Hub GloboNews #18: ciência sob ataque
Transferências instantaneas facilitam golpes Meios de pagamento Valor Econ?mico.txt
Carolina Sans?o,ênciasinstantaneasfacilitamgolpesMeiosdepagamentoValorEcon?que dice la biblia sobre la lengua da Febraban: “Seguran?a é responsabilidade de todos“ — Foto: Divulga??o Na madrugada de 30 de junho de 2025, credenciais de um funcionário terceirizado da C&M Software foram usadas para disparar Pix em série contra institui??es conectadas. O maior golpe cibernético contra as institui??es financeiras do país atingiu pelo menos seis bancos e teria desviado cerca de R$ 800 milh?es. Só o BMP Money Plus reportou R$ 541 milh?es desviados. A Polícia Civil prendeu o operador de TI, que confessou ter vendido a credencial por R$ 15 mil. O caso exp?s a vulnerabilidade do sistema financeiro e como novos modos de pagamento podem ser alvo de quadrilhas de criminosos digitais. Isso n?o impediu, no entanto, que a opera??o do Pix fosse retomada pela C&M em “produ??o controlada”, sob supervis?o do Banco Central, enquanto o rastro financeiro segue em apura??o com bloqueios judiciais. window._taboola = window._taboola || []; _taboola.push({ mode: 'organic-thumbs-feed-01-stream', container: 'taboola-mid-article-saiba-mais', placement: 'Mid Article Saiba Mais', target_type: 'mix' }); Criado em outubro de 2020, o Pix já é o meio de pagamento mais usado no país. Segundo o BC desde ent?o já foram movimentados mais de R$ 60 trilh?es em transferências. O tamanho da opera??o chamou a aten??o de criminosos, que se aproveitam de vulnerabilidades operacionais para agir. “Transa??es altas na madrugada s?o um alerta claro. Isso poderia ter sido evitado com mecanismos simples, como detec??o de anomalia ou análise de comportamento”, diz Filipi Pires, head do Identity Threat Labs & Global Product Advocate na Segura. A falha n?o atingiu o núcleo do BC, mas explorou integra??es e credenciais privilegiadas. “O sistema financeiro é um dos ambientes mais regulados do Brasil, especialmente o setor bancário. E, ao mesmo tempo, é um dos que mais inova. O maior risco está justamente nas credenciais privilegiadas. Identidade é seguran?a”, di Carolina Sans?o, diretora de inova??o, tecnologia e ciberseguran?a da Febraban e uma das criadoras do Pix. Para Sans?o, algumas rotinas mínimas precisam ser seguidas contra ataques: princípio do menor privilégio, autentica??o multifator nos pontos críticos, monitoramento contínuo de logs, auditoria recorrente e gest?o do ciclo de vida de acessos - inclusive de fornecedores. “Seguran?a é responsabilidade de todos - do cliente, do banco, da fintech, do regulador. N?o dá para transferir o risco exclusivamente para o usuário.” A trilha financeira do caso C&M dividiu-se entre contas de passagem e cripto. PF e Ministério Público-SP relataram R$ 5,5 milh?es recuperados em cripto e o bloqueio de R$ 32 milh?es em tether (USDT), um criptomoeda pareada com o dólar. Até o dia 10, o BMP afirmou ter recuperado “cerca da metade” do valor subtraído. Os ataques n?o pararam depois do caso C&M. No último dia 18, o Banco Central emitiu alerta sobre movimenta??es atípicas em tether, padr?o observado em prepara??es de ataques. A orienta??o foi refor?ar o monitoramento noturno e aplicar bloqueios preventivos em transferências para corretoras. Além do alerta, o BC colocou em vigor as regras antipersonifica??o de chaves, que exigem a valida??o do nome atrelado à chave com o que consta no CPF/CNPJ da Receita Federal e proíbem alterar dados vinculados a chaves aleatórias (é preciso excluir e criar outra) e a reivindica??o de posse de chaves do tipo e-mail - medidas criadas para impedir que fraudadores registrem chaves com nomes divergentes e para for?ar saneamento cadastral nas institui??es. Apesar de as mudan?as ajudarem na preven??o, ainda existe um déficit de capacidade operacional, como mostra a recente carta aberta de servidores da Gerência de Gest?o e Opera??o do Pix do Banco Central, divulgada neste mês. Segundo a carta, há “riscos operacionais crescentes” e a equipe da Gepix é de 33 servidores, sendo 9 nas atividades críticas de seguran?a. O documento solicita refor?o de pessoal e autonomia de gest?o para garantir a opera??o 24/7. “Como meio de pagamento, o Pix é seguro, mas essa instantaneidade da compensa??o trouxe várias ondas de de problemas. Isso facilitou algumas atividades criminosas, principalmente por causa do uso de laranjas e de empresas de fachada, que dificultam a rastreabilidade”, diz o coordenador-geral de combate a crimes cibernéticos da Polícia Federal, delegado Valdemar Latance Neto. Para o delegado, uma mudan?a fundamental seria a ado??o de procedimentos de “know your client” por institui??es financeiras. A prática exige rigor na identifica??o e no cadastramento de clientes. “Isso já bastaria para dificultar muito essa facilidade de lavagem de dinheiro pelo uso dessa multid?o de laranjas - que também s?o utilizados para criar empresas de fachada, de pessoa jurídica”, diz. N?o s?o apenas as institui??es financeiras que est?o vulneráveis. Segundo uma pesquisa Datafolha, entre julho de 2024 e junho de 2025, 24 milh?es de brasileiros relataram ter sido vítimas de golpes com Pix. O prejuízo estimado é de R$ 29 bilh?es, com um ticket médio de R$ 1.198. Além disso, as falhas no sistema continuam colocando em xeque a seguran?a do Pix. Entre 20 e 21 de julho deste ano, dados cadastrais de mais de 11 milh?es de usuários do Pix foram acessados indevidamente por uma falha no Sistema de Busca de Ativos do Poder Judiciário. Apesar do tamanho do vazamento, o BC informou que senhas, saldos e movimenta??es n?o foram afetados e que as contas foram preservadas. “Seguran?a n?o pode ser um projeto com come?o e fim. é processo contínuo, cultura, monitoramento”, diz Pires. “N?o se trata de falha técnica. A falha é de processo, de gest?o, de cultura. é dar acesso privilegiado demais, sem controle, sem dupla checagem.”
