O Segredo Chocante do Ataque Hacker que a Empresa Tenta Esconder
A C&M Software comunicou nesta quinta-feira (3) que o ciberataque que resultou no desvio de milhões de reais de contas do Banco Central (BC) não comprometeu ou extraiu dados de clientes e instituições financeiras. A empresa, que oferece tecnologia homologada pelo BC, esclareceu que a ofensiva criminosa consistiu na simulação de transações em nome dos bancos, em vez de uma invasão direta aos seus sistemas. O incidente, que ocorreu na noite de terça-feira (1º) e foi divulgado no dia seguinte, envolveu o uso de credenciais de acesso de instituições financeiras para subtrair fundos que elas mantêm no BC como parte de exigências legais.
Os recursos de correntistas não sofreram qualquer impacto, pois o golpe visou exclusivamente a arquitetura tecnológica da C&M e as contas de reserva no Banco Central. Os valores subtraídos, que a Empresa Brasil de Comunicação (EBC) confirmou serem de pelo menos R$ 400 milhões, foram desviados via Pix para corretoras de criptomoedas. A companhia detalhou que o ataque se deu por uma integração fraudulenta, na qual os criminosos usaram credenciais legítimas de um cliente para se passar por uma instituição autorizada. Como resposta, a C&M está revisando suas políticas de acessos externos e de APIs, a tecnologia que permite a comunicação entre diferentes aplicações.
A principal hipótese para a entrada não autorizada é a não habilitação de todos os protocolos de segurança por parte do cliente. A C&M Software afirma oferecer um protocolo de conexão robusto que inclui múltiplas instâncias de aprovação e validação, mas ressalta que cada instituição tem autonomia para configurar seus próprios níveis de controle, podendo optar por eliminar etapas por decisão operacional. “A responsabilidade pelo uso das credenciais é da instituição que as detém”, justificou a empresa, pontuando que monitora o funcionamento técnico, mas respeita a governança de cada cliente.
Após uma avaliação, o Banco Central restabeleceu as operações Pix da C&M, ainda que “sob regime de produção controlada”. A retomada foi autorizada após a companhia comprovar a implementação de medidas para dificultar novas incursões. As operações foram liberadas para ocorrer em dias úteis, sob as seguintes condições:
- Funcionamento das 6h30 às 18h30.
- Necessidade de anuência expressa da instituição financeira participante do Pix.
- Robustecimento do monitoramento de fraudes e dos limites transacionais.
Em relação às medidas de reparação, a empresa informou que parte do dinheiro desviado já foi recuperada por meio do Mecanismo Especial de Devolução (MED) do Pix, com uma taxa de retorno superior à média do mercado devido à rápida identificação da fraude. A companhia de tecnologia reforçou que está colaborando ativamente com a Polícia Federal, o Banco Central e a Polícia Civil de São Paulo. Foi esclarecido também que a C&M atua apenas como provedora de tecnologia para conectar instituições ao Sistema de Pagamentos Brasileiro (SPB) e não possui contas ou movimenta valores próprios. A empresa assegurou que outros sistemas não foram afetados, pois operam em módulos separados.
