Um homem foi preso na última quinta-feira, 3 de julho, acusado de facilitar o acesso de hackers ao sistema financeiro brasileiro de pagamentos de Pix.
Ele disse em depoimento à Polícia Civil que vendeu por R$ 15 mil a sua senha para os hackers, que trocavam de celular a cada 15 dias para não serem rastreados.
Ao ser interrogado pelos investigadores da Delegacia de Crimes Cibernéticos do Deic, o operador de TI Joãp Nazareno Roque afirmou que trabalhava na empresa C&M há aproximadamente três anos e que, em março, ao sair de um bar em São Paulo foi abordado por um rapaz que já sabia que ele trabalhava numa empresa de sistemas de pagamentos.
A informação, segundo o acusado, tinha sido vazada por amigos dos hackers, que já tinham informações sobre onde e em que empresa ele prestava serviços, como desenvolvedor back-end júnior.
Uma semana depois do encontro no bar, o suspeito de aliciar o desenvolvedor fez contato por telefone dizendo que queria conhecer o sistema da empresa C&M, que era terceirizada da empresa BMP Instituição de Pagamento S/A, alvo do ataque, e ofereceu R$ 5 mil pelo acesso.
Cerca de 15 dias depois, o mesmo criminoso fez um segundo contato agora oferecendo outros R$ 10 mil para que Nazareno executasse comandos dentro da plataforma. Esse pagamento foi feito em dinheiro vivo, pago em cédulas de R$ 100 entregues por um motociclista.
À Polícia Civil, Nazareno também contou que os comandos foram executados dentro do sistema no mês de maio. E que os hackers cada vez faziam contato com um número de telefone diferente.
Ao todo, o funcionário da C&M disse que contatou quatro hackers diferentes durante o processo de ataque ao sistema do banco BMP Instituição de Pagamento S/A.
Roque foi preso no bairro de City Jaraguá, na Zona Norte de São Paulo.
Em nota, a C&M Software diz que colabora com as investigações e diz que, desde que foi identificado o incidente, adotou “todas as medidas técnicas e legais cabíveis”.
Fundada em 1992, a C&M Software é a companhia responsável pela mensageria que interliga instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB) – o que engloba o ambiente de liquidação do Pix, sistema de transferências e pagamentos instantâneos criado pelo Banco Central (BC) em 2020 e amplamente utilizado pelos brasileiros. O principal foco de atuação da empresa é o desenvolvimento de soluções para operações no ecossistema de pagamentos instantâneos.
De acordo com relatos do mercado financeiro reproduzidos pelo jornal O Globo, pelo menos seis instituições financeiras teriam sido afetadas pela ação criminosa, com desvios de recursos de contas de empresas e interrupção temporária de operações via Pix.
50 milhões em prejuízos
A C&M Software confirmou que foi vítima de um ataque hacker. Embora até o momento não haja nenhuma informação oficial sobre valores, o prejuízo pode ter alcançado cerca de R$ 1 bilhão, segundo informações do site Brazil Journal. Relatos iniciais sobre o caso apontam que os hackers teriam desviado pelo menos R$ 400 milhões.
Apesar de os nomes de todas as instituições financeiras afetadas não terem sido divulgados, estimativas iniciais apontam que cada banco ou fintech teria registrado perdas acima de R$ 50 milhões, em média.
