O que se sabe sobre o ataque hacker que roubou quase R$ 1 bilhão e afetou Pix
Roubo aconteceu na empresa de tecnologia C&M Software, que liga instituições financeiras aos sistemas de pagamentos do Banco Central. Procurada, a companhia ressaltou a confiança plena em sua isenção quanto à origem do ataque e disse ter tomado todas as medidas previstas nos protocolos de segurança após saber da invasão
No início da semana, um ataque hacker à empresa de tecnologia C&M Software (CMSW) pode ter varrido quase R$ 1 bilhão das contas reservas detidas por seis instituições financeiras junto ao Banco Central (BC), de acordo com informações publicadas pelo Brazil Journal e confirmadas pelo Estadão/Broadcast. Procurada, a CMSW ressaltou a confiança plena em sua isenção quanto à origem do ataque e disse ter tomado todas as medidas previstas nos protocolos de segurança após saber da invasão (leia abaixo o posicionamento na íntegra).
A CMSW faz a integração de bancos aossistemas de pagamentos do BC, como o Pix, e reconheceu o “incidente de segurança” em nota pública divulgada no site da companhia. Segundo o texto, os criminosos conseguiram as credenciais de um cliente e as usaram para acessar às contas, como se fossem um usuário autorizado. O caso é investigado pelo Banco Central, Polícia Civil de São Paulo e Polícia Federal e já é considerado um dos maiores ataques virtuais ao sistema financeiro brasileiro.
Um dos clientes da CMSW é o BMP, que confirmou o comprometimento da “conta reserva” detida pela instituição no Banco Central. Essa conta funciona como um caixa utilizado pelos bancos para liquidação de operações financeiras – por exemplo, o Pix – e não tem relação com o saldo dos clientes. “A instituição já adotou todas as medidas operacionais e legais cabíveis e conta com colaterais suficientes para cobrir integralmente o valor impactado, se prejuízo a sua operação ou aos parceiros comerciais”, disse o BMP, em nota pública. Os nomes das outras instituições não foram confirmados pelo BC.
Em resposta ao ataque, o Banco Central havia desconectado imediatamente a CMSW do ambiente da autoridade monetária, o que afetou as transações Pix viabilizadas pela companhia. A suspensão foi revista nesta quinta-feira (3). De acordo com o BC, as operações da empresa poderão ser reestabelecidas em dias úteis, das 6h30 às 18h30, desde que haja “anuência expressa” da instituição financeira participante do Pix e o fortalecimento do monitoramento de fraudes e limites transacionais.
De acordo com Matheus Jacyntho, diretor de cibersegurança na consultoria especializada em gestão de riscos Protiviti, é possível que os criminosos tenham usado engenharia social para conseguir as credenciais legítimas. “Caso se confirme que o criminoso utilizou credenciais vazadas, reforçamos a máxima: ‘o atacante não invade, ele apenas faz login’”, afirma. “Esperamos que as instituições sejam transparentes e apresentem para a comunidade as falhas e vulnerabilidades identificadas, para que este ataque não aconteça novamente.”
O que diz a CMSW
Procurada, a CMSW afirma ter sido vítima de uma ação criminosa, que envolveu o uso indevido de credenciais de clientes em tentativas de acesso fraudulento. Também ressaltou que, após atuação conjunta com o Banco Central do Brasil, obteve autorização para reestabelecer as operações do Pix, sob regime de produção controlada.
“Desde o início deste episódio, a CMSW manteve uma postura serena, técnica e colaborativa, confiando plenamente em sua isenção quanto à origem do incidente, mesmo diante de ilações ou tentativas externas de antecipar julgamentos. Todas as medidas previstas em nossos protocolos de segurança foram imediatamente adotadas, incluindo o reforço de controles internos, auditorias independentes e comunicação direta com os clientes afetados”, afirmou a empresa, ao E-Investidor. “A CMSW segue colaborando ativamente com o Banco Central e com a Polícia Civil de São Paulo, e continuará respeitando o sigilo das investigações em curso.”
Entre as medidas tomadas pela companhia logo após a invasão, está também o registro no Mecanismo Especial de Devolução (MED) para solicitação do estorno dos valores desviados. Contudo, a CMSW não confirma qual foi o valor total comprometido por não ser um “agente financeiro nem parte na titularidade dos recursos”.
