Os prejuízos ainda estão sendo contabilizados, uma pessoa já foi presa, mas exatamente o que aconteceu e uma vez que ainda é investigado pela Polícia Social de São Paulo e pela Polícia Federalista (PF). Três dias posteriormente o maior ataque hacker na história do Brasil utilizar credenciais de entrada válidas e invadir os sistemas da C&M — uma empresa de tecnologia que faz a intermediação do entrada de bancos e fintechs de pequeno porte aos sistemas do Banco Médio, incluindo o Pix — o sistema financeiro vernáculo uma vez que um todo ainda se recupera do choque e tenta entender melhor o tamanho do golpe.O negociata pode chegar a mais de R$ 1 bilhão — somente o BMP, um banco do dedo que é uma das seis empresas clientes da C&M afetadas, relatou à polícia paulista o roubo de R$ 541 milhões. A princípio, o quantia não afetou os clientes e saiu das contas de suplente das instituições financeiras no Banco Médio. Seja uma vez que for, de tratado com especialistas ouvidos pela Publicação do Povo, existem ações práticas e relativamente simples que podem e devem ser tomadas tanto pelas instituições financeiras e suas prestadoras de serviço quanto pelo Banco Médio daqui para a frente, para evitar que leste tipo de ataque se repita e gere um risco sistêmico para o mercado financeiro vernáculo. A maioria das medidas já existe e tem adeptos nos grandes bancos e empresas, mas não são obrigatórias — daí a responsabilidade do Banco Médio de restringir essa regulamentação, além de produzir mais travas internas.“Aparentemente, utilizaram logins e senhas válidas de uma empresa intermediária para conseguir logins e senhas válidas das instituições financeiras clientes dessa empresa para aí, logo, usarem essas informações para entrar e movimentar as contas de suplente dessas empresas no Banco Médio”, afirma Micaella Ribeiro, perito em identidades e acessos da IAM Brasil, empresa especializada em controles de entrada no universal. Ela ressalta que o caso é tratado sob enorme sigilo, logo não há informações detalhadas sobre o que aconteceu. Ecossistema do dedo que protege o Pix precisa ter normas reforçadas para evitar risco sistêmico para o mercado financeiro vernáculo.De tratado com a perito, os sistemas do Banco Médio são seguros. “A maioria dos ataques hacker usa acessos válidos para invadir um sistema, é muito difícil simplesmente quebrar a segurança e invadir sem credenciais válidas”, diz.“Existem resoluções do Banco Médio que exigem uma série de medidas de segurança das empresas para participar deste sistema. Os grandes bancos vão ou por outra e implementam além do exigido, mas talvez seja necessário especificar melhor algumas coisas para evitar mais problemas no porvir.”VEJA TAMBÉM:Técnico recluso pela polícia vendeu entrada a hackers que roubaram milhõesÚnica credencial e senha de entrada não poderiam ter tanto poder, opina especialistaDepois do ataque, quem trabalha no setor entende que pode ser o caso de restringir um pouco o cerco com normas que já estão previstas. “O manual do Banco Médio para conectar nos seus sistemas é bastante abrangente e traz um quadro muito completo de medidas de segurança, mas algumas coisas muito importantes constam ali uma vez que recomendações ao invés de ser obrigatório”, afirma Luiz Henrique Barbosa, diretor-executivo da Swarmy Tecnologia, empresa especializada em segurança e prevenção a fraudes digitais, com foco no mercado financeiro.“O ecosistema das fintechs, onde deu-se o problema, possui uma regulação menos rígida que a dos grandes bancos, que conectam-se diretamente ao sistema do BC. Isso é desejável, pois é o que torna provável toda a inovação e concorrência que temos visto no setor, mas talvez precise de ajustes pontuais”, observa Barbosa.O primeiro deles seria o Banco Médio estabelecer regras mais rígidas, de tratado com a veras de cada instituição financeira, e exigir a geração de diversas camadas de entrada e autorização dentro da instituição financeira e das empresas que fazem a relação entre os bancos e o BC para que transferências de contas sensíveis, uma vez que a conta de suplente, fiquem mais protegidas em eventual vazamento de qualquer login e senha de entrada. “Eu me pergunto também uma vez que uma única credencial e senha de entrada na empresa intermediadora de sistemas podia ter tanto poder, a ponto de no término conseguir através dela chegar na movimentação de tanto quantia dos clientes, onde estavam as barreiras de entrada e alarmes”, questiona Barbosa. Nesse esquema em “cebola”, cada entrada e movimentação financeira nas contas internas do banco ficam sujeitas à aprovação de alguém um nível supra, com notificações em tempo real nos celulares dos envolvidos, se for o caso — também é provável estabelecer limites de recursos que cada nível gerencial pode movimentar sem aquiescência dos gestores superiores, além de se exigir a participação de mais de uma credencial de entrada simultaneamente ou mesmo só autorizar transações mediante o uso de dispositivos físicos específicos e, assim, limitar os danos em caso de ataque.VEJA TAMBÉM:PF investiga 140 contas ligadas ao maior golpe da história do sistema financeiro vernáculo”Vivenda de Papel” brasileira no mundo digitalEm segundo lugar, tanto as intermediadoras de entrada aos sistemas do Banco Médio quanto as instituições financeiras donas do quantia devem e podem estabelecer alertas de monitoramento em tempo real sobre as transações financeiras, que avisem os setores e profissionais responsáveis caso um tanto atípico esteja acontecendo com as contas no ato das transações, inclusive com travas automáticas até que a transação seja validada nos níveis competentes. Por término, além de exigir mais rigor nisso tudo com edição de normas específicas, o próprio Banco Médio pode impedir a saída de recursos das contas reservas pelo período da noite, por exemplo (uma vez que foi feito no ataque em questão), ou em desacordo com valores, contas pré-autorizadas e horários previamente cadastrados pelas instituições financeiras e suas prestadores de serviço junto ao Banco Médio. “Resumindo, dá para melhorar em todas as pontas”, opina Micaella Ribeiro. “Esse caso mostra que o cibercrime veio para permanecer e não ataca mais somente pessoas físicas desavisadas em golpes pequenos na internet. Esse caso parece ser a ‘Vivenda de Papel’ brasileira, só que no mundo virtual, e deixa um alerta e prelecção muito grandes”, diz Luiz Henrique Barbosa.VEJA TAMBÉM:Banco Médio segue em silêncio posteriormente ataque hacker que desviou até R$ 1 bilhão