Ataque hacker não envolveu extração de dados de clientes, diz empresa

O ataque hacker que levou ao desvio de milhões de reais que instituições financeiras mantinham depositados em contas do Banco Central (BC) não envolveu vazamento ou extração de dados de instituições financeiras e de clientes. A informação foi divulgada pela C&M Software, nesta quinta-feira, 3.

Segundo a empresa, o ataque simulou transações em nome de bancos, sem o objetivo de invadir os sistemas da companhia, que presta serviços de tecnologia homologados pelo BC.

Ataque Hacker

Na terça-feira, 1º à noite, criminosos usaram o login de instituições financeiras para roubarem dinheiro de contas que as instituições financeiras mantêm no BC para cumprirem exigências legais. O ataque só foi divulgado na quarta-feira, 2.

Recursos de correntistas não foram afetados porque o ataque atingiu apenas a estrutura tecnológica da C&M e as contas reservas no BC, que tiveram recursos desviados por Pix para corretoras de criptomoedas. A Empresa Brasil de Comunicação (EBC) confirmou que pelo menos R$ 400 milhões foram desviados.

A companhia esclareceu que o ataque foi executado por meio de uma simulação fraudulenta de integração, usando credenciais legítimas de um cliente para acessar os serviços como se fosse uma instituição financeira autorizada. A C&M anunciou que está revendo a política de acessos externos e de APIs (ponte que permite que dois aplicativos conversem e compartilhem informações ou funcionalidades).

Hipótese

A hipótese mais provável para o login de um terceiro que se passou por instituição financeira foi a não ativação de todos os protocolos de segurança. A C&M informou que oferece um protocolo especial de conexão que inclui mais de uma instância de aprovação; controles de acesso por canal e horário; validação por múltiplos fatores; e controle total do piloto de reserva.

Apesar de todas as etapas, a C&M informou que cada instituição financeira tem autonomia para configurar as etapas de controle, eliminando níveis de segurança por decisão operacional própria.

Pix

O Banco Central restabeleceu as operações Pix da C&M. O restabelecimento “sob regime de produção controlada” ocorreu pouco após o BC substituir a determinação para que a empresa suspendesse seus serviços integralmente, e em caráter cautelar, por uma suspensão parcial. De acordo com o BC, a decisão foi tomada depois que a C&M comprovou ter adotado medidas para dificultar novos ataques a seus sistemas.

Ainda segundo o BC, as operações da C&M poderão ser restabelecidas em dias úteis, das 6h30 às 18h30, “desde que haja anuência expressa da instituição participante do Pix e o robustecimento do monitoramento de fraudes e limites transacionais”.

Providências

A companhia não divulgou uma estimativa de valores devolvidos às instituições financeiras, mas informou que uma parte do dinheiro foi devolvida por meio do Mecanismo Especial de Devolução (MED). Esse mecanismo foi lançado em 2021 para ressarcir vítimas de fraude no Pix ou de erro operacional por instituições financeiras.

Segundo a C&M, a taxa de devolução pelo MED foi superior à média do mercado porque a fraude foi identificada rapidamente. A empresa de tecnologia reiterou estar colaborando com a Polícia Federal, o Banco Central e a Polícia Civil de São Paulo.