O que o Banco Central diz sobre o dinheiro roubado no ataque hacker?

O caso envolveu diretamente a fintech BMP, que atua no crédito empresarial, e a C&M Software, responsável por intermediar transações entre bancos menores e a infraestrutura do BC e do Pix. O BC declarou que os valores desviados eram reservas institucionais e que clientes comuns não foram afetados — mas os danos à confiança no sistema são significativos.

Leia mais: Golpe hacker atinge fintechs e desvia milhões em fraudes

Como o ataque aconteceu?

Segundo as apurações iniciais, os criminosos tiveram acesso privilegiado aos sistemas da C&M Software por meio de um funcionário terceirizado. O programador júnior João Nazareno Roque vendeu sua senha aos hackers por apenas R$ 15 mil, permitindo que eles instalassem códigos maliciosos para realizar as transferências indevidas. Especialistas em cibersegurança criticaram a desproporção entre o pagamento ao funcionário e o tamanho do golpe, estimado em até R$ 1 bilhão segundo relatos internos.

O BC confirmou que a fraude foi detectada depois que a BMP notificou movimentações anormais. Até o momento, parte do valor foi rastreada para contas de uma fintech chamada Sofi, usada pelos criminosos para tentar converter o dinheiro em criptomoedas como Bitcoin.

Quais instituições foram atingidas?

O ataque atingiu não só a BMP, mas também outras clientes da C&M Software. Embora o BC não tenha divulgado oficialmente todos os nomes, estima-se que pelo menos seis das nove intermediárias credenciadas tenham sido afetadas.

Isso revela o potencial sistêmico de falhas de segurança nas chamadas empresas “ponte” entre bancos e o BC.

O destino do dinheiro roubado

Investigações indicam que cerca de R$ 270 milhões foram transferidos para a Sofi, fintech de histórico controverso e sob suspeita de ter sido usada para lavagem de dinheiro. O destino do restante do valor ainda é incerto. As autoridades trabalham para recuperar o máximo possível e para mapear a cadeia de envolvidos no esquema, que já soma mais de uma dezena de empresas e pessoas físicas.

As falhas apontadas

Especialistas e a própria Polícia Federal destacam uma série de falhas que facilitaram o megahack. Entre as principais:

• Excesso de permissões a funcionários de baixo escalão, permitindo que um programador júnior movimentasse milhões.
• Ausência de mecanismos de dupla autenticação e assinatura múltipla em transações elevadas.
• Falta de alarmes automáticos para bloquear operações atípicas.

O BC reconheceu que a C&M Software, embora credenciada, é responsável por sua própria segurança e que a fiscalização está sendo revisada para identificar lacunas nos controles atuais.

O papel do Banco Central

O Banco Central declarou que já iniciou auditorias para apurar se as normas de segurança digital vigentes foram devidamente aplicadas pela C&M e demais intermediárias. As normas brasileiras já exigem procedimentos como criptografia, autenticação em duas etapas e auditorias internas — mas especialistas questionam se a supervisão do BC foi falha ao permitir que vulnerabilidades tão básicas permanecessem abertas.

Outro ponto criticado é que a descoberta da fraude partiu da BMP e não de mecanismos de monitoramento do próprio BC ou da C&M, indicando um problema nos processos de detecção precoce.

Por que a credencial de João Nazareno era tão poderosa?

Uma das perguntas mais perturbadoras do caso é como uma única senha permitiu desvios dessa magnitude. Em ambientes críticos como sistemas financeiros, o normal é que transações altas exijam múltiplas autorizações (“multisig”), algo que aparentemente não era aplicado corretamente.

O BC já sinalizou que pretende endurecer as exigências de segregação de funções e autenticação para evitar que um único funcionário tenha tanto poder.

O que esperar das investigações?

A Polícia Federal abriu inquérito para investigar crimes de organização criminosa, lavagem de dinheiro, além de crimes cibernéticos. Há indícios de que um “ecossistema” paralelo de empresas especializadas em lavagem de valores esteja por trás da operação. Segundo depoimentos, o esquema poderia continuar “quando a poeira baixasse”, sugerindo que a quadrilha pretendia novos ataques.

O BC promete divulgar o valor final do prejuízo apenas ao fim das investigações.

Lições para o sistema financeiro

O megahack acende um alerta para bancos, fintechs e o próprio regulador. Ele expõe a necessidade de:

• Revisar permissões de usuários e políticas de acesso.
• Implementar tecnologias avançadas de autenticação.
• Ampliar auditorias externas e testes de penetração.
• Fiscalizar com maior rigor as intermediárias credenciadas.

A modernização das normas também deve levar em conta ameaças contemporâneas como o uso de inteligência artificial para ataques cibernéticos.

Com informações de: G1