Imagine que você usa uma conta digital para receber pagamentos da sua empresa. A plataforma parece normal, tem CNPJ, aparece no site do Banco Central, oferece maquininha de cartão e boleto. Você nunca perguntou de onde vinha o dinheiro dos outros clientes — nem tinha como. Agora imagine descobrir que essa mesma fintech era investigada por lavar dinheiro do PCC e que seu nome aparece num mandado de busca e apreensão.
Esse cenário deixou de ser hipotético na última semana de maio de 2026.
O que aconteceu na Operação Fluxo Oculto
No dia 28 de maio, o Grupo de Atuação Especial de Combate ao Crime Organizado de São Paulo (GAECO) e a Receita Federal deflagraram a Operação Fluxo Oculto, segunda fase da Carbono Oculto, considerada pelas autoridades a maior ofensiva já realizada no país contra a infiltração do crime organizado no sistema financeiro.
As investigações identificaram seis fintechs — instituições de pagamento com aparência de legitimidade — que atuavam como bancos paralelos do Primeiro Comando da Capital. Essas empresas movimentaram mais de R$ 26 bilhões entre 2022 e 2025. Só uma delas recebeu mais de R$ 1 bilhão em dinheiro vivo no mesmo período. Foram cumpridos 55 mandados de busca e apreensão em São Paulo, Paraná, Mato Grosso do Sul, Minas Gerais e Rio de Janeiro.
O esquema não era apenas de lavagem. As fintechs integravam um núcleo financeiro que servia para compensações internas entre distribuidoras e postos de combustíveis controlados pela facção, fundos de investimento usados para ocultar lucros e operações com criptoativos que totalizaram R$ 365 milhões em transações suspeitas. A adulteração de combustíveis com nafta petroquímica era a ponta do iceberg — a estrutura financeira por trás era o problema real.
O mecanismo que tornou tudo possível: a conta bolsão
Para entender o risco para quem estava de fora do esquema, é preciso entender como o dinheiro circulava. As fintechs investigadas operavam com o que as autoridades chamam de "contas bolsão": estruturas em que os recursos de múltiplos clientes são concentrados em uma única conta da instituição para fins de compensação no Sistema Financeiro Nacional.
Na prática, isso significa que o dinheiro de um cliente legítimo — um prestador de serviços, uma distribuidora idônea, um investidor comum — se misturava, dentro do sistema, com os recursos ilícitos da organização criminosa. O rastreamento de quem era quem tornava-se deliberadamente opaco.
O Banco Central chegou a proibir essa modalidade operacional meses antes da Fluxo Oculto. Mas, segundo as investigações, as fintechs continuaram a prática por meio de formas alternativas, contornando a proibição regulatória.
Quem está em risco — e por quê
Esse é o ponto que a cobertura jornalística da operação praticamente ignorou: o risco penal não recai apenas sobre os operadores do esquema.
Quando uma investigação de lavagem de dinheiro é deflagrada, as autoridades geralmente seguem o rastro das movimentações financeiras. Nesse processo, surgem nomes que nunca tiveram intenção criminosa — empresários que simplesmente usavam aquela conta digital porque era prática e barata, fornecedores que receberam pagamentos por serviços legítimos, sócios de empresas que nem sabiam que a fintech estava sendo investigada.
Na legislação brasileira, o crime de lavagem de dinheiro está previsto na Lei nº 9.613/1998. O tipo penal central é:
Art. 1º Ocultar ou dissimular a natureza, origem, localização, disposição, movimentação ou propriedade de bens, direitos ou valores provenientes, direta ou indiretamente, de infração penal.
A lei não exige que o agente saiba exatamente qual foi a infração antecedente — basta que tenha ciência de que os valores têm origem ilícita. E é exatamente aqui que mora o perigo: em investigações de grande complexidade, o Ministério Público tende a incluir na denúncia todos os que tiveram contato relevante com o fluxo financeiro, deixando para o processo judicial a tarefa de separar quem sabia de quem não sabia.
Na minha experiência com casos de crimes financeiros, é recorrente ver empresários completamente alheios ao esquema serem indiciados e denunciados simplesmente porque suas empresas aparecem no extrato das contas investigadas. A presunção de inocência existe no papel — mas o processo já começou, e os danos reputacionais e operacionais são imediatos.
O que muda na prática para quem é investigado
Quando o nome de uma empresa ou de um sócio surge numa investigação dessa natureza, as consequências não esperam o final do processo:
- Quebra de sigilo bancário e fiscal — determinada judicialmente na fase investigativa, sem contraditório prévio
- Bloqueio de ativos — medidas cautelares reais podem congelar contas e bens antes da denúncia
- Busca e apreensão — cumprida no escritório ou na residência, com impacto imediato nas operações e na imagem
- Indiciamento policial — que precede a denúncia e já aparece em antecedentes
- Afastamento de sócios — em casos que envolvem pessoas jurídicas, pode haver determinação judicial de afastamento de administradores durante a investigação
Tudo isso pode acontecer antes de qualquer condenação. E em muitos casos, acontece com quem nunca quis participar de nada.
A análise jurídica: dolo eventual e o empresário de boa-fé
O ponto técnico central nesse tipo de defesa é a discussão sobre dolo. A Lei 9.613/98 exige dolo — direto ou eventual — para a configuração do crime de lavagem. Não existe lavagem culposa no direito brasileiro.
O dolo eventual é caracterizado quando o agente assume o risco de produzir o resultado típico, mesmo sem desejá-lo diretamente. Em casos envolvendo fintechs contaminadas, a acusação pode tentar argumentar que o empresário "deveria ter desconfiado" das condições operacionais da plataforma — e que ao continuar operando nela, teria assumido o risco.
A defesa, nesses casos, precisa demonstrar concretamente que o cliente agiu de boa-fé: que a fintech era regulada pelo Banco Central, que as transações tinham lastro econômico real, que não havia sinais externos de irregularidade acessíveis ao cliente comum. A regularidade formal da instituição de pagamento é, em regra, argumento forte — ninguém é obrigado a investigar seus prestadores de serviços financeiros além do que as autoridades regulatórias já fizeram.
O STJ tem reforçado, em precedentes recentes, que a responsabilidade penal pressupõe demonstração individual de conduta e elemento subjetivo — não basta a proximidade com o esquema. A Sexta Turma, no REsp 2.260.027/PI (março de 2026), reafirmou que é inadmissível a imputação a quem figura no contrato social sem exercer efetivamente a administração. O mesmo raciocínio se aplica, por analogia, ao cliente de uma fintech que não tinha acesso à estrutura operacional da instituição.
O que fazer se sua empresa operava com uma dessas fintechs
Se você soube pela imprensa que uma fintech com a qual sua empresa operava está sendo investigada, o primeiro passo não é ignorar. Investigações dessa magnitude costumam se expandir ao longo de meses, e a fase em que os nomes periféricos são incorporados ao inquérito pode demorar, mas vem.
O que recomendo nessas situações é documentar imediatamente o histórico das operações realizadas na plataforma — extratos, notas fiscais vinculadas, contratos subjacentes — e buscar orientação jurídica antes de qualquer contato com as autoridades. Uma declaração espontânea mal formulada pode criar problemas maiores do que a própria investigação.
A Operação Fluxo Oculto é o caso mais recente de um movimento que não vai desacelerar: o crime organizado se sofisticou financeiramente, e as autoridades respondem com operações cada vez mais amplas. O empresário que não se prepara para esse ambiente assume um risco que não está no seu plano de negócios — mas que pode comprometer tudo que construiu.
Se você tem dúvidas sobre como sua empresa está posicionada diante desse cenário, estou à disposição para conversar.