O ecossistema do Pix, principal meio de pagamento do Brasil, sofreu um novo e severo revés. Criminosos cibernéticos conseguiram explorar vulnerabilidades técnicas para desviar aproximadamente R$ 100 milhões de operações no sistema financeiro. O incidente acende o alerta máximo sobre a sofisticação das quadrilhas que miram as brechas de segurança em participantes do arranjo de pagamentos do Banco Central.
O Mecanismo do Ataque
Diferente de golpes comuns contra usuários finais (como o “golpe do motoboy” ou engenharia social), este ataque focou na infraestrutura técnica. Os hackers teriam acessado chaves de endereçamento e manipulado processos de liquidação de transações.
A suspeita é que a invasão tenha ocorrido por meio de uma Instituição de Pagamento (IP) com protocolos de segurança menos robustos que os dos grandes bancos de varejo, servindo como “porta de entrada” para o sistema de mensageria que comunica as ordens de pagamento ao Banco Central.
Fatores de Risco no Ecossistema Pix
Embora o Pix seja considerado seguro, o aumento de ataques desse porte destaca três pontos críticos:
- Segurança de Terceiros: Instituições menores conectadas ao sistema podem ter firewalls e sistemas de detecção de intrusão (IDS) desatualizados.
- Velocidade de Liquidação: A natureza instantânea do Pix dificulta o estorno imediato de grandes quantias após o processamento da transação.
- Vazamento de Dados cadastrais: Ataques anteriores já expuseram milhões de chaves Pix, o que fornece “matéria-prima” para que hackers cruzem dados e identifiquem alvos vulneráveis dentro das instituições.
Medidas de Proteção e Resposta
O Banco Central tem endurecido as regras para as instituições participantes. Entre os mecanismos já em vigor e que ganham importância após este evento, destacam-se:
- Mecanismo Especial de Devolução (MED): Criado para facilitar a recuperação de valores em caso de fraude, embora sua eficácia dependa da rapidez com que a vítima (ou o banco) percebe a irregularidade.
- Limites de Transação Noturnos: Reduções automáticas de valores para mitigar o prejuízo em horários de menor vigilância.
- Sanções Administrativas: Instituições que falham em proteger os dados de seus clientes podem sofrer multas pesadas e até a exclusão do sistema Pix.
Até o momento, as autoridades e os órgãos reguladores seguem investigando o rastro do dinheiro, que geralmente é pulverizado em centenas de contas laranjas em questão de minutos, dificultando a recuperação total do montante desviado.
