Os bastidores do provável maior roubo da história do sistema financeiro brasileiro

 

                                                                                        Giphy / Reprodução

Você acorda numa segunda-feira qualquer, checa o celular... e descobre que R$ 18 milhões foram transferidos da sua conta via Pix no meio da madrugada. Pois é, foi assim que começou o maior ataque já registrado no sistema financeiro brasileiro, com prejuízos que podem chegar a R$ 1 bilhão (!).

O caso envolve a BMP — empresa que atua com serviços financeiros — e a C&M, uma fornecedora de tecnologia que faz a ponte entre fintechs e sistemas como o Pix. Tudo começou por volta das 4h da manhã, quando um executivo da BMP foi alertado por telefone sobre uma movimentação suspeita.

Chegando ao escritório, o pânico se confirmou: várias transferências de altíssimo valor estavam sendo feitas em sequência, e não demorou para o rombo chegar aos R$ 400 milhões só na conta da BMP. A origem do problema? Uma falha no sistema de “mensageria” da C&M, que permitiu que os hackers acessassem contas de diferentes instituições financeiras sem disparar os alertas de segurança.

Ao todo, pelo menos seis instituições tiveram acessos não autorizados às suas contas reserva — aquelas que não envolvem o dinheiro de clientes, mas sim o caixa das próprias empresas. Enquanto isso, os cibercriminosos usavam criptomoedas como bitcoin e USDT para tentar esconder os rastros e espalhar os valores roubados por múltiplas carteiras digitais.

A SmartPay, uma das empresas envolvidas, percebeu uma movimentação estranha com compra de criptos e agiu rápido: conseguiu congelar parte do dinheiro e devolver valores às companhias afetadas. Mas o estrago já estava feito.

Quem foi invadido, afinal?

Apesar dos boatos, nem a BMP nem o Banco Central foram invadidos diretamente. O problema estava mesmo na C&M, que oferece as APIs usadas por várias fintechs para acessar sistemas de pagamentos oficiais, como Pix e TED. Essas empresas de "mensageria" já apresentaram falhas antes, mas o assunto geralmente era abafado. Desta vez, não teve como esconder.

O Banco Central autorizou o retorno das operações da C&M no dia 3 de julho, depois que a empresa alegou ter reforçado sua segurança. A BMP, por sua vez, já conseguiu recuperar cerca de R$ 130 milhões — mas uma parte significativa do dinheiro ainda está nas mãos dos criminosos, o que preocupa a empresa em relação à sua liquidez.

Agora, é esperar que a investigação avance e que o setor tire lições sérias disso tudo. Porque se nem as altas madrugadas são mais seguras contra o Pix, a gente precisa mesmo reforçar os escudos. Publicação do Creative News.