Oito pessoas foram presas em flagrante pela Polícia Federal (PF) após uma tentativa de golpe milionário contra a Caixa Econômica Federal no dia 12 de setembro. Isso, gente, é só a ponta do iceberg! Nos últimos dois meses, hackers conseguiram desviar mais de R$ 1,2 bilhão de instituições financeiras, aproveitando-se da popularidade do PIX. No caso da Caixa, a operação foi abortada, mas a PF apreendeu um notebook roubado do banco e acredita que o grupo pode estar envolvido em outros crimes. Imaginem só: eles conseguiram um notebook e uma credencial de acesso roubados de um gerente de uma agência da Caixa no Brás, em São Paulo! A Folha de S.Paulo e o g1 confirmaram que o banco já havia reportado o roubo do dispositivo.
A estratégia usada foi semelhante aos ataques contra a C&M Software e a Sinqia. Os criminosos, espertinhos, acessaram senhas e sistemas internos para sugar dinheiro das contas reservas dessas empresas – contas usadas para processar transações financeiras. Importante destacar: não houve invasão na estrutura do Banco Central, nem roubo direto de dinheiro das contas dos clientes. Então, por que tantos ataques?
Especialistas consultados pelo g1 apontam dois motivos principais: o PIX explodiu desde 2020, se tornando um alvo apetitoso para criminosos em busca de brechas; e, olha só, faltam padrões de segurança mais robustos para todos os participantes do PIX, não só os grandes bancos. A C&M Software e a Sinqia, por exemplo, são duas das seis empresas que atuam como intermediárias entre os bancos e o Banco Central – os chamados Provedores de Serviços de Tecnologia da Informação (PSTIs). Elas viraram alvo fácil, sabe?
“Quando muitas instituições dependem de um mesmo intermediário, ele se torna um alvo tentador. A concentração cria um ponto de falha gigantesco”, explicou Nathália Carmo, sócia da IAM Brasil, consultoria de segurança cibernética. Nathália também destacou que os ataques se aproveitaram do fato de a C&M Software e a Sinqia serem conhecidas nos sistemas dos bancos, facilitando as transações. Para ela, o monitoramento desses intermediários precisa ser turbinado. “A responsabilidade pela segurança da infraestrutura é do intermediário, não do banco”, afirmou.
Após os ataques, o Banco Central decidiu agir rápido. O prazo para que todas as instituições de pagamento precisem de autorização para operar foi adiantado de dezembro de 2029 para maio de 2026. Isso porque, acreditem, dos 936 participantes do PIX, 78 não tinham autorização expressa do Banco Central, segundo dados divulgados pelo próprio órgão em 17 de setembro. Uma instituição sem autorização pode operar, mas não segue todas as regras do BC.
A expectativa é que essa nova regra fortaleça a segurança. “Uma instituição autorizada e sob a lupa do BC diariamente tem mais obrigações e precisa melhorar suas políticas de segurança e de combate à lavagem de dinheiro”, explicou Abdul Assal, diretor da Galileo, empresa de tecnologia financeira. Assal acredita que o BC quer “separar o joio do trigo”, mantendo apenas quem garante padrões de segurança mais altos. “A instituição passa por uma análise rigorosa; se aprovada, significa que está realmente de acordo com os requisitos do BC.”
Mas o que mais pode ser feito? Além das novas regras, Rocelo Lopes, CEO da SmartPay, defende mais filtros contra movimentações suspeitas, inclusive com uso de inteligência artificial. “Se o banco puder verificar quem é o dono da conta e suas atividades, poderá bloquear transações suspeitas. Criar políticas para identificar esse tipo de coisa seria ideal.”
Geraldo Guazzelli, diretor-geral da Netscout, acrescentou que, apesar de o setor financeiro ser um dos mais protegidos, a maturidade em segurança precisa aumentar. “A maior fragilidade é o uso de credenciais legítimas obtidas por roubo ou compra”, afirmou. “Mas a credencial sozinha não garante o sucesso. Precisa haver uma falha no sistema. É uma combinação de fatores.”
Fonte da Matéria: g1.globo.com
