Gigante brasileira sofre desvio de R$ 710 milhões em ataque ao sistema PIX

A Sinqia, companhia especializada em tecnologia para conectar bancos ao PIX, enfrentou uma invasão que desviou mais de R$ 710 milhões para contas de “laranjas” por meio do sistema de pagamentos. Este Ataque ao PIX teve impacto em instituições como o HSBC e a fintech Artta, conforme detalhado em um relatório da Evertec, controladora da Sinqia, enviado à SEC.

O ataque foi possibilitado pela exploração de credenciais de fornecedores legítimos de tecnologia da informação. Ou seja, os criminosos usaram o próprio acesso de fornecedores confiáveis para se passar por eles e movimentar dinheiro no sistema, sem levantar suspeita imediata. Essa tática permitiu que as transações fraudulentas fossem executadas de forma a não alertar os sistemas de segurança de maneira instantânea.

Apesar do incidente na Sinqia, as instituições asseguraram que a rede do Banco Central (BC) permaneceu intacta. O HSBC, por exemplo, comunicou que “nenhuma conta dos clientes ou fundos foram impactados pela operação”, uma vez que o problema ocorreu somente dentro da infraestrutura da Sinqia. Isso significa que o escopo direto do ataque foi contido ao ambiente da provedora de tecnologia.

Desde que o Banco Central confirmou a invasão, os acessos aos sistemas da Sinqia foram cortados para conter a situação. Os primeiros indícios do ataque foram notados na última sexta-feira, dia 29, e desde então todas as operações e acessos da empresa foram rigidamente restritos para avaliação e reparo.

Impactos e Respostas no Cenário de Cibersegurança

No relatório oficial da Evertec, enviado à SEC, foi declarado que, após identificar qualquer tipo de atividade suspeita no ambiente do PIX, todas as transações foram imediatamente suspensas. Além disso, especialistas em cibersegurança foram acionados para investigar e mitigar o problema, agindo rapidamente para proteger os dados e sistemas.

Por conta dessa suspensão, os clientes que dependiam dos serviços da Sinqia foram obrigados a buscar outros prestadores de serviço. A medida visou garantir a continuidade das operações com transações instantâneas, minimizando interrupções para os usuários finais. A Evertec também afirmou que uma parte dos R$ 710 milhões já foi recuperada.

As equipes ainda estão trabalhando ativamente para recuperar o valor restante do desvio. A Sinqia, por sua vez, comunicou que o ambiente será completamente reconstruído. Após a reconstrução e a garantia de sua segurança, o Banco Central realizará uma revisão e aprovação antes que os sistemas possam ser colocados novamente online.

Casos Semelhantes de Vulnerabilidade em Pagamentos

Este incidente da Sinqia traz à memória o grande roubo sofrido pela C&M Software, outra empresa que oferece soluções de infraestrutura e software para integrar instituições financeiras ao Sistema de Pagamentos Instantâneos. Em julho do mesmo ano, a companhia foi alvo de uma invasão que resultou em perdas significativas, estimadas entre R$ 400 milhões e R$ 1,5 bilhão.

A investigação desse caso anterior indicou o envolvimento de um funcionário de TI da própria C&M Software. João Nazareno Roque, o colaborador, cooperou ativamente com os criminosos, facilitando o acesso ao sistema sigiloso da empresa. Ele foi crucial para permitir que os hackers realizassem as transferências financeiras via PIX sem maiores dificuldades.

A Polícia Civil de São Paulo conseguiu prender João Nazareno Roque. Segundo as investigações, o funcionário confessou sua participação no esquema, revelando que vendeu seu login e senha por R$ 5 mil. Ele também recebeu mais R$ 10 mil para criar um sistema que possibilitaria o desvio do dinheiro sem causar alertas imediatos.

Entre as seis instituições financeiras afetadas, a fintech BMP, que atua como Banking as a Service, registrou um prejuízo considerável de R$ 541 milhões. A BMP foi a primeira a relatar os desvios bilionários através de um boletim de ocorrência, o que levou a C&M Software a reportar seu próprio ataque cibernético.

O delegado responsável pelo caso detalhou que as transferências fraudulentas foram realizadas durante a madrugada. Elas foram percebidas por volta das 4h30 da manhã e, mesmo após a detecção inicial, os desvios continuaram a ocorrer até as 07h00. Este período de ação dos criminosos mostra a rapidez e a coordenação envolvidas.

Outro Incidente de Segurança em Plataformas de Pagamento

Recentemente, a Monbank também comunicou ter sofrido um ciberataque em seu sistema PIX. A empresa informou que um montante de mais de R$ 4,9 milhões foi desviado. No entanto, a boa notícia é que grande parte desse valor já foi recuperada ou está em processo de bloqueio nas instituições que receberam as transferências indevidas.

De acordo com a Monbank, apenas R$ 200 mil do total ainda não foram completamente recuperados. Os primeiros sinais de atividade suspeita foram identificados durante a manhã, e a operação foi rapidamente interrompida pela equipe de segurança. Este incidente ressalta a importância da detecção precoce de anomalias.

O ataque à Monbank não se limitou apenas ao PIX. Ele foi direcionado também ao Sistema de Transferência de Reservas (STR), que é utilizado para outras modalidades de transferências bancárias, como o TED. Assim como a Sinqia, a Monbank optou por suspender temporariamente suas operações para garantir a segurança dos sistemas.

A empresa garantiu que não registrou nenhum vazamento de dados de clientes durante o ataque, nem qualquer infração direta nas contas individuais. Isso é um ponto importante para a confiança dos usuários. A prioridade foi proteger as informações e os fundos dos clientes, mesmo com a interrupção das operações.

Os recentes incidentes destacam os desafios contínuos na segurança cibernética que as empresas de tecnologia financeira enfrentam. A colaboração entre empresas, reguladores e especialistas é essencial para proteger os sistemas de pagamento instantâneo e manter a confiança dos usuários em um ambiente digital em constante evolução.

Este conteúdo foi auxiliado por Inteligência Artificial, mas escrito e revisado por um humano.