Os criminosos exploraram falhas técnicas da C&M Software, empresa que conecta bancos ao sistema do Pix.
Resumo da notícia:
- Hackers desviaram centenas de milhões de reais aproveitando falha técnica em empresa que conecta bancos ao Pix.
- Parte do valor roubado pode ter sido convertida em criptoativos para dificultar o rastreamento.
- O ataque reacende debate sobre segurança de intermediários no sistema financeiro.
Um ataque hacker de grandes proporções atingiu o sistema financeiro brasileiro nesta semana. Criminosos teriam desviado até R$ 400 milhões de contas mantidas pelo Banco Central (BC).
Os criminosos exploraram falhas técnicas da C&M Software, empresa que conecta bancos ao sistema do Pix. Com isso, teriam acessado contas reservas de instituições financeiras no BC.
Empresa terceirizada teria sido elo frágil do sistema
Os criminosos teriam rapidamente convertido parte do dinheiro em criptoativos. Isso pode dificultar o rastreamento dos valores e exigir cooperação internacional. No entanto, ainda não há confirmação se os hackers utilizaram Bitcoin (BTC) ou criptomoedas baratas para lavar os fundos.
A C&M Software, autorizada a operar pelo Banco Central desde 2001, afirma deter 23% do mercado de integração com o Pix. Além disso, a companhia teria atuado informalmente como consultora na criação do próprio sistema de pagamentos instantâneos.
Especialistas avaliam que a falha pode ter ocorrido em dispositivos físicos de segurança, conhecidos como HSM. Esses equipamentos armazenam e protegem chaves criptográficas.
Há suspeitas de erro de configuração no módulo de Gerenciamento de Identidade e Acesso (IAM). Portanto, já se considera a hipótese de envolvimento interno no crime.
No entanto, outros analistas apontam que os hackers podem ter usado técnicas como engenharia social ou malware para roubar credenciais. Por isso, ainda não está claro se houve participação de funcionários da empresa.
Estima-se que o prejuízo possa ter chegado a R$ 400 milhões. Mas ainda não houve a divulgação oficial dos valores exatos. Anteriormente, circulou a informação de que o total poderia ter ficado próximo a R$ 1 bilhão.
Ligação com o Pix já começou a voltar
Os criminosos acessaram as contas de ao menos seis instituições financeiras. Entre elas, BMP, Credsystem e Banco Paulista reconheceram o impacto do ataque. Também há relatos de que o Banco Carrefour e a Credufes estiveram entre os alvos.
Em seguida ao incidente, o BC desconectou temporariamente a C&M do ambiente do Pix. No entanto, os serviços começaram a voltar nesta quinta-feira (3/7), mesmo com restrições.
Dinheiro e dados de clientes escaparam do ataque
O BMP afirmou que os recursos desviados pertenciam à sua conta no Banco Central e os clientes não foram afetados. Além disso, o Banco Paulista destacou que não houve vazamento de dados nem movimentações indevidas.
A Credsystem explicou que o impacto direto foi somente sobre o Pix. No entanto, segundo a empresa, outros serviços continuaram funcionando normalmente enquanto o sistema estava fora do ar.
O ataque reacendeu o debate sobre a segurança das estruturas terceirizadas que operam no modelo de Banking as a Service.
O sistema Pix ainda é considerado seguro. Mas especialistas alertam para os riscos nas conexões com prestadores de serviço.
As investigações estão a cargo da Polícia Federal e do Coaf. Por outro lado, após admitir o problema, o Banco Central não emitiu novas declarações que ajudem a elucidar o caso.
Disclaimer: Coinspeaker está comprometido em fornecer reportagens imparciais e transparentes. Este artigo tem como objetivo fornecer informações precisas e oportunas. Mas não deve ser considerado como conselho financeiro ou de investimento. Como as condições do mercado podem mudar rapidamente, recomendamos que você verifique as informações por conta própria. E consulte um profissional antes de tomar qualquer decisão com base neste conteúdo.
next