O Banco Central (BC) emitiu um alerta de segurança, nesse sábado (6/9), informando sobre a ocorrência de um novo ataque hacker contra uma instituição de pagamento não autorizada a funcionar pela autoridade monetária.
O comunicado do BC orienta as empresas a reforçarem o monitoramento das transações, incluindo aquelas realizadas internamente.
Segundo a autoridade monetária, foi detectado um “incidente cibernético” em instituição não autorizada pelo BC.
“Informamos que foi identificado incidente cibernético na E2 Pay, resultando na subtração indevida de valores financeiros. Por isso, recomendamos as seguintes ações de forma imediata: reforçar o monitoramento contínuo de todas as transações financeiras, mesmo em transações de book transfer (transferência de valores dentro da própria instituição)”, informa o comunicado.
Após a emissão do alerta, o BC não se manifestou sobre o caso. A reportagem do Metrópoles não conseguiu contato com a E2 Pay.
O novo episódio se soma a outros três ataques hackers contra o sistema financeiro do país registrados nos últimos dois meses. Nesses casos, os principais alvos foram a C&M Software e a Sinqia, além da fintech gaúcha Monetarie (cujo nome-fantasia é Monbank), mais recentemente.
Essas empresas interligam instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB) – o que engloba o ambiente de liquidação do Pix, sistema de transferências e pagamentos instantâneos criado pelo Banco Central (BC) em 2020 e amplamente utilizado pelos brasileiros.
Nos casos envolvendo C&M e Sinqia, os hackers também atingiram contas de reserva de instituições financeiras que usavam os sistemas das respectivas provedoras de serviços de tecnologia da informação (PSTIs). Essas contas são mantidas pelo BC e funcionam para a liquidação de operações interbancárias, como Pix, TEDs (Transferências Eletrônicas Disponíveis) e boletos.
Novas normas do BC
Na última sexta-feira (5/9), o Banco Central anunciou uma série de normas para reforçar a segurança do Sistema Financeiro Nacional (SFN), alvo de recentes ataques promovidos por grupos criminosos, para combater a atuação do crime organizado no sistema financeiro.
O BC fixou um teto de R$ 15 mil em operações via TED e Pix para instituições de pagamentos não autorizadas e as que se conectam ao SFN por meio de prestadores de serviços de tecnologia de informação (PSTI).
Essa limitação poderá ser removida assim que o participante e o respectivo prestador de serviços “atenderem aos novos processos de controle de segurança” previstos pelo Banco Central. Os participantes que comprovarem a adoção de controles de segurança da informação poderão ser dispensados da limitação por até 90 dias.
O BC também prevê que, a partir de agora, “nenhuma instituição de pagamento poderá começar a operar sem prévia autorização” da autoridade monetária. As que já operam precisam solicitar autorização à autoridade monetária até maio de 2026.
Além disso, a instituição de pagamento que estiver prestando serviços e tenha o pedido de autorização indeferido deverá encerrar as atividades em até 30 dias, conforme determinação do BC.
Casos recentes
O registro de mais um ataque hacker contra o sistema financeiro do Brasil acontece dias depois a Sinqia – empresa de tecnologia que presta serviços para instituições financeiras – ter sido alvo da ação de criminosos digitais. Por meio de nota, a empresa revelou que cota um rombo de R$ 710 milhões.
Estima-se que o BC tenha conseguido bloquear, até aqui, cerca de R$ 360 milhões do montante desviado no caso da Sinqia. A autoridade monetária ainda não se manifestou sobre o caso.
De acordo com a Sinqia, foi identificada uma atividade não autorizada em seu ambiente que acessa o sistema do Pix.
“Ao detectar esse incidente, e agindo de acordo com seus protocolos de resposta, a Sinqia suspendeu o processamento de transações em seu ambiente Pix e começou a trabalhar com especialistas de cibersegurança externos”, diz a empresa.
A Sinqia afirmou ainda que, segundo uma investigação preliminar, as transações não autorizadas ocorreram por meio da exploração de credenciais legítimas de fornecedores de Tecnologia da Informação (TI) da empresa. Após o incidente, todos os acessos a essas credenciais foram encerrados.
Em junho, o ataque hacker à C&M Software gerou repercussão nacional e resultou em um prejuízo estimado em mais de R$ 1 bilhão. Na ocasião, a Polícia Civil de São Paulo investigou a atuação ilegal de um funcionário da empresa, João Nazareno Roque, que teria negociado credenciais de acesso ao sistema aos criminosos. Ele está preso.
Os criminosos invadiram os sistemas da C&M e tiveram acesso a inúmeras contas. Uma das instituições mais afetadas foi a BMP, uma provedora de serviços de “banking as a service” que está em operação desde 1999 e perdeu pelo menos R$ 541 milhões. O episódio é considerado o maior ataque hacker da história do país no setor financeiro.
Na semana passada, foi a vez de a fintech Monetaire ser alvo dos hackers. Os criminosos desviaram cerca de R$ 4,9 milhões de uma conta de reserva da empresa.
Por meio de nota, a empresa afirmou que conseguiu recuperar grande parte do valor desviado, algo em torno de R$ 4,7 milhões. Os outros R$ 200 mil roubados pelos hackers estão sendo rastreados e bloqueados com o apoio das instituições financeiras que receberam esses valores.
Ainda segundo a Monetarie, nenhuma conta corrente de clientes foi afetada. “Os recursos vieram da conta de reserva da instituição. Até o momento, não foi identificado nenhum vazamento de dados ou prejuízo à base de clientes”, diz a empresa.
Fonte: Metrópoles
