BRB admite comportamento atípico; R$ 43 mi desviados do BRBJUS

O incidente do BRBJUS é um caso de comprometimento de infraestrutura financeira crítica de suporte ao sistema judiciário brasileiro — não um vazamento de dados pessoais no sentido clássico da LGPD. O ativo comprometido eram depósitos judiciais: recursos vinculados a processos em tramitação, de titularidade de partes, advogados e credores, sob custódia contratual do BRB. O impacto direto não é a exposição de um banco de dados; é o potencial desvio de valores que deveriam aguardar ordens judiciais de pagamento.

A narrativa tem dois planos distintos que precisam ser separados com rigor. Plano 1 — o que é confirmado: o TJBA confirmou, em comunicado oficial datado de 19 de setembro, que recebeu relato de incidente de segurança envolvendo o BRBJUS. O BRB, em documento assinado pelo presidente Nelson Sousa, reconheceu 'comportamento atípico do sistema' e informou que a conclusão do diagnóstico depende de análise da causa raiz, cronologia técnica e correlação de evidências. Um segundo comunicado do TJBA, publicado em 23 de setembro, fixou a data do incidente em 17 de setembro e confirmou que as ordens de pagamento seguiam indisponíveis. O BRB informou à OAB-PB que todas as funcionalidades foram normalizadas em 23 de setembro. Plano 2 — o que é alegado pela imprensa mas não confirmado por fonte A: o valor de R$ 43 milhões atribuído ao desvio. Esse número é citado por Correio Braziliense, Correio 24 Horas, Bahia Notícias e outros veículos, mas não aparece nos comunicados oficiais do TJBA nem em qualquer nota pública do BRB. O Correio Braziliense, que tem histórico sólido de apuração, cita a cifra com base em fontes não identificadas. A distância entre o que o banco admite ('indisponibilidade' e 'comportamento atípico') e o que a imprensa reporta ('desvio de R$ 43 mi') é informação relevante, não ruído.

O indicador técnico mais concreto disponível é a afirmação do TJBA de que 'os usuários envolvidos nos acessos não são administrados pelo TJBA, tratando-se de credenciais geridas pela própria instituição bancária'. Isso circunscreve o comprometimento ao plano de identidade e acesso do BRB — o que pode apontar para credential stuffing, insider, comprometimento de servidor de autenticação ou abuso de credencial privilegiada. O BRB confirmou estar investigando os 'mecanismos de acesso', sem detalhar o vetor. Nenhuma análise técnica de pesquisador independente ou CERT foi localizada até esta data.

O contexto institucional do BRB é inseparável da leitura do incidente. Em 2026, o banco enfrentava fragilidade patrimonial severa decorrente da aquisição de aproximadamente R$ 12 bilhões em ativos do Banco Master — operação rejeitada pelo Banco Central, investigada pela PF na Operação Compliance Zero, e que resultou em perdas estimadas em até R$ 5 bilhões. O banco não publicou o balanço de 2025 no prazo legal e iniciou plano de reestruturação com fechamento de agências. Nesse contexto, os depósitos judiciais — estimados em R$ 30 bilhões no total, com entrada mensal de ~R$ 394 milhões apenas do TJBA — eram estratégicos para manter a liquidez da instituição. Foi exatamente esse argumento que levou o ministro Fux a prorrogar compulsoriamente o contrato com o TJBA por 90 dias, em 27 de agosto, menos de um mês antes do incidente. Esse cenário cria dois incentivos opostos: o TJBA tem interesse em maximizar a gravidade do incidente para escapar do contrato que não queria manter; o BRB tem interesse em minimizar o incidente para não perder o fluxo de depósitos e não piorar sua situação regulatória. Ambas as narrativas devem ser lidas com esse filtro.

A Polícia Federal está investigando a possível conexão entre o ataque ao BRBJUS, um ataque ao TJMT e a invasão ao Senado Federal em março de 2026 — o que, se confirmado, indicaria um ator com capacidade de comprometer múltiplas instituições públicas de alta relevância em série. A hipótese de motivação política, circulada por fontes anônimas do BRB, não tem suporte documental público; é especulação que pode servir à narrativa do banco (externalizar a culpa). A hipótese de origem internacional tampouco foi confirmada tecnicamente. Ambas devem ser tratadas como baixa confiança até que a PF produza resultado.

A conformidade regulatória do BRB com a Resolução CD/ANPD nº 15/2024 — que exige comunicação de incidente à ANPD em até 3 dias úteis a partir do conhecimento — não pôde ser verificada. O incidente envolve dados de autenticação (credenciais comprometidas) e dados financeiros de titulares de depósitos judiciais, o que em princípio acionaria o dever de notificação. A ausência de qualquer manifestação pública da ANPD até a data desta análise é uma lacuna que pode indicar omissão do controlador ou investigação em curso sob sigilo.

Partes de processos judiciais com alvarás pendentes de cumprimento no TJBA ficaram sem acesso ao fluxo de pagamento por pelo menos sete dias (17 a 24 de setembro de 2026). O mesmo impacto operacional atingiu tribunais de outros estados que operam o BRBJUS, com destaque para o TJPB, cujos advogados foram impedidos de processar alvarás. O BRB administra depósitos judiciais de cinco tribunais — TJBA, TJPB, TJMA, TJAL e TJDFT — com volume total estimado em R$ 30 bilhões, o que dimensiona a superfície de risco sistêmico do sistema. O valor de R$ 43 milhões alegadamente desviado representa menos de 0,15% desse total, mas sua natureza — recursos vinculados a decisões judiciais específicas — torna qualquer desvio especialmente sensível do ponto de vista jurídico e reputacional. O BRB comprometeu-se publicamente a não causar prejuízo financeiro a tribunais, contas judiciais ou beneficiários, o que implica que o banco absorveria eventuais perdas. Essa garantia, contudo, foi dada por uma instituição com fragilidade patrimonial documentada e sem balanço 2025 publicado, o que reduz sua credibilidade como garantia.