Hackers mais sofisticados: entenda como eles driblam a segurança financeira

Estima-se que os hackers tenham desviado até R$ 1 bilhão de contas reservas da empresa junto ao Banco Central. O incidente não é isolado.

Cada vez mais, hackers deixam de tentar invadir diretamente os sistemas dos grandes bancos e voltam sua atenção para as “bordas” do ecossistema financeiro — prestadoras de serviço, fintechs, integradores e parceiros terceirizados. Com isso, surge uma nova e urgente necessidade: blindar não só os sistemas centrais, mas também os seus entornos.

Leia mais:

Polícia Civil de SP detém suspeito de invasão ao sistema que integra bancos ao PIX

Como foi possível driblar a segurança de uma empresa que atua com o Banco Central?

Uma engenharia social bem executada

Segundo informações preliminares, os hackers não romperam barreiras ou exploraram falhas técnicas complexas: eles utilizaram credenciais legítimas de um cliente da C&M, simulando uma integração autorizada com o sistema da empresa.

Esse tipo de abordagem sugere o uso de engenharia social — tática em que os criminosos manipulam colaboradores para obter informações sensíveis. Pode ter havido um ataque de phishing (e-mails ou mensagens falsas que induzem o destinatário a fornecer senhas) ou uso de dados vazados em ataques anteriores.

O que diz a C&M Software?

A C&M nega qualquer falha em seus próprios sistemas. Em nota oficial, declarou que “não houve invasão direta à infraestrutura da empresa”, mas sim um “uso indevido de credenciais de integração pertencentes a um cliente”. A companhia afirma ter cumprido todos os protocolos de segurança e notificado os clientes afetados.

Setor financeiro está mais vulnerável do que se imagina?

Alvo recorrente de ataques cibernéticos

Mesmo com investimentos robustos em cibersegurança, o setor financeiro brasileiro continua sendo um dos principais alvos de grupos hackers. Os motivos são evidentes: alto volume de transações, integração constante entre sistemas de diferentes empresas e ativos de alto valor.

Grupos especializados preferem mirar em pontos frágeis do ecossistema, como empresas terceirizadas que atuam como ponte entre os bancos e o Banco Central. O caso da C&M mostra exatamente esse cenário: uma empresa de integração com acesso privilegiado e defesas mais frágeis.

Credenciais: o novo campo de batalha da cibersegurança

“O hacker não invade, ele faz login”

Para especialistas em cibersegurança, o episódio reforça um velho mantra: os hackers de hoje não invadem sistemas — eles apenas fazem login. Segundo Matheus Jacyntho, diretor de Cybersecurity na Protiviti, “caso se confirme que o criminoso utilizou credenciais vazadas, o erro foi na gestão de acessos, e não na segurança dos sistemas”.

Alexander Coelho, especialista em Direito Digital, vai além: “não se trata de um erro isolado em uma fintech, mas de uma brecha explorada dentro do ecossistema de liquidação do próprio Banco Central, que deveria ser protegido por múltiplas camadas de governança e auditoria”.

Importância da gestão de terceiros e credenciais

Elo mais fraco da cadeia

Empresas terceirizadas, por vezes, não seguem os mesmos padrões de segurança que grandes bancos e instituições reguladas. Isso faz com que sejam pontos de entrada mais vulneráveis para ataques direcionados de hackers.

A gestão inadequada de credenciais, especialmente em ambientes integrados, tem sido um dos principais vetores de ataque nos últimos anos. Soluções como autenticação multifator (MFA), segmentação de rede, revogação automatizada de acessos e rotatividade de senhas são medidas recomendadas para mitigar riscos.

Resposta ao incidente: como reagir a um ataque hacker?

4 etapas críticas da contenção de danos

Durante um ataque cibernético, a velocidade de resposta pode determinar o tamanho do prejuízo. Especialistas apontam que uma reação adequada passa por quatro etapas fundamentais:

1. Isolamento e revogação de acessos

Desligar imediatamente os sistemas afetados e revogar todas as credenciais suspeitas.

2. Preservação de evidências

Registrar os logs, capturar imagens forenses dos servidores e notificar os órgãos responsáveis, como a Polícia Federal e o Banco Central.

3. Recuperação com backups

Restauração dos sistemas a partir de backups imutáveis e previamente testados.

4. Análise e fortalecimento de segurança

Revisar políticas internas, corrigir vulnerabilidades e implementar melhorias com base nas lições aprendidas.

Casos anteriores mostram o valor de aprender com os erros

Prefeituras como lições práticas

Em 2024, dois ataques chamaram a atenção no setor público:

• Prefeitura de Itu: sofreu um ataque que paralisou todos os serviços por dias, sem plano de recuperação efetivo.
• Prefeitura de Pirajuí: foi alvo de um sequestro de dados com pedido de resgate de R$ 1 milhão. Desta vez, porém, a resposta foi rápida: os sistemas foram restaurados em poucas horas graças à existência de backups isolados e atualizados.

Esses episódios mostram que o impacto de um ataque depende menos da força do invasor e mais da preparação da vítima.

Caminhos para fortalecer o sistema financeiro contra hackers

Adoção de práticas robustas de cibersegurança

• Zero Trust Architecture: nenhum usuário ou sistema deve ser considerado confiável por padrão.
• Monitoramento contínuo: uso de inteligência artificial para identificar comportamentos anômalos em tempo real.
• Auditorias regulares: revisão de acessos, integrações e permissões.
• Treinamento constante: capacitação de equipes para reconhecer e evitar ataques de engenharia social.

Um alerta para o setor financeiro

O ataque à C&M Software não foi apenas mais um incidente. Foi um sinal claro de que os bastidores do sistema financeiro brasileiro estão vulneráveis e precisam de atenção imediata.

A sofisticação dos cibercriminosos, aliada à fragilidade das integrações e ao mau gerenciamento de credenciais, pode causar prejuízos bilionários e comprometer a confiança em todo o ecossistema.

É hora de revisar protocolos, reforçar defesas e, principalmente, reconhecer que a cibersegurança vai muito além do firewall: ela começa com pessoas, processos e parceiros.

Imagem: Minerva Studio / Shutterstock