figura una persona candidata a una carica elettiva nel 2024. Secondo gli investigatori, parte dei fondi ottenuti illegalmente sarebbe stata utilizzata per finanziare la campagna politica.

L’elemento aggiunge una dimensione ulteriore a un caso nato come frode su sistemi di pagamento. Il sequestro dei beni fino a 106 milioni di real brasiliani mira infatti non solo a recuperare parte delle somme, ma anche a impedire che il patrimonio accumulato venga trasferito o disperso.

Il valore dei beni sottoposti a sequestro è superiore alla perdita stimata in euro, ma le due cifre non sono direttamente sovrapponibili: il provvedimento brasiliano riguarda disponibilità finanziarie e beni riconducibili agli indagati, non necessariamente denaro ancora presente nei conti utilizzati per la frode.

L’indagine dovrà stabilire il ruolo preciso di ciascun sospettato, la provenienza dei fondi e il rapporto tra gli arrestati brasiliani e i soggetti individuati in Europa.

Il rischio per banche e fornitori di servizi

L’episodio mostra il rischio associato agli aggiornamenti software distribuiti da fornitori che operano all’interno di processi finanziari critici. Un difetto in una piattaforma di elaborazione può produrre conseguenze molto più ampie di quelle normalmente associate a una vulnerabilità applicativa.

Quando il componente gestisce pagamenti, addebiti o trasferimenti, un errore può influire direttamente sull’integrità delle transazioni. La superficie d’attacco comprende allora non soltanto i sistemi della banca, ma anche il codice, gli accessi e i processi di controllo del fornitore.

Il caso evidenzia inoltre la difficoltà di distinguere rapidamente un malfunzionamento tecnico da un’azione fraudolenta. Un aggiornamento difettoso può alterare i flussi operativi; gli aggressori, sfruttando quella condizione, possono trasformare l’anomalia in una sequenza coordinata di transazioni.

Un dato di contesto del Blue Report 2026 indica che, dopo un accesso iniziale ottenuto con credenziali valide, le difese bloccano le attività degli attaccanti soltanto nel 37% dei casi. La statistica deriva da 338 milioni di simulazioni eseguite in ambienti di produzione dei clienti e riguarda la capacità di contrastare singole tecniche.

Il dato non misura direttamente questo incidente, ma aiuta a comprendere perché l’accesso legittimo o apparentemente legittimo a sistemi finanziari possa restare operativo abbastanza a lungo da sostenere frodi articolate.

Che cosa possono verificare le organizzazioni

Non sono state comunicate versioni vulnerabili, indicatori tecnici, nomi di file, indirizzi o altri elementi utili per una ricerca immediata nei sistemi. Per questo, non è possibile associare il caso a una specifica patch o a una regola di rilevamento.

Le banche e i fornitori coinvolti in processi di pagamento possono comunque verificare gli aggiornamenti installati nel periodo precedente all’operazione criminale, correlando le modifiche ai picchi anomali di addebiti e prelievi.

Sono rilevanti anche i controlli su:

• transazioni ripetute verso conti di nuova costituzione;
• trasferimenti verso intermediari o piattaforme per asset virtuali;
• emissione anomala di carte di pagamento;
• accessi con credenziali valide seguiti da operazioni fuori profilo;
• cambiamenti improvvisi nei beneficiari o nei limiti dispositivi.

Il fornitore dovrebbe inoltre essere in grado di ricostruire quali componenti siano stati aggiornati, quali account tecnici abbiano operato sui sistemi e quali controlli abbiano validato le transazioni.

Al momento, le misure rese note sono soprattutto investigative e giudiziarie: cooperazione internazionale, arresti, perquisizioni e sequestro dei beni. Non è noto se il fornitore abbia distribuito una correzione, modificato l’architettura del servizio o introdotto ulteriori controlli sulle operazioni di pagamento.