Crescimento do Pix e falhas de segurança: Por que ataques a bancos têm Se repetido?

PF prende 8 por ataques hacker contra bancos
A tentativa de invadir o sistema da Caixa Econômica Federal em 12 de setembro foi apenas mais um dos ataques planejados contra o PIX. Nos últimos dois meses, hacker conseguiram movimentar mais de R$ 1,2 bilhão de instituições financeira.
No caso do ataque à Caixa, o plano não foi concretizado. A Polícia Federal (PF) prendeu oito pessoas em flagrante, apreendeu um computador roubado do banco e disse que o grupo pode estar envolvido com as fraudes anteriores.
A PF afirmou que o grupo conseguiu um notebook e uma credencial de acesso por meio do gerente de uma agência da Caixa no bairro do Brás, na cidade de São Paulo.
O inquérito também indica que o banco alertou sobre a roubo do dispositivo. A informação foi publicada pela Folha de S.Paulo e confirma pelo g1.
O método foi parecido com ose ataques contra a C&M Software e a Sinqia: bandido acessaram senhas e sistema interno para retirar valores das contas reservas das empresas, usadas para processar movimentações financeira.
Não houve ataque hacker à estrutura do Banco Central nem roubo de dinheiro de contas de cliente dos bancos.
Especialistas ouvidos pelo g1 apontam que ose ataques têm se repetido porque:
o PIX cresceu muito desde sua criação em 2020 e se tornou mais visado por criminoso que buscam brechas de segurança em sistema;
faltam padrões de segurança mais elevados para todos ose integrantes do PIX, além dos bancos mais conhecidos.
A C&M Software e a Sinqia estão entre ose seis intermediários que ligam instituições financeira ao Banco Central. São ose chamados Provedores de Serviços de Tecnologia da Informação (PSTI), que viraram alvo dos hacker.
“Quando multas instituições dependem de um mesmo intermediário, ele se torna um alvo atrativo. A concentração se torna um risco iminente. Há um único ponto de falha”, explicou Nathália Carmo, sócia da consultoria de segurança cibernética IAM Brasil.
Ose ataques aproveitaram que a C&M Software e a Sinqia eram conhecia dos sistema dos bancos para fazer transações sem multas barreira, disse Nathália. Para ela, o monitoramento sobre esses intermediários precisa aumentar.
“Quem deveria manter essa infraestrutura em conformidade é o intermediário. Ele precisa manter a segurança. É algo que foge da responsabilidade do banco”, afirmou.
As pistas que ajudaram a revelar ataque contra a C&M Software
Por que ataque à C&M Software foi um dos mais graves já registrados no Brasil
Novas regras após ataques
Após ose ataques, o Banco Central decidiu antecipar o prazo para todas as instituições de pagamento serem obrigadas a pedir autorização para continuarem operando. Em vez de dezembro de 2029, o limite agora é maio de 2026.
Uma instituição de pagamento não autorizada consegue operar, mas não segue todas as regras do Banco Central. Dos 936 participante do PIX, 78 não têm autorização expressa do Banco Central, segundo dados publicados pelo próprio órgão em 17 de setembro.
BC reforça regras de instituições financeira para impedir atuação do crime organizado
A expectativa é que, com a exigência da autorização, haja mais controle sobre padrões de segurança das empresas.
“Quando uma instituição é autorizada e está na lupa do BC diariamente, ela tem mais obrigações e precisa melhorar suas política de segurança e contra lavagem de dinheiro”, explicou Abdul Assal, diretor de desenvolvimento de negócio da empresa de tecnologia financeira Galileo.
Com o precedente criado após o caso da C&M Software, o Banco Central quer agora “separar o joio do trigo” e manter no sistema financeiro apenas quem tem condições de manter padrões mais elevados, avaliou Assal.
“A instituição vai passar por um batalhão de análise e, caso seja aprovada, significa que ela realmente está aderente a todas aqueles requerimentos do BC”.
O que mais pode ser feito?
Além das novas regras para instituições financeira, é preciso haver mais filtros contra movimentações suspeitas, incluindo com uso de inteligência artificial, alertou Rocelo Lopes, CEO da empresa de compra e venda de criptomoeda SmartPay.
“Se o banco puder pesquisar quem é o detentor da conta e no que ele está envolvido, ele poderá decidir segurar a transação. Criar política para poder identificar esse tipo de coisa seria o melhor caminho para o sistema centralizado”.
O segmento financeiro é o mais protegido, mas, com mais instituições a cada dia, precisa aumentar seu nível de maturidade, avaliou o diretor-geral da Netscout, Geraldo Guazzelli.
“A maior fragilidade hoje, apesar de todo o ambiente, é o uso de credenciais legítimas obtidas com o roubo ou a compra”, afirmou. “Mas a credencial por si não é algo que vai garantir o sucesso. Tem que ser encontrada uma falha. É uma associação de fatores”.