Uma pequena fração do dinheiro desviado teria sido recuperada pelas instituições afetadas, via o MED, mecanismo especial de devolução do Pix

Participantes da indústria criticaram a segurança do sistema garantida pelo Banco Central depois do ataque hacker sofrido pela C&M Software, prestadora de serviços para o setor financeiro que se conecta com a infraestrutura do Pix. O crime desviou pelo menos R$ 400 milhões das contas de reservas mantidas por instituições financeiras, segundo fontes.

“Todos os bancos são obrigados a ter travas de volumetria, e o BC em si não tem. Como conseguem desviar pelo menos R$ 400 milhões e o sistema do BC não detecta risco de fraude?”, questiona uma fonte ouvida pelo Valor.

Uma pequena fração do dinheiro desviado teria sido recuperada pelas instituições afetadas, via o MED, mecanismo especial de devolução do Pix.

Para Alexander Coelho, sócio do Godke Advogados e especialista em cibersegurança, embora o incidente acenda um alerta, não “coloca em xeque” a robustez do sistema. “O SPB [Sistema de Pagamentos Brasileiro] e o Pix possuem múltiplas camadas de segurança. O que falhou foi uma ponte específica usada por alguns bancos.”

O crime está sendo investigado pela Polícia Federal e pelo Conselho de Controle de Atividades Financeiras (Coaf). As instituições financeiras envolvidas bloquearam imediatamente os acessos da integradora.

Há indícios de que parte dos valores desviados pelos hackers foram rapidamente convertidos em criptoativos. Mesmo com a colaboração das exchanges (plataformas digitais onde criptomoedas), é necessária cooperação internacional para conseguir rastrear esses valores, o que dificulta a investigação.

Além dos hackers, que são responsabilizados pelo ataque na esfera criminal, tanto a integradora C&M Software quanto as instituições financeiras afetadas e o BC podem ter que responder pelo caso na esfera civil.

“As empresas que venderam os criptoativos a esses criminosos, sem cumprir diligências mínimas de KYC/AML [conheça seu cliente e combate à lavagem de dinheiro], podem ser responsabilizadas civil e penalmente, especialmente se for comprovado que agiram com dolo eventual ou negligência grave”, diz Victor Jorge, sócio do Jorge Advogados Associados.

Segundo Coelho, a responsabilidade recai primeiro sobre a integradora, por falhas na segurança da sua infraestrutura. As instituições financeiras podem responder se forem constatadas negligências na seleção, contratação e fiscalização da integradora.

Já o BC, se houve negligência em regulação ou fiscalização. “Ele [BC] não responde diretamente por falhas de terceiros, mas se houve alguma omissão por parte do BC em regulação técnica ou em falhas de supervisão, ele também pode ser responsabilizado”, diz.

Procurado pelo Valor, o BC informou que “a C&M Software, prestadora de serviços de tecnologia para instituições provedoras de contas transacionais que não possuem meios de conexão própria, comunicou ataque à sua infraestrutura tecnológica. O Banco Central determinou à C&M o desligamento do acesso das instituições às infraestruturas por ela operadas”.

Publicado por Valor Econômico.

Ataque hacker à C&M: prejuízo pode ser ainda maior

O ataque hacker contra o sistema da empresa de software C&M na terça-feira pode ser o maior da história do sistema financeiro nacional. Inicialmente as estimativas falavam em R$ 1 bilhão de prejuízo, mas segundo uma fonte que acompanha o caso de perto, os números ainda estão sendo auferidos, mas especula-se que o prejuízo seja ainda maior, de até R$ 3 bilhões.

Há três anos, o BRB, banco público de Brasília, sofreu um ataque na modalidade ransomware, com golpistas exigindo cerca de R$ 5 milhões para não divulgar dados confidenciais de clientes.

A Polícia Federal e a Delegacia de Crime Cibernético do Estado de São Paulo foram acionados e estão tentando rastrear o dinheiro. Já o Banco Central informou que determinou à C&M o desligamento do acesso dos clientes à sua infraestruturas.

O golpe cibernético se deu em uma modalidade conhecida como “Supply Chain”: o hacker ataca uma empresa visando os clientes e os clientes dos clientes da empresa. A C&M é uma empresa de software para o setor bancário registrada no Banco Central que faz a comunicação entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB), incluindo o ambiente de liquidação do Pix. O principal cliente afetado foi a BMP, empresa que atua no modelo de banking as a service. Ela fornece contas digitais e outros serviços financeiros para empresas ou instituições não bancárias oferecerem esses serviços ao cliente.

Em nota, a BMP disse que o incidente comprometeu a infraestrutura da C&M e permitiu acesso indevido à sua conta reserva e de mais outras cinco instituições financeiras. A empresa diz que nenhum cliente da BMP foi impactado ou teve seus recursos afetados. “As contas reserva são mantidas diretamente no Banco Central e utilizadas exclusivamente para liquidação interbancária — sem qualquer relação com as contas de clientes finais ou com os saldos mantidos dentro da BMP”, explicou a empresa.

Movimentação na deepweb

Uma fonte em uma empresa de cibersegurança informou à coluna que nas últimas duas semanas foi detectada uma movimentação “muito acima do normal” na deep web — o submundo da internet — de pessoas buscando contas laranja e querendo comprar criptoativos. Acredita-se que essa movimentação possa estar ligada aos ataques à C&M, dado o volume bilionário do roubo.

A preferência dos hackers hoje é por Monero, uma criptomoeda anônima e não rastreável.

Victor Solla Jorge, sócio do Jorge Advogados e especialista em criptoativos, diz que mesmo que não seja possível rastrear os recursos depois de convertidos em criptomoeda, as etapas anteriores são passíveis de rastreamento. “As remessas via Pix ou TED deixam rastros bancários claros. As empresas que venderam os criptoativos a esses criminosos, sem cumprir diligências mínimas de combate à lavagem de dinheiro e verificação da identidade do cliente, também podem ser responsabilizadas civil e penalmente, especialmente se for comprovado que agiram com dolo eventual ou negligência grave”, diz o advogado.

Ataques dessa proporção costumam levar seis meses ou mais de preparação. A avaliação preliminar é de que os hackers já estivessem dentro do sistema da C&M há meses, preparando para o grande ataque, que aconteceu na madrugada de segunda para terça-feira.

A C&M tem entre os clientes a XP e a corretora Rico, que pertence ao XP. Procurada, a XP disse que não foram alvo dos ataques. Igualmente cliente, o banco Carrefour também disse não ter sido atacado.

Na nota, a BMP diz que “adotou todas as medidas operacionais e legais cabíveis e conta com colaterais suficientes para cobrir integralmente o valor impactado, sem prejuízo a sua operação ou a seus parceiros comerciais”. A empresa diz ainda que “segue operando normalmente, com total segurança, e reforça seu compromisso com a integridade do sistema financeiro, a proteção dos seus clientes e a transparência nas suas comunicações”.