# A invasão do Siafi em 2024: como credenciais roubadas abriram o sistema de pagamentos federal — Citeo > Em abril de 2024, criminosos acessaram o Siafi, sistema de administração financeira do governo federal, usando CPF e senha gov.br de gestores habilitados,... Fonte: https://citeo.com.br/artigo/2024-invasao-do-siafi · Atualizado em 21/10/2026 [Início](https://citeo.com.br) [Insights](https://citeo.com.br/blog) [Segurança](https://citeo.com.br/blog/seguranca) Retrospectiva 2024 · Segurança# A invasão do Siafi em 2024: como credenciais roubadas abriram o sistema de pagamentos federal **Redação Citeo** Publicado em 31/12/2024 Revisado em 17/10/2026 **Período analisado: 2024** 3 min de leitura Resposta rápidaEm abril de 2024, criminosos acessaram o Siafi, sistema de administração financeira do governo federal, usando CPF e senha gov.br de gestores habilitados, provavelmente obtidos por phishing. PF e Abin investigaram, e o Tesouro passou a exigir certificado digital do Serpro. Em abril de 2024, o Siafi, sistema que administra a execução financeira do governo federal, foi invadido. Segundo a Polícia Federal, citada pelo Olhar Digital, os invasores entraram com credenciais de gestores habilitados, isto é, CPF e senha da plataforma gov.br, provavelmente obtidas por meio de links suspeitos e phishing. Uma vez dentro, realizaram operações financeiras. A PF e a Agência Brasileira de Inteligência (Abin) passaram a investigar o caso, e o Tesouro Nacional restringiu o acesso ao uso de certificado digital emitido pelo Serpro. ## Como o ataque aconteceu? O caso não envolveu, segundo o que foi divulgado, uma falha técnica sofisticada no software do Siafi. O ponto de entrada foi a identidade de usuários autorizados. ElementoO que foi divulgadoSistema atacadoSiafi, sistema de administração financeira federalPeríodoDesvios entre o fim de março e meados de abril de 2024Forma de acessoCPF e senha gov.br de gestores habilitadosOrigem provável das credenciaisLinks suspeitos e phishingComo foi detectadoO CPF de um gestor apareceu em tentativa de Pix não autorizadaInvestigaçãoPolícia Federal e AbinResposta do TesouroAcesso apenas com certificado digital do Serpro A detecção, segundo o Olhar Digital, ocorreu quando o CPF de um gestor apareceu em uma tentativa de transação Pix não autorizada, modalidade que não é usada em pagamentos do governo. ## Quanto foi desviado? Os valores foram revelados aos poucos pela imprensa, a partir de reportagens da Folha de S.Paulo reproduzidas pelo Jornal de Brasília. Segundo esse levantamento, publicado em 30 de abril de 2024, foram desviados pelo menos R$ 15,19 milhões: - R$ 3,8 milhões do Ministério da Gestão e da Inovação, em 28 de março, detectados em 1º de abril; - R$ 11,39 milhões do TSE, em 16 operações em 16 de abril, das quais oito, somando R$ 6,7 milhões, foram feitas em um único minuto; - outras seis tentativas, de R$ 2,22 milhões, foram canceladas depois de rejeitadas pelo Banco Central. A reportagem ressaltou que o governo não havia confirmado oficialmente os números, porque a investigação da PF corria sob sigilo. Os valores foram enviados a contas de empresas e pessoas sem contratos com o governo. ## O que mudou depois da invasão? A principal reação foi reforçar a autenticação: - o Tesouro Nacional passou a exigir certificado digital, a partir de 8 de abril, e verificação em duas etapas, a partir de 17 de abril, segundo o Jornal de Brasília; o Olhar Digital informou que o acesso passaria a ser feito com certificado emitido pelo Serpro; - o governo detectou novas tentativas de invasão usando certificados digitais emitidos por empresas privadas; - a investigação conjunta da PF e da Abin buscou identificar os responsáveis. ## Que lições o caso deixou para empresas? O episódio do Siafi ilustrou um padrão que se repetiria em outros incidentes no Brasil: o elo mais frágil costuma ser a credencial de quem tem acesso legítimo, e não o sistema em si. As lições aplicáveis a qualquer empresa são: 1. Senha sozinha não basta para sistemas que movimentam dinheiro; autenticação forte é obrigatória. 2. Treinamento contra phishing deve alcançar todos os usuários com acesso privilegiado. 3. Monitoramento de comportamento atípico ajuda a detectar uso indevido de contas legítimas. 4. Acessos devem ser revisados com frequência, removendo permissões desnecessárias. ## O que isso significa hoje? Em 2026, ao contratar um fornecedor de software ou de segurança, pergunte como o sistema protege acessos privilegiados, se há autenticação multifator obrigatória e como são registradas e auditadas as operações sensíveis. A Citeo reúne [empresas de cibersegurança](/empresas/cyber) que podem ser comparadas por especialidade, como gestão de identidades e testes de intrusão. ## Fontes - [Olhar Digital: Sistema de pagamentos do governo é invadido; entenda o que aconteceu (22/04/2024)](https://olhardigital.com.br/2024/04/22/seguranca/sistema-de-pagamentos-do-governo-e-invadido-entenda-o-que-aconteceu/) - [Correio Braziliense: PF e Abin apuram ataque ao sistema de pagamento do governo](https://www.correiobraziliense.com.br/politica/2024/04/6843305-pf-e-abin-apuram-ataque-ao-sistema-de-pagamento-do-governo.html) - [Jornal de Brasília: Ataque ao governo desviou R$ 6,7 milhões do TSE com oito operações em um minuto](https://jornaldebrasilia.com.br/noticias/politica-e-poder/ataque-ao-governo-desviou-r-67-milhoes-do-tse-com-oito-operacoes-em-um-minuto/) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://citeo.com.br/comparar) ## Perguntas frequentes ### Como o Siafi foi invadido em 2024? Segundo a Polícia Federal, os invasores usaram CPF e senha gov.br de gestores habilitados, provavelmente obtidos por phishing, e realizaram operações financeiras dentro do sistema. ### Quem investigou a invasão do Siafi? A Polícia Federal e a Agência Brasileira de Inteligência, a Abin, em investigação conjunta. ### O que o governo fez para proteger o Siafi? O Tesouro Nacional passou a exigir certificado digital emitido pelo Serpro para acessar o sistema, e o governo monitorou novas tentativas de invasão, inclusive com certificados emitidos por empresas privadas. ## Leia também [](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura