Ataque hacker ao Pix: entenda como sistema de segurança foi invadido

O ataque hacker em contas reservas de bancos que gerou prejuízo milionário preocupou diversas entidades quanto à operação de segurança usadas por operadoras do Pix. O caso C&M Software, que foi alvo de acesso indevido, resultou em transferência de milhões de contas reservas de bancos atendidas pela empresa.

A empresa admitiu em nota que "as evidências apontam que o incidente decorreu do uso de técnicas de engenharia social para o compartilhamento indevido de credenciais de acesso". A fornecedora de tecnologia para fintechs nega violação nos sistemas ou na tecnologia de software.

Mas afinal, como o uso de engenharia social, uma técnica de manipulação para obter informações confidenciais, permitiu o acesso a essas reservas?

Como o sistema foi acessado?

De forma resumida, a C&M Software conecta vários bancos ao sistema Pix do Banco Central. A empresa faz a intermediação das operações de 23 instituições financeiras para liquidar operações instantâneas. O roubo foi de contas reservas de clientes da companhia de tecnologia.

Engenharia social é uma técnica de manipulação para fazer com que pessoas revelem informações confidenciais ou que comprometam sua segurança. Pode ser feita por e-mails ou mensagens chamativas que roubam informações (phishing) ou por meio da persuasão de uma pessoa, por exemplo.

No caso da C&M Software, um funcionário foi cooptado a ceder seu login e senha em troca de R$ 15 mil. Em depoimento à polícia, o suspeito disse que "foi seduzido pela proposta" e "alegou que não sabia o que iria acontecer". Ele foi abordado na saída de um bar, em março, por um homem que disse querer conhecer o sistema da companhia onde ele trabalhava.

A estimativa inicial de desvio de ao menos R$ 541 milhões, mas nenhuma pessoa física foi prejudicada, nem o Banco Central, segundo a polícia. O valor estimado diz respeito somente ao prejuízo do BMP, um banco que usava os serviços da C&M, assim como outras 23 instituições —ainda não há detalhes de que outros bancos e fintechs tenham sofrido desvios.