Boletim de Inteligência – 21ª Edição
A KASSY Consultoria reúne atualizações relevantes sobre GRC, investigações corporativas, compliance, privacidade, segurança da informação, auditoria, controles internos, gestão de riscos, governança, tecnologia e ética empresarial.
O conteúdo tem caráter informativo e busca apoiar profissionais e empresas na leitura dos principais movimentos regulatórios, institucionais e de mercado.
Boa leitura.
Destaque da Semana
Brasil desenvolve metodologia de inteligência patrimonial para alcançar R$ 300 milhões em ativos ligados ao crime organizado
O Ministério da Justiça e Segurança Pública, com participação da Controladoria-Geral da União (CGU), Receita Federal, Conselho Nacional de Justiça (CNJ) e Advocacia-Geral da União (AGU), desenvolveu uma metodologia integrada de inteligência patrimonial destinada a identificar e recuperar ativos relacionados a organizações criminosas.
A iniciativa, divulgada em 21 de outubro, já resultou no ajuizamento de ações civis de perdimento de bens que buscam alcançar aproximadamente R$ 300 milhões em patrimônio associado ao Primeiro Comando da Capital (PCC) e ao Comando Vermelho. As medidas têm fundamento na Lei nº 15.358/2026 e não representam, nesta etapa, recuperação efetiva de todo o valor identificado.
A metodologia foi estruturada pelo Laboratório Estratégico contra o Crime (LabCrim), vinculado à Secretaria Nacional de Justiça, e utiliza o cruzamento de informações provenientes de diferentes instituições públicas. O processo começa pela identificação de imóveis de elevado valor registrados em nome de pessoas sem capacidade patrimonial compatível e que apresentam vínculos com organizações criminosas. A partir desses indícios, são realizadas análises complementares sobre titularidade, capacidade econômica, relacionamentos e origem dos recursos utilizados nas aquisições.
A abordagem amplia a integração entre inteligência financeira, análise patrimonial, investigação e medidas judiciais, direcionando a atuação estatal não apenas aos responsáveis pelas atividades criminosas, mas também às estruturas econômicas utilizadas para preservar seus recursos.
Fonte: Controladoria-Geral da União
Investigações Corporativas, Fraudes e Integridade
Polícia Federal investiga pirâmides financeiras com mais de 10 mil possíveis vítimas e bloqueio patrimonial de até R$ 100 milhões
A Polícia Federal deflagrou, em 22 de outubro, a Operação São Silvestre, destinada a investigar organizações suspeitas de promover esquemas fraudulentos de investimento por meio de plataformas digitais.
Segundo a investigação, os grupos ofereciam supostas aplicações em criptomoedas e operações automatizadas por robôs de investimento, prometendo retornos incompatíveis com a realidade do mercado financeiro. As ofertas anunciavam rentabilidades entre 2% e 3% ao dia ou entre 10% e 70% ao mês.
A PF estima que mais de 10 mil pessoas tenham sido atingidas pelos esquemas, que teriam captado investidores em diferentes estados brasileiros e no exterior entre 2018 e 2020. A Justiça também determinou o bloqueio de bens e valores de 15 pessoas físicas e 13 empresas, até o limite de R$ 100 milhões, para preservar patrimônio e possibilitar eventual reparação dos danos.
Fonte: Polícia Federal
DOJ anuncia acusações envolvendo mais de US$ 1,8 bilhão em fraudes contra programas de saúde
O Departamento de Justiça dos Estados Unidos anunciou, em 22 de outubro, acusações contra 15 pessoas, incluindo seis profissionais da área médica, por supostos esquemas de fraude envolvendo programas públicos e privados de assistência à saúde.
Os casos envolvem cobranças fraudulentas superiores a US$ 1,8 bilhão, segundo as autoridades norte-americanas. As acusações abrangem diferentes modalidades de irregularidade, incluindo tratamentos fictícios, procedimentos desnecessários, falsificação de registros médicos e utilização indevida de informações de pacientes.
Uma das principais investigações envolve mais de US$ 1,6 bilhão em cobranças relacionadas a supostos tratamentos para dependência química. As autoridades destacaram a utilização de análise de dados para identificar padrões incompatíveis com a prestação regular dos serviços, incluindo frequências atípicas de procedimentos, taxas de desligamento de pacientes e relacionamentos entre prestadores.
As acusações ainda serão examinadas judicialmente, sendo preservada a presunção de inocência dos envolvidos.
Fonte: U.S. Department of Justice
Regulatório, Compliance e Governança
FTC estabelece salvaguardas concorrenciais e auditoria independente em aquisição de US$ 2,2 bilhões no mercado de publicidade digital
A Federal Trade Commission anunciou, em 19 de outubro, um acordo proposto para tratar riscos concorrenciais decorrentes da aquisição da LiveRamp Holdings pela Publicis Groupe, em uma operação avaliada em aproximadamente US$ 2,2 bilhões.
Segundo a FTC, a combinação das empresas poderia criar incentivos para restringir o acesso de concorrentes à infraestrutura da LiveRamp e permitir que a adquirente obtivesse informações comercialmente sensíveis de clientes atendidos por outras agências.
O acordo proposto estabelece compromissos para preservar o acesso não discriminatório aos serviços da LiveRamp e implementar barreiras de informação que impeçam a Publicis de acessar ou utilizar dados confidenciais de clientes em benefício de suas próprias operações.
As obrigações propostas terão duração de cinco anos e incluem auditoria independente semestral nos dois primeiros anos e anual nos três anos seguintes, além de mecanismos de mediação de conflitos contratuais e proteções contra retaliações a clientes que apresentem preocupações regulatórias.
Fonte: Federal Trade Commission
Privacidade, Segurança da Informação e Tecnologia
Autoridades europeias emitem alerta conjunto sobre vulnerabilidades críticas que permitem execução remota de código em servidores
A Agência da União Europeia para a Cibersegurança (ENISA), a Comissão Europeia, o CERT-EU, a Europol e a rede europeia de equipes de resposta a incidentes divulgaram, em 21 de outubro, um comunicado conjunto sobre duas vulnerabilidades críticas identificadas na linguagem de programação PHP.
As falhas, registradas como CVE-2026-109618 e CVE-2026-109619, podem permitir a execução remota de código malicioso em servidores vulneráveis sem necessidade de autenticação.
O PHP é amplamente utilizado em aplicações corporativas, plataformas digitais e sistemas de gerenciamento de conteúdo. A exposição pode alcançar organizações que utilizam a tecnologia diretamente ou por meio de softwares e serviços fornecidos por terceiros.
Atualizações de segurança foram disponibilizadas em 21 de outubro, e as autoridades recomendaram a identificação das aplicações potencialmente afetadas, a priorização de sistemas expostos à internet e a aplicação das correções disponibilizadas.
Fonte: European Union Agency for Cybersecurity – ENISA
Autoridade norueguesa aplica multa de € 8,6 milhões por tratamento irregular de dados pessoais sensíveis em publicidade digital
A autoridade norueguesa de proteção de dados aplicou multa administrativa de € 8,6 milhões à Xandr Inc., empresa de tecnologia publicitária, por tratamento de dados pessoais sem base legal adequada.
A decisão, divulgada pelo European Data Protection Board em 16 de outubro, decorre de investigação relacionada ao tratamento de dados de usuários do aplicativo Grindr em processos automatizados de negociação de espaços publicitários, conhecidos como real-time bidding.
Segundo a autoridade, informações como identificadores publicitários, endereços IP e a própria utilização do aplicativo foram compartilhadas no ecossistema publicitário. Considerando a natureza do serviço, essas informações foram enquadradas como dados pessoais sensíveis relacionados à orientação sexual dos titulares.
A autoridade concluiu que a Xandr atuava como controladora conjunta em determinadas operações de tratamento e não havia demonstrado a existência de consentimento válido. A empresa utilizava como fundamento o consentimento obtido pelo aplicativo, mas a autoridade considerou que essa circunstância não afastava sua responsabilidade de verificar a validade e a abrangência da autorização.
Fonte: European Data Protection Board
Polícia Federal inicia operação de estrutura nacional para recebimento de notificações de crimes identificados por plataformas digitais
A Polícia Federal anunciou, em 21 de outubro, o início das atividades externas do Centro Nacional de Proteção à Criança e ao Adolescente (CNCA), estrutura destinada a centralizar o recebimento de notificações sobre determinados crimes graves identificados por plataformas digitais.
A iniciativa integra a implementação do Estatuto Digital da Criança e do Adolescente, conhecido como ECA Digital, instituído pela Lei nº 15.211/2025.
Nesta primeira etapa, foram disponibilizados o portal institucional do centro e o módulo de cadastramento de plataformas no Sistema NIDUS. A legislação estabelece obrigações específicas para empresas que disponibilizam produtos e serviços digitais acessíveis a crianças e adolescentes, incluindo a comunicação às autoridades competentes de determinadas ocorrências identificadas em seus ambientes.
A estrutura busca organizar o relacionamento entre plataformas digitais e autoridades responsáveis pela investigação, criando um fluxo institucional para recebimento e tratamento das notificações previstas na legislação.
Fonte: Polícia Federal
Auditoria, Controles Internos e Gestão de Riscos
Receita Federal utiliza tecnologia para realizar julgamento conjunto de mais de 15 mil processos tributários
A Receita Federal anunciou, em 20 de outubro, a realização do julgamento conjunto de mais de 15 mil processos administrativos fiscais que apresentavam questões jurídicas equivalentes.
A iniciativa utiliza uma ferramenta desenvolvida pela Coordenação-Geral de Arrecadação e Direito Creditório (Codar), em colaboração com o Serpro e diferentes áreas técnicas da administração tributária.
A solução permite identificar, organizar e agrupar grandes volumes de processos com características semelhantes, criando condições para sua análise conjunta. Segundo a Receita Federal, a iniciativa busca ampliar a uniformidade das decisões, reduzir o tempo de tramitação e melhorar a eficiência do contencioso administrativo.
A medida representa uma evolução na utilização de dados e automação em processos administrativos, ampliando a capacidade institucional de tratar grandes volumes de informações e identificar situações com fundamentos jurídicos equivalentes.
Fonte: Receita Federal
O que Conselhos e Comitês deveriam discutir
- Nossa organização possui capacidade de identificar relações econômicas, societárias e patrimoniais que possam representar riscos relevantes, mesmo quando as transações e os participantes aparentam regularidade formal?
- Os dados utilizados por compliance, auditoria e gestão de riscos permitem identificar comportamentos atípicos e inconsistências de maneira proativa ou continuamos dependendo predominantemente de denúncias e eventos já materializados?
- Como asseguramos que fornecedores, parceiros e empresas relacionadas não tenham acesso indevido a informações estratégicas ou dados pessoais, especialmente em ambientes tecnológicos integrados?
- Se uma vulnerabilidade crítica fosse identificada hoje em um componente utilizado por diferentes sistemas corporativos, conseguiríamos determinar rapidamente nossa exposição, os responsáveis pela correção e os impactos sobre a continuidade operacional?
KASSY Consultoria Analisa
Os acontecimentos desta semana apontam para uma transformação relevante na forma como riscos são identificados e supervisionados: a vantagem está migrando de quem possui mais informação para quem consegue relacioná-la, interpretá-la e agir a partir dela.
A metodologia brasileira de inteligência patrimonial é um exemplo claro desse movimento. A identificação de um imóvel, de uma empresa ou de uma transação isoladamente pode não revelar uma irregularidade. O valor surge quando diferentes informações são conectadas: capacidade econômica, titularidade, relacionamentos, movimentações financeiras e vínculos com outras pessoas ou organizações. A mesma lógica aparece nas investigações norte-americanas de fraude em saúde, nas quais padrões atípicos em grandes volumes de dados ajudaram a direcionar a atuação das autoridades.
Esse avanço tem uma consequência importante para as empresas. Compliance, auditoria, riscos e investigações historicamente trabalharam com informações distribuídas entre sistemas e áreas diferentes. Compras conhece o fornecedor; financeiro conhece o pagamento; recursos humanos conhece a pessoa; segurança conhece o acesso; jurídico conhece o contrato. O risco, entretanto, pode estar justamente na relação entre essas informações. Quanto mais fragmentada estiver a visão, maior a possibilidade de que um comportamento relevante pareça normal quando observado isoladamente.
Há também uma segunda tendência: o perímetro de responsabilidade está se expandindo para além das fronteiras formais das organizações. O caso envolvendo publicidade digital demonstra que uma empresa não necessariamente afasta sua responsabilidade porque determinado consentimento, dado ou procedimento foi originado por outro participante da cadeia. Da mesma forma, a operação envolvendo Publicis e LiveRamp mostra que acesso a informações de terceiros pode produzir exposição concorrencial mesmo dentro de estruturas comerciais legítimas. Governança de terceiros precisa, portanto, evoluir da pergunta “quem contratamos?” para questões como “quais dados essa relação permite acessar, quais decisões ela influencia e quais riscos ela transfere para nós?”.
A segurança cibernética reforça essa mesma dinâmica. Uma vulnerabilidade presente em um componente utilizado por fornecedores pode alcançar diferentes sistemas sem que a organização tenha desenvolvido diretamente a tecnologia afetada. Isso torna inventário de ativos, dependências tecnológicas, gestão de fornecedores e velocidade de resposta componentes da própria governança. O desafio não está apenas em corrigir a vulnerabilidade, mas em saber rapidamente onde ela está, quais processos dependem dela e quem possui autoridade para agir.
No Brasil, a implementação do CNCA também demonstra como obrigações regulatórias estão deixando o plano abstrato e sendo convertidas em fluxos operacionais concretos. Empresas passam a precisar identificar determinados eventos, classificá-los, registrar evidências, comunicar autoridades e demonstrar que esses procedimentos funcionaram. Esse movimento tende a aparecer em outras áreas reguladas: políticas e códigos continuam importantes, mas autoridades procuram cada vez mais evidências de execução.
Para estruturas maduras de GRC, portanto, três capacidades ganham relevância simultaneamente: integração de informações, clareza sobre responsabilidades e velocidade para transformar sinais em decisões. Não se trata necessariamente de criar mais controles, mas de conectar melhor aqueles que já existem, eliminar pontos cegos entre áreas e garantir que informações relevantes cheguem às pessoas capazes de agir.
Para conselhos, comitês e lideranças, a reflexão desta semana é: quanto dos nossos principais riscos permanece invisível não porque faltam informações, mas porque ainda não conseguimos conectá-las?
Conheça nossos serviços
