Os criminosos exploraram falhas técnicas da C&M Software, empresa que conecta bancos ao sistema do Pix.
By Flavio Aguilar
Editor Marta Stephens
Atualizado em
3 mins read
Resumo da notícia:
Um ataque hacker de grandes proporções atingiu o sistema financeiro brasileiro nesta semana. Criminosos teriam desviado até R$ 400 milhões de contas mantidas pelo Banco Central (BC).
Os criminosos exploraram falhas técnicas da C&M Software, empresa que conecta bancos ao sistema do Pix. Com isso, teriam acessado contas reservas de instituições financeiras no BC.
Os criminosos teriam rapidamente convertido parte do dinheiro em criptoativos. Isso pode dificultar o rastreamento dos valores e exigir cooperação internacional. No entanto, ainda não há confirmação se os hackers utilizaram Bitcoin (BTC) ou criptomoedas baratas para lavar os fundos.
A C&M Software, autorizada a operar pelo Banco Central desde 2001, afirma deter 23% do mercado de integração com o Pix. Além disso, a companhia teria atuado informalmente como consultora na criação do próprio sistema de pagamentos instantâneos.
Especialistas avaliam que a falha pode ter ocorrido em dispositivos físicos de segurança, conhecidos como HSM. Esses equipamentos armazenam e protegem chaves criptográficas.
Há suspeitas de erro de configuração no módulo de Gerenciamento de Identidade e Acesso (IAM). Portanto, já se considera a hipótese de envolvimento interno no crime.
No entanto, outros analistas apontam que os hackers podem ter usado técnicas como engenharia social ou malware para roubar credenciais. Por isso, ainda não está claro se houve participação de funcionários da empresa.
Estima-se que o prejuízo possa ter chegado a R$ 400 milhões. Mas ainda não houve a divulgação oficial dos valores exatos. Anteriormente, circulou a informação de que o total poderia ter ficado próximo a R$ 1 bilhão.
Os criminosos acessaram as contas de ao menos seis instituições financeiras. Entre elas, BMP, Credsystem e Banco Paulista reconheceram o impacto do ataque. Também há relatos de que o Banco Carrefour e a Credufes estiveram entre os alvos.
Em seguida ao incidente, o BC desconectou temporariamente a C&M do ambiente do Pix. No entanto, os serviços começaram a voltar nesta quinta-feira (3/7), mesmo com restrições.
O BMP afirmou que os recursos desviados pertenciam à sua conta no Banco Central e os clientes não foram afetados. Além disso, o Banco Paulista destacou que não houve vazamento de dados nem movimentações indevidas.
A Credsystem explicou que o impacto direto foi somente sobre o Pix. No entanto, segundo a empresa, outros serviços continuaram funcionando normalmente enquanto o sistema estava fora do ar.
O ataque reacendeu o debate sobre a segurança das estruturas terceirizadas que operam no modelo de Banking as a Service.
O sistema Pix ainda é considerado seguro. Mas especialistas alertam para os riscos nas conexões com prestadores de serviço.
As investigações estão a cargo da Polícia Federal e do Coaf. Por outro lado, após admitir o problema, o Banco Central não emitiu novas declarações que ajudem a elucidar o caso.
Disclaimer: Coinspeaker está comprometido em fornecer reportagens imparciais e transparentes. Este artigo tem como objetivo fornecer informações precisas e oportunas. Mas não deve ser considerado como conselho financeiro ou de investimento. Como as condições do mercado podem mudar rapidamente, recomendamos que você verifique as informações por conta própria. E consulte um profissional antes de tomar qualquer decisão com base neste conteúdo.
Flavio Aguilar é jornalista e economista formado pela Universidade Federal do Rio Grande do Sul (UFRGS). Atua há mais de 15 anos como repórter e editor em jornais e portais de notícias no Brasil. No momento, está cursando o mestrado em estudos literários da Universidade do Porto.
