Ataque hacker desvia cerca de R$ 1 bi após invadir empresa que conecta instituições ao Pix; assista reportagem

Foto: Reprodução | 

Um ataque hacker, classificado como o maior do tipo no Brasil, resultou no desvio de recursos estimado em R$ 1 bilhão de valores relacionados a contas mantidas no Banco Central (BC). A avaliação é do Grupo FS, especialista em segurança cibernética. Os valores pertenciam a clientes da C&M Software, provedora de serviços de tecnologia para o setor financeiro.

• Veja notícias recentes da Rede Seta 
• Veja os últimos conteúdos do Spy 
• Receba notícias em seu Zap
  
  

Detalhes sobre a magnitude do desvio de recursos

Fontes ouvidas pela Folha indicam que o prejuízo total, estimado em cerca de R$ 1 bilhão, impactou oito instituições. Deste valor, R$ 500 milhões eram de uma única cliente da C&M Software. A informação sobre o desvio de recursos foi primeiramente reportada pelo Brazil Journal.

O papel da C&M Software e o Pix no incidente

A C&M Software, empresa de tecnologia afetada pelo ataque hacker, gerencia a troca de informações entre instituições do Sistema de Pagamentos Brasileiro (SPB), incluindo a operação do Pix. Grandes bancos como Bradesco e XP estão entre seus clientes, mas ambos declararam que não foram afetados pelo incidente.

A resposta do Banco Central ao ataque

Em nota, o Banco Central (BC) confirmou que a C&M Software reportou o ataque hacker à sua infraestrutura. Como medida, a autoridade monetária determinou o "desligamento do acesso das instituições às infraestruturas por ela operadas".

Apesar do incidente na provedora, a infraestrutura do Pix se manteve segura e operando normalmente. O Banco Central investiga o volume de valores recuperados do desvio de recursos, mas análises iniciais indicam que a quantia é pequena. Detalhes oficiais sobre a extensão exata do desvio de recursos ou quais clientes da C&M Software foram atingidos ainda não foram divulgados.

Cronologia do ataque hacker e investigação policial

O ataque hacker ocorreu na madrugada de segunda-feira, dia 30, mas foi notificado ao Banco Central apenas na terça-feira, dia 1º. A Polícia Federal iniciou um inquérito na quarta-feira, dia 2, para investigar o incidente. O órgão policial não comentou o caso.

Desvio de recursos convertido em criptomoedas via Pix

A SmartPay, fintech que integra Pix e criptoativos, informou que seu serviço foi usado para converter os valores do desvio de recursos em criptomoedas. Rocelo Lopes, CEO da SmartPay, declarou: "Detectamos um problema à 0h18 do dia 30 de junho devido ao movimento atípico nas compras de USDT e Bitcoin".

Lopes acrescentou que a SmartPay bloqueou as operações e iniciou o estorno dos valores recuperáveis. "Foram retidas grandes somas de dinheiro e, na mesma hora, foi feito o processo de devolução para as instituições envolvidas."

O ataque hacker no Brasil e precedentes internacionais

Alberto Leite, CEO do Grupo FS (especialista em segurança cibernética), afirmou que ataques cibernéticos desta escala são inéditos no Brasil. "No cenário internacional, já observamos casos mais expressivos, como o ataque à exchange de criptomoedas Bybit, que resultou na perda de US$ 1,5 bilhão."

Como ocorreu o ataque hacker à C&M Software

Kamal Zogheib, diretor comercial da C&M Software, explicou que o ataque hacker usou credenciais de clientes para acesso fraudulento. Ele ressaltou: "A empresa colabora ativamente com as autoridades competentes, incluindo o Banco Central e a Polícia Civil de São Paulo, nas investigações em andamento".

Zogheib garantiu que os sistemas críticos da C&M Software seguem seguros e operacionais.

Contas afetadas pelo desvio de recursos no Banco Central

A BMP, cliente da C&M Software e prestadora de serviços bancários, confirmou que o ataque hacker acessou contas reserva de seis instituições, incluindo a sua. Estas contas são mantidas no Banco Central para depósitos e são obrigatórias para controle de risco de bancos comerciais.

Em nota, a BMP detalhou: "As contas reserva são mantidas diretamente no Banco Central e utilizadas exclusivamente para liquidação interbancária [transferências de fundos entre as instituições financeiras]".

Uma fonte anônima indicou que as contas acessadas eram as Contas PI (Pagamentos Instantâneos), usadas para dar liquidez às transações do Pix.

A BMP assegurou que nenhum de seus clientes foi afetado e que possui garantias para cobrir o valor impactado, sem prejuízo às suas operações. "A instituição já adotou todas as medidas operacionais e legais cabíveis e conta com colaterais suficientes para cobrir integralmente o valor impactado, sem prejuízo à sua operação ou a seus parceiros comerciais".

Impacto do ataque da C&M Software em outros clientes

Outra cliente da C&M Software, a Credsystem, informou que o ataque hacker afetou apenas seu serviço de Pix, suspenso por decisão do Banco Central. A empresa comunicou: "Nossos clientes podem continuar utilizando normalmente e sem custo o serviço de TED."

Responsabilidade da C&M Software e ressarcimento pelo desvio de recursos

O advogado Victor Solla Jorge, do escritório Jorge Sociedade de Advogados, aponta que se a C&M Software for considerada responsável pela falha de segurança cibernética, terá que ressarcir os clientes pelo desvio de recursos. Ele explica que a C&M Software, definida pelo Banco Central como "provedor de serviços de tecnologia de informação", não tem a mesma obrigação de depósito de garantia que um banco. Jorge comentou: "A empresa pode ter uma apólice de seguro corporativo, mas dependeria dela mesma".

As investigações também analisarão se houve negligência das instituições financeiras quanto às regras para participantes do Pix.

Posicionamento oficial da C&M Software sobre o ataque

Em nota, a C&M Software declarou: "Por orientação jurídica e em respeito ao sigilo das apurações, a C&M Software não comentará detalhes do processo". A empresa reforçou: "As medidas previstas nos protocolos de segurança foram integralmente executadas".

Devolução dos valores do desvio de recursos

Com o desligamento da C&M Software e a perda de acesso ao Pix por algumas instituições, a devolução dos valores recuperados do desvio de recursos será feita por outros meios, como TED. Embora valores tenham sido bloqueados em alguns bancos, a devolução efetiva ainda não ocorreu.

Assista reportagem: