Brasil sofre ataque cibernético histórico que coloca sistema financeiro em alerta

Leia mais:

Diogo Jota, atacante do Liverpool e seleção portuguesa, morre aos 28 anos

Como o ataque foi descoberto

Segundo o Brazil Journal, o ataque começou quando um executivo da BMP, plataforma de banking as a service (BaaS), foi alertado sobre uma transferência não autorizada. Ao verificar seu sistema back-office, ele constatou que outros Pix indevidos haviam sido realizados a partir da conta reserva da empresa, somando cerca de R$ 400 milhões em saques ilegais.

Carlos Eduardo Benitez, fundador da BMP, afirmou: “Nossa parte foi de R$ 400 milhões, mas já recuperamos R$ 130 milhões. Nossos clientes estão 100% protegidos. Nenhuma conta de cliente foi afetada e nenhum dado foi vazado.”

A vulnerabilidade explorada na C&M Software

A C&M Software é classificada pelo Banco Central como Provedora de Serviços de Tecnologia da Informação (PSTI) e oferece APIs que permitem a fintechs se conectarem ao Sistema Brasileiro de Pagamentos (SBP) sem precisar de infraestrutura própria.

Foi por essa “porta” que os criminosos, munidos de credenciais legítimas, iniciaram uma série de transferências em questão de minutos, respeitando todos os critérios técnicos de segurança exigidos pelo Banco Central.

Ordem lícita para uma fraude ilícita

Uma fonte próxima à autoridade monetária explicou ao Brazil Journal: “O que chegou foi uma ordem lícita, que partiu do participante do sistema, por meio de seu prestador. Era uma ordem que atendia todos os critérios de segurança do BC.” A situação foi comparada a “uma compra com chip e senha corretos num cartão de crédito”.

Medidas emergenciais e a busca pelo ponto de falha

Para tentar conter novas fraudes, a própria C&M desabilitou temporariamente o Pix das instituições afetadas e trabalha em parceria com o Banco Central para identificar o ponto exato de vulnerabilidade que permitiu o ataque.

Segundo a mesma fonte do BC, “O processo de segurança é dinâmico e contínuo de aprendizado… Há lições a serem extraídas desse episódio.”

A rota de fuga para criptomoedas

Depois de sacar os valores, os hackers correram para convertê-los em criptomoedas, principalmente em USDT (Tether) e Bitcoin, usando provedores integrados ao Pix, mesas OTC (over-the-counter) e exchanges.

Rocelo Lopes, CEO da SmartPay e criador da carteira digital Truther, identificou uma atividade atípica às 0h18 do dia 30 de junho:

“Congelamos grandes somas e devolvemos às instituições envolvidas. Se o sistema tivesse mecanismos para analisar transações atípicas, esse problema não teria ocorrido… Nessa era de IA, você não ter uma AI que possa analisar isso é complicado.”

Apesar das retenções pontuais, parte do dinheiro continua circulando em blockchains, dificultando o rastreamento definitivo e a recuperação total dos valores desviados.

O risco sistêmico e a credibilidade do sistema financeiro

A invasão revelou uma fragilidade estrutural justamente no elo onde a digitalização financeira avança mais rapidamente: as mensagerias que conectam bancos digitais, fintechs e cooperativas ao núcleo do Banco Central.

Ao contrário dos grandes bancos, que possuem links diretos e robustos, as instituições menores dependem de PSTIs terceirizadas para acessar o Sistema Brasileiro de Pagamentos.

A combinação perigosa: contas-reserva, liquidação instantânea e múltiplos agentes tecnológicos

Especialistas afirmam que a combinação de contas-reserva — que misturam fundos próprios e de clientes — com a liquidação instantânea via Pix, e a diversidade de agentes tecnológicos, criou o ambiente ideal para um ataque coordenado em larga escala.

Se o montante não for recuperado integralmente, a BMP pode sofrer uma perda líquida próxima a R$ 300 milhões — o que representa metade de sua liquidez pré-incidente. Outras sete instituições também reportam prejuízos financeiros relevantes decorrentes do ataque.

A resposta das autoridades e perspectivas futuras

O Banco Central e a Polícia Federal seguem examinando logs e rastros em blockchain para medir o real impacto do ataque e propor novos protocolos para detectar anomalias em tempo real.

O caso já é tratado como “o ataque cibernético mais sofisticado e caro da história do País”, abrindo uma questão crucial: até que ponto as engrenagens digitais do sistema financeiro brasileiro estão preparadas para golpes cada vez mais tecnológicos, rápidos e sofisticados?

A importância da inovação e vigilância constante no setor financeiro

Este incidente reforça a necessidade urgente de inovação constante na segurança da infraestrutura financeira brasileira. O uso de inteligência artificial para análise preditiva de transações, monitoramento em tempo real e integração de ferramentas de segurança pode ser decisivo para prevenir futuras fraudes de grande escala.

Fortalecimento das mensagerias e capacitação tecnológica

Para além dos bancos, provedores de tecnologia como a C&M Software devem investir em aprimoramentos e certificações de segurança. A capacitação contínua de equipes técnicas e a adoção de padrões internacionais de segurança são imperativas para blindar o sistema financeiro contra ataques cibernéticos cada vez mais sofisticados.

Cooperação entre setores para maior proteção

A cooperação entre autoridades regulatórias, instituições financeiras e provedores de tecnologia é fundamental para garantir que vulnerabilidades sejam rapidamente detectadas e corrigidas, evitando impactos que possam comprometer a confiança do público no sistema financeiro nacional.

Conclusão

O episódio do Pix de R$ 18 milhões que desencadeou o maior roubo da infraestrutura financeira brasileira serve como um alerta para todos os agentes envolvidos no ecossistema financeiro digital. A complexidade e rapidez dos ataques exigem respostas ágeis, integração tecnológica e uma cultura de segurança reforçada para proteger o patrimônio e a credibilidade do setor.