A empresa de tecnologia C&M Software, homologada pelo Banco Central (BC), confirmou nesta quinta-feira (3) que o ataque hacker que resultou no desvio de ao menos R$ 400 milhões de contas de instituições financeiras junto ao BC foi realizado sem vazamento de dados de clientes ou bancos.
Segundo a companhia, os criminosos simularam transações com credenciais legítimas de clientes, operando como se fossem instituições financeiras. O objetivo foi desviar recursos das chamadas contas reservas no Banco Central, por onde os bancos cumprem exigências legais — não atingindo diretamente contas de correntistas.
O ataque, ocorrido na noite de terça-feira (1º) e divulgado no dia seguinte, redirecionou os valores para corretoras de criptomoedas por meio do Pix.
FRAUDE EXPLOROU FALHAS DE CONFIGURAÇÃO DE SEGURANÇA
A C&M informou que o ataque não foi fruto de invasão aos seus sistemas, mas de um uso fraudulento de integração via API (interface que conecta sistemas), com uso de logins legítimos de um cliente.
“A responsabilidade pelo uso das credenciais é da instituição que as detém”, destacou a empresa, que também explicou que algumas camadas de segurança podem ser configuradas e desativadas pelos próprios bancos por decisão operacional.
Essas camadas incluem:
- Validação por múltiplos fatores;
- Controle de acesso por canal e horário;
- Múltiplas instâncias de aprovação;
- Piloto de reserva com monitoramento reforçado.
MEDIDAS ADOTADAS
A C&M Software anunciou que:
- Contratou auditoria externa independente;
- Reforçou políticas de governança e arquitetura tecnológica;
- Estabeleceu novos padrões de homologação para instituições financeiras clientes.
VALORES DEVOLVIDOS E MED DO PIX
Parte dos valores foi recuperada via o Mecanismo Especial de Devolução (MED), criado pelo Banco Central para fraudes e erros operacionais.
A taxa de devolução, segundo a empresa, foi acima da média do mercado, por conta da rápida identificação da fraude.
OPERAÇÃO RESTABELECIDA COM RESTRIÇÕES
O Banco Central restabeleceu as operações de Pix da C&M nesta quinta-feira, de forma parcial e controlada, com permissão de funcionamento em dias úteis, das 6h30 às 18h30, e mediante autorização expressa dos bancos envolvidos.
AÇÕES CONJUNTAS
A empresa disse estar colaborando com:
- Polícia Federal
- Polícia Civil de São Paulo
- Banco Central
A C&M reiterou que não movimenta valores próprios e atua apenas como intermediadora tecnológica entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB), que inclui o Pix.
IMPACTO LIMITADO
A empresa afirmou que o ataque não comprometeu outros sistemas operacionais, pois os módulos do SPB funcionam de forma separada.
________
*Com informações: Agência Brasil
