Apesar da polícia ter identificado como os criminosos obtiveram acesso aos sistemas das instituições financeiras, as notícias compartilhadas até o momento nos permitem ter uma visão e entendimento muito pequenos sobre como ocorreu o ataque e a fraude. Em resumo, "um funcionário da C&M deu acesso ao grupo criminoso que, dessa forma, conseguiu inserir transações fraudulentas nos sistemas da empresa, em nome de seus clientes."
Mas muitas informações e detalhes ainda continuam em aberto, e as investigações estão em andamento. Após uma primeira semana de muitas novidades e especulações, agora as notícias surgem a conta-gotas. Mas talvez nós nunca saberemos a verdade.
Seguem algumas perguntas que eu acho importante:
Quais são todas as vítimas? Das pelo menos 6 instituições financeiras que tiveram dinheiro desviado, somente a BMP Money Plus foi citada abertamente.
Qual foi o valor total desviado de todas as vítimas? Sabe-se, por enquanto, apenas do total desviado da BMP, R$ 541 milhões.
Qual foi o tempo total de planejamento do golpe? Se o funcionário da C&M foi abordado em março desse ano, os criminosos gastaram pelo menos 4 meses planejando o golpe.
Quem é o grupo criminoso responsável pelo ataque?
Quantas pessoas? Sabemos que são no mínimo 5: a pessoa que aliciou o funcionário da C&M e 4 que falaram com ele.
Elas tinham experiência e conhecimento prévio sobre o sistema financeiro? Aparentemente sim. Mas... Será que alguns dos criminosos trabalha ou trabalhou em empresas do setor ou em bancos?
Será que o grupo está ligado ao crime organizado?
Sobre o funcionário da C&M Software, será que ele simplesmente vendeu a credencial mesmo ou a relação dele com o grupo seria maior do que sabemos?
Será que ele foi "plantado" dentro da empresa? (é pouco provável, pois parece que ele trabalhava lá há 2 ou 3 anos)
Os criminosos tiveram acesso remoto aos sistemas da C&M para realizar as transações fraudulentas? Se sim, como conseguiram isso?
Quais comandos foram dados pelo funcionário da C&M Software em maio para permitir, efetivamente, o acesso dos criminosos e a realização da fraude?
Foi explorada alguma vulnerabilidade nos sistemas da C&M Software para permitir o acesso não autorizado aos seus sistemas?
Foi explorada alguma vulnerabilidade nos sistemas da C&M Software para permitir a inserção de transações PIX fraudulentas no SPI?
As transações PIX fraudulentas foram inseridas manualmente ou de forma automatizada, por comandos via shell ou API?
Foram usadas credenciais em nome das empresas fraudadas (ex, a credencial da BMP)? Ou a fraude foi feita manipulando a aplicação da C&M Software?
As chaves privadas de criptografia, que são necessárias para assinar as mensagens de transações PIX entre os bancos, foram comprometidas? Elas estavam armazenadas de forma segura?
Porque as instituições financeiras envolvidas demoraram tanto para identificar a fraude?
Se, entre as instituições de pagamentos que receberam parte dos fundos roubados, haviam algumas com histórico de fraude e/ou em nome de laranjas, porque elas não foram identificadas e suspensas antes, pelo Banco Central?
A minha "cereja do bolo": Se o Banco Central diz para a população usar o MED para recuperar seu dinheiro enviado via PIX após cair em golpes, porque ele mesmo não recuperou 100% dos valores roubados usando o MED?
O assunto do ano é, sem dúvida, o incidente bilionário que atingiu o coração do sistema financeiro brasileiro no início do mês. Agora que as coisas estão acalmando e a galera tem diminuído o volume de especulações, fofocas e notícias sérias sobre o assunto, podemos parar para compartilhar uma linha do tempo do ataque à C&M Software e ao sistema financeiro.
A Apura produziu um relatório detalhado sobre o caso, que inclui uma linha do tempo com uma visão cronológica dos fatos, que vou reproduzir aqui:
Março de 2025: Um funcionário da C&M Software, trabalhando como Desenvolvedor Back-end Jr, é abordado em bar em São Paulo e recebe R$ 5 mil em dinheiro para fornecer sua credencial de acesso ao criminoso.
Maio de 2025: Através de notas compartilhadas pelo aplicativo Notion, o funcionário da C&M recebe instruções do grupo criminoso para inserir comandos nos sistemas da empresa para permitir o acesso dos criminosos, em troca de um pagamento extra de R$ 10 mil.
Maio de 2025: A Soffy Soluções de Pagamentos, para onde foram transferidos 270 milhões desviados da BMP, recebe homologação para atuar como gateway de pagamentos e participante indireto do Pix.
11/06/2025: Aberta a empresa Monexa Gateway de Pagamentos, que recebeu cinco transferências durante a invasão da C&M, no total de R$ 45 milhões.
30/06/2025, 00:18 (Hora de Brasília) — As plataformas da SmartPay e Truther identificaram um movimento atípico de compra de criptomoedas.
30/06/2025, 02:03 (Hora de Brasília) — Primeiras transações fraudulentas começam a desviar dinheiro da Conta Reserva da BMP.
30/06/2025, 04:00 (Hora de Brasília) — O Piloto de Reserva da BMP é notificado, por um executivo de outro banco, sobre o recebimento de um PIX de R$18 milhões realizado naquele momento. A partir deste evento, a BMP toma conhecimento da realização de algumas transações PIX não autorizadas.
30/06/2025, 05:00 (Hora de Brasília) — O piloto de reserva da BMP aciona a C&M Software para comunicar sobre as transações indevidas.
30/06/2025, 07:04 (Hora de Brasília) — A equipe da BMP consegue interromper a sequência de transações fraudulentas.
30/06/2025 — Como medida preventiva, a C&M é desconectada temporariamente do Sistema de Pagamentos Brasileiro (SPB) pelo Banco Central.
01/07/2025 — O portal Brazil Journal é o primeiro veículo da mídia a noticiar o incidente.
02/07/2025 — A BMP publica uma nota oficial em seu site sobre o incidente.
03/07/2025, 09:59 — O Banco Central anuncia a retomada parcial das operações da C&M Software.
03/07/2025 — O Banco Central anuncia a suspensão de três fintechs que receberam parte dos recursos desviados do BMP: Transfeera, Nuoro Pay e Soffy.
03/07/2025 — A Polícia Civil de São Paulo prende um funcionário da C&M Software, suspeito de ter vendido suas credenciais de acesso para o grupo criminoso.
04/07/2025 — O Banco Central suspende o acesso ao sistema Pix de mais três instituições de pagamento, de forma cautelar, sob suspeita de terem recebido recursos desviados da intermediadora C&M Software: Voluti Gestão Financeira, Brasil Cash e S3 Bank.
07/07/2025 — O Banco Central suspendeu do Pix mais uma instituição, a cooperativa de crédito Creditag. Com ela, já são sete fintechs suspensas por conexão ao desvio de recursos do BMP.
É evidente que um golpe desse porte necessita de meses de preparação, que começaram antes de março desse ano. Ou seja, os criminosos tiveram pelo menos 4 meses para planejarem a invasão da C&M Software.
Com tantos ataques de ransomware a hospitais e organizações do setor de saúde, mais cedo ou mais tarde isso iria acontecer: um ataque cibernético causando a morte de pacientes devido ao impacto no tratamento dos pacientes. "Sad, but true".
Recentemente a morte de um paciente foi oficialmente associada a um ataque cibernético realizado pelo grupo de ransomware Qilin à empresa Synnovis em junho do ano passado, que paralisou os serviços de patologia em vários hospitais importantes do NHS em Londres. O hospital King's College confirmou que um paciente morreu inesperadamente durante o incidente, causada por "uma longa espera por um resultado de exame de sangue", que atrasou por causa do ciberataque.
Mas esse não foi o primeiro caso. Em 18 de setembro de 2020, um ataque de ransomware ao Hospital Universitário de Düsseldorf (UKD) na Alemanha causou falha nos sistemas de TI. Uma paciente de emergência que precisava de tratamento urgente teve que ser redirecionada para outro hospital a 32 quilômetros de distância, mas isso a levou à morte :(
O ataque cibernético do grupo Qilin à Synnovis em 3 de junho de 2024 causou impacto de grandes proporções. A empresa é uma importante provedora de serviços de patologia, e o ataque acabou causando, por tabela, a interrupção generalizada em serviços de diagnóstico em Londres. Foi um verdadeiro caos, atrasando resultados críticos de exames de sangue e impactando significativamente o atendimento aos pacientes no sistema de saúde. O incidente interrompeu a realização de exames de sangue em diversas entidades associadas ao NHS, incluindo os hospitais King's College, Guy's e St Thomas', Lewisham e Greenwich, além de clínicas médicas. A interrupção impactou mais de 10.000 consultas ambulatoriais e levou ao adiamento de 1.710 cirurgias e adiamento de 1.100 tratamentos contra o câncer. Os profissionais de saúde, por exemplo, enfrentaram dificuldades para realizar transfusões e analisar compatibilidade sanguínea, forçando-os a usar sangue tipo O universal, o que contribuiu para uma escassez nacional de suprimentos para o tipo O.
Um infográfico publicado em um artigo na Revista da Pesquisa FAPESP resume muito bem quais as medidas básicas de segurança que ajudam a melhorar a postura de proteção das organizações;
O infográfico foi criado a partir do Relatório Anual de Segurança de 2023 do CAIS-RNP, que tem uma página batizada de "guia essencial de segurança da RNP", em que mostra as principais medidas a serem adotadas no processo de segurança da informação:
Defesa em profundidade: Um ataque cibernético é composto de diversas etapas. Aplicar o conceito de defesa em profundidade impõe barreiras contínuas ao invasor, o que aumenta a chance de um incidente ser detectado e tratado antes que ele cause efeitos adversos.
Backup: Cópias de segurança garantem a disponibilidade da informação, deixando sistemas mais resilientes. Medida essencial tanto contra os ransomwares como para falhas rotineiras de hardware.
Proteção contra vulnerabilidade: Monitorar sistemas, realizar varreduras, configurar atualizações automáticas e acompanhar canais de informação para criar um processo completo de gestão de vulnerabilidades.
Segmentação e controle de acesso: Segmentar a infraestrutura, adotar múltiplos fatores de autenticação (MFA) e modelar a infraestrutura de acordo com o conceito de Zero Trust (confiança zero) ajuda a conter danos e prevenir incidentes mais graves.
Conscientização: Programas de conscientização e treinamento ajudam a transformar o colaborador em uma barreira de segurança.
Continuidade de negócios: O processo de formulação e adoção de um plano de continuidade de negócios ajuda a organização a enxergar oportunidades de melhorias e maneiras de aprimorar a maturidade de segurança.
Resposta e cooperação: Construir processos que integrem especialistas externos ajuda a organização a responder incidentes de maneira adequada.
Sem dúvida são medidas básicas que garantem um nível minimamente razoável de proteção contra ciberataques e uma capacidade inicial de responder a incidentes.
Sim, como alguns portais de notícias já disseram, estamos frente ao maior caso de crime cibernético da história do Brasil, um ciberataque que pode ter gerado perdas na casa de alguns bilhões de reais.
O portal Brazil Journal foi o primeiro a noticiar, no final da terça-feira (01 de julho), que "um criminoso explorou a vulnerabilidade de um prestador de serviços e roubou mais de R$ 1 bilhão da conta de uma empresa que oferece soluções de conta transacional ao sistema financeiro".
Na fraude bilionária em questão, um típico caso de ataque à cadeia de suprimentos ("supply chain attack"), os criminosos invadiram os sistemas da empresa C&M Software e tiveram acesso não autorizado a plataforma de seis instituições financeiras, a partir das quais acessaram as contas de reserva delas no Banco Central do Brasil. A partir daí, eles conseguiram sacar o dinheiro para contas de laranjas.
A C&M Software, no caso, é uma empresa que presta serviços financeiros a bancos e fintechs, autorizada e supervisionada pelo Banco Central do Brasil - no jargão do mercado, ela é uma "Provedora de Serviços de Tecnologia da Informação" (PSTI). Segundo o Brazil Journal, ela é uma das "sete empresas deste tipo, autorizadas e supervisionadas pelo BC, que conectam 293 instituições à autoridade monetária". Ela disponibiliza acesso ao Sistema de Pagamentos Brasileiro (SPB), através de APIs e webservices, para realizar o processamento de transações financeiras entre bancos - como transferências via Pix, emissão e pagamento de boletos, DDAs, TEDs, etc. Segundo as reportagens sobre o caso, a empresa mais afetada pelo golpe foi a BMP, uma fintech que fornece serviços de "banking as a service", entre eles um sistema bancário "white label".
Tudo indica que o ataque ocorreu na madrugada do dia 30 de junho, foi detectado e contido no mesmo dia. Uma nota da BMP, compartilhada posteriormente em alguns grupos de whatsapp, indicou que nesse dia houve a interrupção temporária nas transações PIX em função de um ataque cibernético a um provedor de serviços - a C&M Sistemas, no caso. Assim que o ataque foi detectado, o Banco Central desligou a C&M do sistema, paralisando as transações PIX de alguns de seus clientes. A Polícia de São Paulo e a Polícia Federal foram acionadas.
Às 00:18 do dia 30 de junho as plataformas da SmartPay e Truther identificaram um movimento atípico de compra de criptomoedas;
Às 04:00 do dia 30 de junho um executivo da BMP é notificado, por um executivo de outro banco, sobre um PIX de R$ 18 milhões realizados naquele momento.
No dia seguinte (01/07) a notícia surgiu primeiro no portal Brazil Journal e na sequencia pipocou em vários jornais país afora, e surgiram novos relatos de que o prejuízo estimado seria de R$ 400 milhões, um número bem abaixo do que foi apontado inicialmente. Entretanto, uma reportagem do UOL, citando fontes ligadas a investigação, disse que os números ainda estão sendo auferidos, mas especula-se que o prejuízo seja ainda maior, de até R$ 3 bilhões.
Uma reportagem do Brazil Journal dá uma luz melhor sobre essas estimativas: apenas da fintech BMP foram extraviados R$ 400 milhões, e na ocasião, a matéria destacou que as estimativas do Banco Central eram de que a estimativa do total roubado, de todas as instituições financeiras envolvidas, seria de R$ 800 milhões. A BMP alega que conseguiu recuperar R$ 160 milhões.
O vazamento do dinheiro se deu via PIX para diversas contas de laranja, que na sequencia foram enviados para exchanges de criptomoedas. O Banco Central identificou e suspendeu do Pix três instituições de pagamento que receberam a maior parte dos fundos roubados e não bloquearam os valores: Transfeera, Nuoro Pay e Soffy. Posteriormente,m outras 4 fintechs foram suspensas.
Segundo a Cointelegraph, os criminosos tentaram converter o dinheiro roubado em Bitcoin e USDT, mas em alguns casos não tiveram sucesso e chegaram a ter o dinheiro retido e retornado às vítimas. A matéria destaca que "após roubar o dinheiro, o hacker começou a movimentar os valores para diferentes provedores de criptomoedas que trabalham com Pix, como exchanges, gateways, sistemas de swap para cripto integrados com pix e mesas OTC, para comprar USDT e Bitcoin" - mas muitas delas negaram o cadastro e as transações. Citando o CEO da SmartPay e Truther, as duas plataformas identificaram um movimento atípico às 00:18 do dia 30 de junho - o que dá uma boa pista do horário do ataque: na madrugada de domingo para segunda-feira!
A Polícia Civil de São Paulo prendeu na noite de quinta-feira (03/07) o homem suspeito de facilitar ataque ao sistema financeiro. Segundo o Departamento Estadual de Investigações Criminais (Deic), o preso, João Nazareno Roque, é funcionário da empresa de tecnologia C&M Software, atuando como desenvolvedor back-end júnior, e deu acesso pela máquina dele ao sistema da empresa para os criminosos que efetuaram o ataque. Segundo a polícia, ele vendeu por R$ 5 mil a sua senha de acesso e depois, por mais R$ 10 mil, realizou comandos nos sistemas à mando dos crimnosos para permitir os desvios. Ele relatou ainda que só se comunicava com os criminosos por celular e não os conhece pessoalmente. O primeiro contato aconteceu em março desse ano, quando foi abordado na saída de um bar. Os comandos foram executados em maio desse ano. Durante esse período, ele se comunicou com 4 criminosos diferentes e trocava de celular a cada 15 dias. A cada vez, os criminosos faziam contato a partir de um número de telefone diferente.
O salário dele, na empresa, era de aproximadamente apenas R$ 2.500. Ou seja, ele ganhou, dos criminosos, o equivalente a cerca de 6 meses de salário. Não sabemos os detalhes, mas talvez ele nem tenha tido a opção de recusar a oferta, dependendo de quão "amigável" foi a abordagem do grupo criminoso. Talvez ele tenha sido tão inocente a ponto de achar que não seria identificado? (leia o excelente post do Cláudio Dodt sobre isso!) O fato é agora ele vai ele responder por associação criminosa, furto qualificado mediante fraude e abuso de confiança.
Uma matéria no portal Finsiders destacou que o golpe ocorreu por meio da criação e envio de ordens falsas de transferência via Pix, com os criminosos se passando pela BMP no sistema da C&M. A operação foi massiva e sistemática, simulando autorizações legítimas de envio de recursos para contas controladas pelos criminosos.
Pela característica do ataque, essa foi uma operação que foi cuidadosamente planejada e exigiu participação de pessoas com conhecimento especializado do funcionamento do sistema financeiro brasileiro - tanto do ponto de vista técnico como processual. é um ataque que envolveu o acesso irregular ao "coração" do SPB, injetando transações fraudulentas diretamente nos sistemas. Tal ataque dificilmente poderia ser realizado por um grupo criminoso de fora, por exigir tanto conhecimento das particularidades de um sistema que só funciona no Brasil.
As investigações mostram que o ataque estava sendo planejado desde, pelo menos, março desse ano - quando o colaborador da C&M foi abordado pelo grupo criminoso pela primeira vez. Além do mais, eles escolheram a dedo o horário do "bote": a madrugada de domingo para segunda-feira, 30/06, um horário que provavelmente haveria menor monitoramento dos sistemas.
Segundo a C&M Software, a empresa adotou diversas medidas para conter o incidente, incluindo:
Isolamento do ambiente comprometido;
Revogação de credenciais e chaves;
Acionamento do Mecanismo Especial de Devolução (MED);
Solicitação de reversão dos valores indevidos;
Comunicação formal às autoridades competentes;
Contratação de análise forense externa;
Notificação proativa a todos os clientes, impactados ou não.
Pelo jeito, pelo menos o MED funciona quando roubam dinheiro dos bancos. Quando uma vovozinha cai no golpe do Whatsapp ou alguém invade o celular de uma pessoa comum, a chance de recuperar o dinheiro pelo MED é praticamente zero. Os casos de sucesso para reverter a fraude contra o cidadão comum são muito raros :(
Vale lembrar que o sistema financeiro, por dentro, é extremamente complexo, com muitas partes envolvidas e tecnologias distintas. Para um simples PIX ou um pagamento de boleto ocorrer, diversas empresas são envolvidas, com papéis distintos.
A grosso modo, o Banco Central possui uma rede que interconecta todos os bancos, a Rede do Sistema Financeiro Nacional (RSFN), utilizada para a troca de informações das transações entre os bancos. Essa rede é quem faz a comunicação do Sistema de Pagamentos Brasileiro (SPB). Os bancos se conectam à RSFN diretamente ou através de empresas que vendem o serviço de conectividade, outras que possuem plataformas que fazem a troca de mensagens ("messageria"), e por aí vai.
Segundo o Banco Central, o problema foi contido. A BMP declarou que nenhum cliente foi afetado e que o impacto se restringiu aos próprios fundos operacionais.
O total de instituições financeiras impactadas direta ou indiretamente pelo golpe não é conhecido. Algumas tiveram seus fundos desviados e outras, por serem clientes da C&M Software, tiveram apenas impacto nas transferências via PIX na semana de 30 de junho, durante o período em que a C&M ficou suspensa pelo Banco Central. Especula-se que entre 6 e 8 instituições financeiras tiveram seus fundos desviados no golpe. O que sabemos até agora:
BMP Money Plus: a única empresa que se manifestou publicamente sobre ter sido prejudicada no golpe, com perdas de R$ 541 milhões;
Banco Carrefour: Aparentemente teve suas transferências via PIX interrompidas quando o BC desconectou a C&M do SPI;
Banco Paulista: Publicou em seu site uma nota avisando que as transações via PIX foram interrompidas quando o BC desconectou a C&M;
Bradesco: Foi citada nas primeiras reportagens sobre o golpe, mas repentinamente ninguém mais falou sobre eles;
Credsystem: citada pela imprensa, não sabemos se foi fraudada ou se apenas teve impacto nas transações via PIX;
Igreja Bola de Neve: Aparentemente também teve suas transferências via PIX interrompidas quando o BC desconectou a C&M do SPI.
Vale destacar, com um pequeno tom de sarcasmo, o posicionamento da comunidade de segurança. Felizmente não vi qualquer profissional realmente sério e conhecido dando depoimentos imprecisos na imprensa. Mas surgiram relatórios e depoimentos de especialistas bem fora da realidade. Nos grupos de whatsapp, pipocavam os comentários mais aleatórios possíveis, com muito palpite e adivinhação, uma pitada de fofoca ("conheço alguém envolvido na investigação que disse que...") mas pouca base real. Como sempre, nosso mercado se alimenta e retroalimenta de muito FUD e desinformação. Em casos de grande atenção, como esse, há uma histeria coletiva em compartilhar qualquer tipo de informação sobre o caso, sem preocupação em verificar a fonte ou analisar a veracidade.
Rapidamente logo nos primeiros dias alguns "especialistas" apontaram que o ataque teria sido realizado pelo grupo "Plump Spider", e que todo o modus operandi condizia com o grupo (detalhe: na ocasião, não havia qualquer indicação de como o ataque teria ocorrido).
Ou seja, dentre centenas (ou milhares?) de grupos cibercriminosos brasileiros, alguns com ligações com o crime organizado, existem apenas 2 ou 3 catalogados pela gringolândia. Será que essa pressa de algumas pessoas ao atribuir o ataque ao Plump Spider é fruto de análise precisa, ou puro comodismo?
Um relatório sem qualquer conexão com a realidade foi compartilhado em diversos grupos e virou tema de podcasts. Esse relatório até mesmo apontava como certo qual seria a vulnerabilidade (CVE) responsável pela invasão à C&M. Um youtuber, uma pessoa que se declara especialista de segurança, destilou diversas groselhas sobre o caso e fez um video inteiro sobre o tal relatório fantasioso, como se ele tivesse descoberto como foi o ataque (não vou citar o canal e nem colocar o vídeo aqui por vergonha alheia).
Atualização (06/07): Conforme as investigações sérias, da polícia, avançam, surgem novas informações na Imprensa sobre o ataque ao sistema financeiro, e a C&M finalmente publicou uma nota oficial sobre o incidente. A C&M, além de reforçar que a fraude ocorreu por uso de uma credencial de funcionário e que não houve vulnerabilidade no seu sistema, relatou na nota que utilizou o MED para recuperar parte dos valores!
Vejam algumas novidades nesses últimos dias:
A Polícia Civil de São Paulo informou que a BMP, uma das instituições afetadas pelo ataque hacker ao sistema financeiro, perdeu R$ 541 milhões. Ela foi a única empresa afetada que registrou boletim de ocorrência e que se manifestou publicamente;
Segundo o inquérito da Polícia Civil de São Paulo, após acessar a conta reserva da BMP, os criminosos desviaram R$ 541 milhões através de 166 transferências para 29 diferentes instituições financeiras e 79 pessoas - quatro delas receberam, ao todo, mais de R$ 100 milhões. Parte das instituições identificadas, que inclui bancos tradicionais e instituições conhecidas, já estornou o dinheiro por meio do sistema de devolução do Pix (MED);
Segundo a BMP, as transações fraudulentas começaram às 2h03 e o último Pix tirando dinheiro do BMP foi registrado às 7h04;
As transações fraudulentas que desviaram dinheiro da conta da BMP totalizaram R$ 541.019.034,96;
O Banco Central suspendeu o acesso ao sistema Pix de seis instituições de pagamento: Voluti Gestão Financeira, Brasil Cash, S3 Bank, Transfeera, Nuoro Pay e Soffy;
Uma das fintechs que estão na mira da polícia, a Soffy, recebeu 270 milhões desviados do BMP em 69 transferências. Ela não aparece no cadastro do Banco Central com autorização para operar como instituição de pagamento. Dois beneficiários se destacam: um recebeu sete transferências, totalizando R$ 44 milhões, e outro recebeu R$ 20 milhões, fragmentados em quatro transações;
Aparentemente, os cibercriminosos conseguiram transformar em criptomoeda pelo menos cerca de 160 a 220 milhões de reais.
Para quem é mais atento, a XKCD já tinha dado sinais de como esse golpe ocorreu (e isso se aplica a grande maioria dos ciberataques):
As noticias e fofocas diminuiram muito depois que o incidente completou sua primeira semana. Na minha opinião, isso aconteceu em parte pporque a descoberta de que um funcionário vendeu suas credenciais de acesso jogou por terra todas as teorias mirabolantes da galera que gosta de viajar na maionese: não era CVE, zero day, comprometimento de API, grupo hacker famoso, etc. As notícias sobre o assunto quase cessaram por completo. Mas ainda assim tenho algumas coisas para atualizar nesse post sobre o caso:
Ainda no final da semana em que o ataque foi descoberto, circularam em alguns grupos de whatsapp uma planilha com, supostamente, a lista de bancos que receberam o dinheiro desviado da BMP. Inicialmente eu não ia compartilhar essa informação, mas colegas que tiveram contato com a investigação confirmaram que ela é real e eu achei uma reportagem da Metrópoles que publicou ela:
A propósito, a mesma reportagem mostra que a Soffy e a Transfeera, as duas fintechs que mais receberam transferências do dinheiro desviado da BMP, R$ 360 milhões, acumulam queixas por abrigarem contas de golpistas.
A imprensa também descobriu, e alardou, que a Soffy Soluções de Pagamentos está registrada em nome de um ex-cozinheiro gaúcho que fez carreira trabalhando em restaurantes no Mato Grosso do Sul - levantando a suspeita de que ele seria um laranja. Em maio deste ano, ele se tornou único sócio da empresa, adquirindo todas as cotas pelo valor de R$ 1 milhão;
Uma reportagem do jornal Valor Econômico indicou que, segundo a Polícia Civil de São Paulo, mais dois bancos denunciaram ter sofrido um prejuízo com o ataque à C&M, tendo sido desviados R$ 184 milhões e R$ 49 milhões de cada um deles. Os nomes das instituições não foram revelados.
Em 11/07 o portal Tecmundo publicou uma matéria sobre um relatório desenvolvido em parceria com a empresa Zenox, trazendo supostas descobertas sobre o ataque à C&M Software. Totalmente especulativo, o relatório não aponta fatos, apenas traz novas especulações travestidas de evidências. A reportagem chega a dizer que "a Zenox realiza uma análise profunda sobre como a cadeia de suprimentos foi atacada" - como diriam os americanos, "bullshit". A reportagem e o relatório destacam, principalmente, que alguns meses antes do ataque à C&M Software, foram encontradas mensagens de criminosos em grupos no Telegram buscando por gerentes que poderiam ser aliciados para golpes. Mas a reportagem não mostra qualquer evidência de que estas mensagens estariam conectados ao golpe bilionário de 30/06. O que a reportagem não diz é que esses tipos de mensagens são extremamente comuns em fóruns criminosos, acontecem diariamente há anos.
Na minha humilde opinião, a única coisa que vale a pena mesmo do relatório da Zenox é parte de sua conclusão, aonde diz que:
“No setor financeiro, a reputação é um ativo valioso. Por receio de prejuízos à imagem, penalidades regulatórias ou perda de confiança do mercado, é comum que instituições financeiras que sofrem ataques escolham o silêncio. Esse isolamento enfraquece a capacidade coletiva de resposta. As táticas, técnicas e procedimentos (TTPs) utilizados pelos atacantes acabam ficando restritos à instituição que sofreu o ataque, impedindo que outras se preparem ou aprendam com o ocorrido”.
“Essa cultura do silêncio cria o ambiente ideal para os criminosos. Eles atacam uma instituição, aprendem com os erros e repetem a estratégia na próxima, que permanece completamente alheia ao risco iminente. Essa falta de compartilhamento de informações impede a criação de uma defesa coletiva mais robusta — algo que poderia funcionar como uma espécie de “imunidade de rebanho” cibernética”.
O comediante Afonso Padilha tem um vídeo muito legal, no YouTube, de um standup onde ele conversou com a platéia sobre diversos golpes que aconteceram: "AFONSO PADILHA - MELHORES (piores) GOLPES #1".
O vídeo tem 23 minutos e vale a pena assistir, é bem divertido:
E vale a pena compartilhar esse vídeo com os usuários finais, como parte de campanhas de conscientização.
Ah, tem esses dois videos que também são bem legais:
A Fortinet lançou em janeiro desse ano, para toda América Latina, o livro infantil “Cyber Safe: Dicas de uma cachorrinha para segurança na Internet“. O livro está disponível on-line gratuitamente para conscientizar as crianças, e pretende ajudar a tornar o mundo digital mais seguro para todas as crianças
Nos dias de hoje, as crianças começam a acessar a Internet antes mesmo de aprender a ler, e muitas vezes sem o necessário cuidado.
O livro da Fortinet conta a história da Lacey e Gabbi em uma aventura cibernética divertida e segura! O livro "Cyber Safe" é uma maneira divertida e lúdica de explicar o mundo digital para as crianças, aprendendo como se comportar e como se manter seguro on-line.
O livro foi criado por duas autoras. Renee Tarun é uma mãe com mais de 20 anos de experiência em segurança cibernética, é vice Chief Information Security Officer (CISO) na Fortinet e teve passagem na Agência de Segurança Nacional (NSA) dos Estados Unidos. Susan Burg é professora certificada pelo Conselho Nacional dos EUA, com 24 anos de experiência em ensino.
A Flare produziu um relatório interessante com várias estatísticas sobre os ciberataques de sequestro de contas ("Account Takeover", ou "ATO")
Um ataque de sequestro de conta ocorre quando um cibercriminoso ou agente de ameaça obtém acesso não autorizado a uma conta de um usuário, seja em uma rede, site ou aplicativo - seja uma conta pessoal ou corporativa. A partir do acesso não autorizado, os invasores têm inúmeras maneiras de explorar ou monetizar esse ataque.
Os cibercriminosos têm usado diversos métodos para realizar o sequestro de contas, incluindo o tradicional phishing, engenharia social, obtenção de dados através de vazamentos de credenciais, ataques de força bruta ou simplesmente a adivinhação de senhas fracas. Também existem os malwares especializados em roubo de credenciais, que chamamos genericamente de infostealers.
Veja algumas das principais conclusões do relatório da Flare:
A exposição aos ataques de sequestro de contas varia de acordo com o setor, com mídias sociais, aplicativos em nuvem e plataformas de entretenimento apresentando o maior número médio de sessões comprometidas mensalmente;
A taxa média de crescimento anual de casos de contas expostas é de 28%, o que está amplamente ligado à proliferação de malwares infostealer;
O impacto econômico do ATO e do sequestro de sessão é significativo, e considera:
Custos de mão de obra para investigações de segurança (~US$ 26,2 milhões anuais para uma grande plataforma de streaming).
Perdas por fraude com sequestros de contas (~US$ 7,5 milhões anuais).
Risco de rotatividade de clientes, que pode levar a dezenas de milhões em perda de receita a cada ano.
Os malwares do tipo infostealer são uma das principais fontes de credenciais e tokens de sessão roubados
As estimativas da Flare apontam que a maioria dos casos de roubo de sessão acontecem com sites de mídias sociais, seguido por grandes provedores de serviços de Nuvem e SaaS:
Essa informação é bem interessante: As perdas decorrentes de atividades fraudulentas após uma invasão de conta podem variar bastante, dependendo do setor e do tipo de aplicativo web envolvido. Por exemplo, contas de serviços de streaming geralmente apresentam riscos de fraude menores, mais ou menos limitados ao valor de suas assinaturas mensais. Por outro lado, contas de comerciantes em plataformas de e-commerce podem resultar em perdas na ordem de dezenas de milhares de dólares ou mais. Eles criaram um gráfico que resume as perdas estimadas por setor e as diversas maneiras de explorar uma conta comprometida:
Se engana quem pensa apenas na Defcon e Black Hat, dois dos maiores de eventos de segurança do mundo. A primeira semana de agosto concentra tantos eventos de cibersegurança em sequência que costuma ser chamada de "Hacker Summer Camp". De fato, a Defcon e a BlackHat acabaram atraindo outros eventos, no decorrer dos anos, tornando a semana inteira uma experiência única e imperdível - um mergulho na cultura hacker.
Veja só a agenda da primeira semana de agosto desse ano:
(*) De 02 a 05/08 a Black Hat oferece seus treinamentos, uma grade recheada de treinamentos de alto nível - e alto custo, claro, rs.
Ou seja, tem evento para todos os públicos, do hackudão ao CISO.
Nesse ano a grande novidade é que a BSidesLV será estendida para dois dias e meio, começando na segunda-feira (até então, eles começavam na 3a feira e o segundo dia encavalava com a Black Hat - o que não era um problema para quem tinha pouca grana e não iria na Black Hat)! Mas a BSidesLV desse ano terá dois dias inteiros de conteúdo e atividades na segunda e terça-feira, com meio dia de sessões na quarta-feira. A famosa pool party deles continuará acontecendo na quarta-feira à noite.
Para quem não conhece, a The Diana Initiative é uma conferência voltada para a diversidade, comprometida em ajudar todas as pessoas sub-representadas em Segurança da Informação. Vale lembrar que, desde o ano passado, temos também a La Villa Hacker, uma village dentro da Defcon, organizada pelo pessoal da América Latina.
O vídeo, produzido pela PUB Produções, conseguiu sintetizar em 9 minutos o que foi aquele domingo incrível da BSidesSP. A descrição do evento, feita pelo Thiago Bordini, se mesclou com imagens e depoimentos dos participantes. O Bordini arrasou na sua narrativa sobre a BSidesSP!
Eu só quero deixar registrado uma pequena correção, por puro preciosismo (aos 46 segundos): nós entramos para a família BSides global na nossa 3a edição, em março de 2012. Nós realizamos as duas primeiras edições em 2011 já seguindo mesmo o formato e modelo da BSides, mas inicialmente com outro nome: "Conferência O Outro Lado (Co0L)".
Aproveite e veja os vídeos das palestras da BSidesSP 2025. Estamos subindo alguns vídeos no decorrer dos próximos dias.
A Conferência Security BSides São Paulo (BSidesSP) é uma conferência sobre segurança da informação e cultura hacker, organizada por profissionais que trabalham na área, com o objetivo de promover a inovação, discussão e a troca de conhecimento entre os pesquisadores de segurança, profissionais e estudantes. além de divulgar os valores positivos e inovadores da cultura hacker. A BSidesSP faz parte do circuito global de conferências Security BSides, presentes em mais de 60 países.
.png)
