ENGENHARIA SOCIAL, NENHUM MR. ROBOT.
Milhões evaporaram. O método? Nem malware, nem hackers geniais: um funcionário terceirizado que vendeu suas credenciais por R$ 15 mil. Este é o retrato do crime que expôs o elo mais frágil da cibersegurança: o ser humano.
O que aconteceu? O maior ataque ao sistema Financeiro brasileiro.
Na madrugada de 30 de junho, criminosos tiveram acesso ao sistemas da C&M Software, empresa homologada pelo Banco Central para intermediar transações via Pix entre bancos menores e o Sistema de Pagamentos Brasileiro (SPB).
Em menos de 3 horas, desviaram R$ 541 milhões apenas da instituição financeira BMP uma das seis afetadas. O prejuízo total pode chegar a R$ 800 milhões, segundo a Polícia Civil de São Paulo.
Método do crime: "Supply Chain Attack"
• Os hackers usaram credenciais roubadas (logins e senhas) para acessar contas reservas que são fundos os quais bancos mantêm no BC para liquidação de operações interbancárias.
• A brecha foi aberta por João Nazareno Roque, funcionário da C&M, que vendeu acesso aos sistemas sigilosos por R$ 15 mil. Ele foi abordado em março por um criminoso ao sair de um bar em São Paulo.
A prisão: O "traidor interno"
João Nazareno Roque, 48 anos, Operador de TI, foi preso em 4 de julho no bairro City Jaraguá (SP). Em depoimento, confessou:
• Recebeu R$ 5 mil para fornecer senhas em maio e mais R$ 10 mil para criar um sistema que facilitasse os saques.
• Comunicava-se com os hackers via WhatsApp, e trocava de chip a cada 15 dias para evitar rastreamento.
Acusações formais incluem lavagem de dinheiro, invasão de dispositivo informático e associação criminosa.
Resposta das autoridades
• Banco Central: Determinou o desligamento imediato da C&M do sistema Pix e suspendeu três fintechs que receberam recursos desviados: Transfeera, Soffy e Nuoro Pay 5.
• Polícia Civil de SP: Bloqueou R$ 270 milhões em uma conta usada para receber os valores. A investigação busca outros envolvidos, suspeitos de atuar em São Paulo.
• C&M Software: Negou falhas técnicas, atribuindo o crime a "engenharia social" (manipulação humana). Retomou operações em 3 de julho sob supervisão do BC.
Impacto sistêmico: Por que bancos menores são vulneráveis?
Instituições como BMP, Banco Paulista e Credsystem dependem de intermediárias (como a C&M) para acessar o SPB — criando pontos únicos de falha. Especialistas alertam: "O ataque expôs o risco de terceirizar serviços críticos sem controles rígidos de acesso"
Bancos afetados confirmados:
- BMP, Prejuízo de R$ 541 milhões, Operações normalizadas.
- Banco Paulista, Não divulgado, Pix interrompido temporariamente
- Credsystem, Não divulgado, Sob investigação
- Fonte: Polícia Civil e BC.
Consequências e Atitudes
- Regulação mais dura: O Conselho Monetário Nacional (CMN) deve exigir bipartição de acessos e auditorias frequentes em empresas terceirizadas
- Seguro contra fraudes: Bancos pressionam por apólices que cubram prejuízos de ataques cibernéticos.
- Alerta global: O caso virou referência em crimes financeiros digitais, com método replicável em outros países.
- Para correntistas: Nenhum cliente foi afetado — o prejuízo é das instituições. Mas o episódio reforça a necessidade de cobrar transparência em políticas de segurança dos bancos.
Conclusão: O elo mais fraco é humano
O caso escancara que credenciais privilegiadas são o alvo preferencial de criminosos. Enquanto João Roque aguarda julgamento, o BC corre para evitar que "a Casa de Papel digital" se repita:
"Treinar pessoas é tão vital quanto atualizar firewalls" — Hiago Kin, presidente do Ibrinc.
EXPLICANDO TERMOS UTILIZADOS
1. O que é um Ataque de Supply Chain?
Definição: Ataque indireto que explora fornecedores terceirizados (software, hardware ou serviços) para comprometer organizações-alvo. Hackers infectam componentes legítimos da cadeia logística digital, que depois são distribuídos às vítimas finais como "atualizações confiáveis" ou neste caso. Ou no caso do BC, um ataque à cadeia de suprimentos onde criminosos infiltram um fornecedor legítimo para atingir seus clientes finais. É como envenenar a fonte de um rio para contaminar quem bebe água rio abaixo.
Componentes-chave:
Alvo indireto: Em vez de atacar o destino final (ex: bancos), ataca-se um terceiro de confiança (ex: empresa de software).
Acesso privilegiado: O fornecedor tem permissões ou integrações críticas com as vítimas finais.
Disseminação em massa: Um único ponto comprometido afeta múltiplos clientes.
Mecanismo:
- Fase Upstream: Invasão do fornecedor (neste caso o próprio funcionário serviria, de formula análoga, como um malware).
- Fase Downstream: Disseminação do "componente" comprometido aos clientes do fornecedor.
Exemplos reais:
- SolarWinds (2020): Backdoor (SUNBURST) inserido em atualizações do software Orion, afetando 18 mil clientes, incluindo agências dos EUA.
- Kaseya (2021): Vulnerabilidade em software de gerenciamento permitiu ransomware infectar 1.500 empresas via atualizações.
- Caso Banco Central BR (2025): Funcionário da empresa terceirizada C&M Software vendeu credenciais por R$15 mil, facilitando desvio de R$541 milhões via PIX.
POSSIVEIS AÇÕES DE PREVENSÃO E DEFESA
- Auditoria rigorosa de fornecedores.
- Princípio de menor privilégio limitando acessos e constante verificação (ZERO TRUST) .
- Verificação de integridade de código (ex: assinaturas digitais).
- Monitoramento
- Treinamento de funcionários
- Investimento em Princípios e Profissionais de Cibersegurança
2. O que é um Ataque de Engenharia Social?
Definição: Manipulação psicológica para induzir pessoas a revelar informações sensíveis ou realizar ações que comprometem a segurança. Não envolve exploits técnicos – explora a "falha humana".
Técnicas comuns:
- Phishing: E-mails falsos (ex: suposto banco solicitando senhas).
- Baiting: Atiçando a Curiosidade da Vítima (ex: USB infectado deixado em local público).
- Pretexting: Criação de cenários falsos (ex: hacker se passa por técnico de TI).
- Vishing: Chamadas telefônicas fraudulentas
₿ 3. O que é Criptomoeda? Por que é Usada em Ataques?
Definição: Moeda digital descentralizada que usa criptografia para segurança (ex: Bitcoin, Monero). Transações são registradas em blockchain (livro-razão público), mas as identidades dos envolvidos são pseudônimas.
Razões para uso em crimes:
- Anonimato relativo: Endereços de carteira não vinculam diretamente a identidades reais.
- Irreversibilidade: Transações não podem ser canceladas.
- Globalização: Transfronteiriça sem regulamentação uniforme.
- Exemplos de ataques a outras instituições financeiras:
- Ransomware Colonial Pipeline (2021): Hackers exigiram US$4.3 milhões em Bitcoin para descriptografar sistemas.
- Criptojacking: Uso não autorizado de dispositivos para minerar criptomoedas (ex: via scripts em sites).
Desafios para autoridades:
O Caso do "Faraó do Bitcoin": R$ 400 milhões
Bloqueados
Glaidson Acácio foi preso em 2021
por liderar uma pirâmide financeira que movimentou R$
7 bilhões. Durante a operação, a PF apreendeu seu
notebook, que contém uma carteira de criptomoedas com
saldo equivalente a R$ 400 milhões.
Status atual (julho/2025):
O notebook está guardado na Superintendência
da PF no Rio de Janeiro, mas as autoridades não
conseguem acessar os fundos.
Glaidson recusa-se a revelar a senha da
carteira, mesmo sob pressão judicial.
Desafio técnico:
A carteira é protegida por criptografia
AES-256, considerada quantum-resistant (resistente
a ataques de computação quântica).
Sem a senha ou seed phrase (frase de
recuperação), a descriptografia é computacionalmente
inviável – exigiria brute force com
trilhões de tentativas.
Por que a PF não Quebrou a
Criptografia?
Falta de padrão de custódia:
Limitações técnicas:
A ausência de ferramentas especializadas para
extração segura de seeds de dispositivos
físicos (ex: hardware wallets) é crítica. Casos de
sucesso, como em uma ação da Polícia Australiana, dependem de expertise
forense digital avançada.
Proteção legal:
Outros Casos
Austrália (2025): Polícia decifrou
uma seed phrase e confiscou R$ 50
milhões em criptomoedas após analisar dispositivos
do suspeito.
Brasil: A PF já apreendeu 291
tipos de criptoativos (incluindo BTC, ETH, DASH), mas
não sabe quantificar o total sob custódia – muito menos
acessá-los.
Perspectivas Futuras
Capacitação: O Ministério da Justiça
iniciou em 2025 cursos para policiais identificarem e rastrearem
criptomoedas usadas em crimes, mas a implementação é lenta.
Tecnologia: Soluções como contratos
inteligentes de bloqueio automático (ex: timelocks)
ou carteiras multisig poderiam facilitar
o controle de ativos apreendidos, mas ainda não são adotadas.
Risco sistêmico: Enquanto não houver
protocolos unificados, casos como o do Faraó do Bitcoin continuarão
a expor lacunas entre a apreensão física e o acesso
efetivo aos ativos digitais.
Conclusão:
- A wallet (carteira) de R$ 400
milhões em Dash permanece um "fantasma" na custódia da PF
– símbolo do descompasso entre a evolução do crime digital e a
capacidade estatal de resposta. A solução exigirá avanços
técnicos, cooperação internacional e marco
regulatório específico para criptoativos apreendidos. Dai então a atitude dos criminosos de transferirem o dinheiro para cripto wallets, dinheiro esse que, caso siga-se a mesma linha da historia do "Faró do Bitcoin" nunca mais vai ver a luz do dia, mesmo com o criminosos custodiados.
- Padrões Comuns em Ataques Financeiros
- Supply Chain + Engenharia Social: Combinam-se para contornar defesas técnicas (ex: caso C&M Software).
- Criptomoedas como estágio final: Conversão de recursos roubados acelera a lavagem e dificulta recuperação.
- Tendência: Ataques à cadeia de suprimentos cresceram 742% em 2020; ransomware contra fornecedores subiu 270% em 2021.
- Recomendações técnicas possíveis para evitar casos como esse: Implementar Zero Trust (nunca confiar, sempre verificar) e segmentação de redes para conter danos.
👾
Fontes:
- • UOL: Detalhes do ataque e prisão
- • G1: Valores desviados e perfil do preso
- • Olhar Digital: Cronologia do crime
- 👾 O conteudo deste post faz jus as informações disponiveis publicamente em 04/07/2025
Comentários
Postar um comentário