Ainda nem deu tempo de conhecermos os detalhes sobre o ataque à Sinqia nessa última sexta-feira (29/08) e, agora há pouco, tomamos conhecimento de um novo ataque. Desta vez, até aonde se sabe, foi uma tentativa de fraude diretamente contra uma instituição, em vez de atacarem um terceiro, provedor de tecnologia bancária.
A nova vítima, a Monbank (ou Monetarie) é uma sociedade de crédito baseada em Porto Alegre, que hoje sofreu uma tentativa de fraude, aparentemente de R$ 5 milhões.
Um alerta circulou hoje mais cedo entre as instituições financeiras, e agora a tarde a empresa colocou uma notificação oficial em seu site.
Segundo a Monbank, hoje de manhã (02/09), eles identificaram movimentações suspeitas no ambiente digital, na própria conta de reserva institucional do banco. Não foram afetadas as contas privadas dos clientes. O time de segurança cibernética do Monbank identificou o ataque e imediatamente interrompeu as operações da empresa - e comunicou aos órgãos oficiais competentes. Foram detectadas tentativas de invasão envolvendo o sistema STR (utilizado para transferências bancárias, como TEDs) e o sistema PIX.
O Monbank alega que conseguiu recuperar R$ 4,7 milhões dos R$ 4,9 milhões desviados.
Como destacou muito bem o portal O Bastidor, um dos primeiros a noticiar o caso, "Os três ataques apresentam semelhanças no modo de operação. O acesso ocorre a partir do uso de credenciais válidas — logins de funcionários de bancos e empresas, vendidos a grupos criminosos. Com elas, os hackers criminosos manipulam o sistema de mensageria do Pix, responsável pela comunicação entre instituições financeiras e o Banco Central e, em alguns casos, entre bancos e intermediadoras. A partir daí, fazem múltiplas transferências para contas de laranjas em diferentes instituições, em sequência rápida, para dificultar o rastreamento da origem dos recursos. Por fim, os valores são convertidos em criptomoedas.".
Na tarde de sexta-feira, 29/08 começou a circular em alguns grupos de WhatsApp da galera de cibersegurança uma mensagem supostamente enviada pelo Banco Central, direcionada às instituições financeiras, alertando sobre um suposto novo ataque ao sistema financeiro, aparentemente direcionado ao banco HSBC:
#URGENTE#
Ataque ao Banco HSBC BANCO 269 ISPB 53518684
Após às 11:00 saíram PIX de valores expressivos
Devido ataque a essa instituição
O PIX foi tirado do ar com isso não será possível devolução via MED nesse momento
Peço pfv a todos comunicar ao monitoramento para bloqueio dos valores recebidos
Observação Bradesco adquiriu o HSBC que se tornou Kirton Bank
#sextafeiradamaldade
Muita preocupação começou a surgir na sexta-feira e logo no sábado de manhã veio a bomba!!! Conforme reportado primeiro pelo portal Neofeed, cibercriminosos invadiram os sistemas da Sinqia, uma das principais provedoras de sistemas de core bancário, e conseguiram desviar milhões de reais via diversas transferências via PIX. Até aquele momento, foram identificados desvios em contas do banco HSBC. A reportagem compartilhou uma nota oficial da Sinqia, que dizia entre outras coisas:
No dia 29 de agosto, a Sinqia detectou atividade suspeita no ambiente Pix. Nossa equipe agiu rapidamente e iniciou uma investigação para determinar a causa do incidente. Estamos trabalhando com o apoio dos melhores especialistas forenses nisto. Já estamos em contato com clientes afetados, que compreendem um número limitado de instituições financeiras.
Neste momento, verificamos que o incidente se limita apenas ao ambiente Pix. Não há evidências de atividade suspeita em nenhum outro sistema da Sinqia além do Pix e esse problema afeta apenas a Sinqia no Brasil. Além disso, neste momento, não temos indicação de que quaisquer dados pessoais tenham sido comprometidos.
Enquanto nossa investigação ainda está em andamento, colocamos em prática um plano detalhado para alcançar uma restauração completa. Primeiro, isolamos o ambiente Pix de todos os outros sistemas da Sinqia e o desconectamos proativamente do Banco Central, enquanto conduzimos nossa análise.
Em segundo lugar, por precaução, estamos trabalhando ativamente para reconstruir os sistemas afetados em um novo ambiente com monitoramento e controles aprimorados. Também estamos trabalhando com especialistas externos adicionais para nos ajudar a acelerar esse processo e complementar os recursos de nossa própria equipe. Depois que o ambiente for reconstruído e estivermos confiantes de que está pronto para ser colocado de volta em funcionamento, o Banco Central irá revisá-lo e aprová-lo antes de colocá-lo novamente online. (...)
Sim, prestes a completar 2 meses após o caso da C&M Software, o golpe bilionário ocorrido no final de julho, vemos o cenário se repetir! Esse novo ataque envolvendo a Sinqia em muito se assemelha ao ataque à C&M software - embora ainda não há informações suficientes para conectar os dois casos.
Mais esse caso de ataque milionário às empresas que fornecem tecnologia para o sistema financeiro está deixando a galera da área desesperada!
O HSBC confirmou o incidente em nota oficial:
Os relatos variam entre 400 milhões de reais, R$ 670 milhões, 800 milhões ou até 1 bilhão de reais. Olha que curioso: em 2023 a Sinqia foi comprada pela porto-riquenha Evertec, em uma transação de R$ 2,5 bilhões - ou seja, o prejuízo do golpe pode representar quase metade do valor da compania!
Segundo uma reportagem no G1, o ataque provocou o desvio de cerca de R$ 420 milhões por meio de transferências realizadas via Pix, sendo desviados R$ 380 milhões do banco HSBC e outros R$ 40 milhões da instituição financeira Artta. O Banco Central conseguiu bloquear R$ 350 milhões desse total desviado.
Nota oficial da Artta, divulgada em 30/08:
Mas uma matéria publicada no portal Neofeed, o primeiro a noticiar esse novo grande golpe milionário contra o sistema financeiro brasileiro, "há indícios de que pelo menos R$ 800 milhões estiveram no alvo dos criminosos e 20 instituições foram afetadas."
Provando que não existe nada sigiloso que não apareça nos grupos de whatsapp, já circulou inclusive uma suposta lista com as instituições financeiras que foram roubadas!
As investigações ainda estão em andamento e vou atualizar esse post sempre que surgir alguma novidade relevante.
Em paralelo, o Banco Central está prometendo aumentar a eficiência do MED e e a Receita Federal vai aumentar os controles sobre as Fintechs. O MED, na verdade, nunca teve utilidade prática mesmo pois os criminosos movimentam o dihneiro mais rápido do que a vítima consegue denunciar e o banco consegue investigar. Nem mesmo o próprio Banco Central conseguiu usar o MED para recuperar o dinheiro roubado no ataque da C&M Software, rs.
Aproximadamente R$ 710 milhões em transações foram processadas indevidamente, impactando duas instituições financeiras clientes da Sinqia;
Os resultados preliminares da investigação forense da empresa indicam que as transações não autorizadas foram introduzidas ao ambiente Pix por meio da exploração de credenciais legítimas de fornecedores de tecnologia da informação da Sinqia;
A empresa acredita que o incidente se limitou ao ambiente Pix da Sinqia e não identificou nenhuma atividade não autorizada em nenhum outro sistema.
Essas informações constam no Relatório "8-K" enviado pela Evertec à SEC (a Comissão de Valores Mobiliários dos Estados Unidos) em 02/09. A Evertec é controladora da Sinqia.
Como resumiu muito bem o InfoMoney: "O volume de recursos desviados do Pix no ataque hacker à empresa de tecnologia Sinqia já chega a cerca de R$ 710 milhões — inicialmente, estimava-se R$ 420 milhões. Foram R$ 669 milhões desviados do HSBC e R$ 41 milhões da sociedade de crédito direto (SCD) Artta. Desse montante, R$ 589 milhões já foram bloqueados pelo Banco Central, o que corresponde a 83% do valor."
O InfoMoney também destaca algo interessante: "Em relação ao destino das transferências, no caso da Sinqia, ao contrário do ataque via C&M, a maioria dos valores foi para contas em grandes bancos, um indicativo de que é necessário apertar as regras para todos, e não apenas para fintechs, explicam interlocutores."
A Apura divulgou um mapeamento baseado no MITRE ATT&CK:
Uma reportagem do jornal Valor, publicada em 04/09, entre outras coisas disse que, segundo o Banco Central, as credenciais de autenticação das instituições financeiras, necessárias para aprovar as transações PIX, estavam em poder das PSTIs (aparentemente, no caso da C&M e da Sinqia).
O portal O Bastidor listou os 11 bancos que receberam o dinheiro desviado no ataque da Sinqia. A lista inclui grandes bancos como Itaú, Caixa, Banco do Brasil, Bradesco, Safram, Santander e C6 Bank.
O Felipe Pr0teus fez um questionamento bem provocativo em seu Linkedin: se duas das 7 PSTIs ativas, aprovadas e homologadas pelo Banco Central, já foram invadidas e causaram prejuízos milionários, será que as demais também já não estão comprometidas? Elas seriam as próximas vítimas?
OBS: Quem olhar o post dele lá no Linkedin, vai ver que o nome de uma dessas empresas foi omitido, rs. Eu tirei o screenshot antes dessa atualização no post!
No dia 12 de setembro a Polícia Federal prendeu em flagrante oito suspeitos pelos ataques recentes contra o sistema financeiro nacional, envolvendo a C&M Software e a Sinqia. Segundo relatado pela imprensa, as investigações indicam que, no momento da prisão, os acusados se preparavam para praticar outro golpe, desta vez envolvendo a Caixa Econômica Federal. Todos são jovens, com idades entre 22 e 46 anos: o preso apontado como líder do grupo tem 39 anos.
Segundo a imprensa, a PF chegou aos suspeitos após um funcionário da agência da Caixa Econômica Federal no Largo da Concórdia, no Brás (São Paulo), avisar que um computador da agência contendo uma senha de acesso à VPN (Rede Privada Virtual) seria furtado. Os agentes identificaram e seguiram os suspeitos.
Cá entre nós, muitos profissionais da área acharam essa prisão muito estranha, pela forma que os fatos foram descritos, e acreditamos que não se trata do mesmo grupo. O modus operandi não parece nem um pouco com os casos na C&M Software e na Sinqia. E essa foto acima, do teclado colorido, virou piada em alguns grupos.
Em resposta a esses ataques recentes ao sistema financeiro nacional, no dia 05/09 o Banco Central anunciou uma série de medidas para reforçar os processos e protocolos de segurança das instituições financeiras. Entre as novas regras, o BC aumentou as exigências regulatórias, e também estabeleceu um limite de R$ 15 mil no valor das operações de TED e Pix para instituições de pagamento não autorizadas e para as instituições que se conectam ao sistema financeiro por meio das PSTIs (Prestadores de Serviços de Tecnologia da Informação). Além disso, o BC passou a obrigar as instituições financeiras a rejeitar pagamentos para contas suspeitas de envolvimento em fraudes. (isso não é obvio? precisava de uma orientação do Banco Central para isso!?)
Resultado imediato: 3 bancos foram atacados no dia seguinte!!!
Em 12/03/2026 o Ministério Público do Estado de São Paulo, por meio do CyberGAECO, e a Polícia Federal deflagraram a Operação Cofre Digital para dar cumprimento a três mandados de prisão temporária e cinco mandados de busca e apreensão nos Estados de São Paulo e Paraná, de envolvidos no ataque à Sinqia. A ordem judicial também determinou o bloqueio de bens e valores de quatro pessoas físicas e 28 pessoas jurídicas, até o limite de R$ 28 milhões para cada uma delas.
PS: Pequena atualização em 01/09. Atualizado com dados relevantes em 02/09. Nova atualização em 03, 05, 08, 16, 19, 24 e 25/09. Post atualizado em 13/03/2026, com informações da Operação Cofre Digital.
PS/2: O Banco Central tem uma página com as informações técnicas sobre o sistema financeiro, que inclui também a lista com as 7 PSTIs aprovadas e as 2 homologadas pela instituição: ABBC, C&M Software, cokei, JD Consultores, MAPS, Sinqia, Stark, Tivit e Topaz.
PS3: Em 02/09 soubemos de mais um golpe contra uma instituição financeira, envolvendo desvios da conta reserva, mas que aparentemente não está relacionado à invasão da C&M Software nem da Sinqia. Veja aqui no blog: Terceiro ataque ao sistema financeiro brasileiro!
Quem diria que uma fake news poderia influenciar um governo a ponto de derrubar uma normativa oficial da Receita Federal?
Pois, a grosso modo, foi isso que aconteceu nos primeiros dias de 2025, após a sociedade perceber que havia entrado em vigor uma normativa da Receita que estendia o monitoramento obrigatório de transações financeiras para transferências de PIX. Isso se aplicaria para transações de cartões de crédito e plataformas de pagamento acima de R$ 5.000 para pessoas físicas e se aplicava para as Fintechs. A medida entrou em vigor em 01 de janeiro e chamou a atenção da imprensa, começou a ser compartilhada nas redes sociais no inicio de 2025 e rapidamente descambou para as fake news.
Graças ao compartilhamento de notícias sobre o monitoramento de transações com o PIX, de repente diversas fake news disseminaram nas redes sociais dizendo que esse monitoramento iria ser usado para supostas novas tributações. A falsa "taxa do Pix" é uma das fake news que mais repercutiram.
Criminosos não perderam temo e, segundo imagens compartilhadas em redes sociais e na imprensa, começaram a enviar supostas cobranças das taxas.
Mas o volume de desinformação e fake news gerados sobre o assunto foi tão grande e criou tanta polêmica, que o governo não conseguiu desmentir e acabou desistindo de aplicar a nova regra de monitoramento das transações.
Segundo um levantamento da CNN, o número de transações via Pix caiu cerca de 15,3% em janeiro na comparação com dezembro, em consequência dessa onda de notícias falsas sobre supostas taxas do PIX. O resultado representa a maior queda para o período desde a implementação do sistema em 2020. Nos primeiros 14 dias de janeiro de 2025, o Sistema de Pagamentos Instantâneos (SPI) do Banco Central contabilizou 2,286 bilhões de operações via Pix ante 2,699 bilhões no mesmo período de dezembro de 2024.
Esse vídeo do Porta dos Fundos (muito divertido, por sinal), comenta sobre a fake news sobre o imposto do PIX a partir dos 5:15:
Recentemente o influenciador Raphael Vicente (@raphaelvicente), que tem mais de 1 milhão de seguidores no Instagram, publicou alguns stories em seu perfil promovendo um jogo online e um suposto esquema de “investimento“ que, na verdade, é um golpe já bem conhecido, que promete retornar dinheiro com transações via Pix - conhecido como "Robô do PIX" ou "Urubu do Pix".
Os posts no story eram bem feitos, usando imagens do próprio influenciador. Provavelmente por conta de reclamação dos seus seguidores, também foi feita uma publicação no perfil confirmando a "veracidade" dos stories suspeitos.
Para quem está mais atento, era muito óbvio que a conta dele no Instagram havia sido invadida para publicar essas chamadas promovendo golpes. Foram publicados dois conjuntos de posts:
Alguns stories faziam propaganda de um jogo online que, supostamente, retornava dinheiro na medida em que a vítima jogava. Nesse tipo de golpe, os criminosos pedem que a vítima faça depósitos em dinheiro no jogo, prometendo que ela receberá muito dinheiro rapidamente. A vítima acumula créditos no jogo, mas o resgate do dinheiro nunca acontece;
Um story com um suposto investimento em PIX, em que a pessoa faz uma transação (ex, de R$ 300) e receberia imediatamente uma quantia maior (R$ 1.000, por exemplo). Para dar credibilidade ao golpe, o post dava a entender que o ganho de dinheir era fruto de transação com criptomoedas pela Binance (que, obviamente, não é verdade).
No dia seguinte, 01/12, o Raphael recuperou o seu Insta e publicou um vídeo em seu story explicando o ocorrido. Os stories anteriores promovendo os “investimentos” fraudulentos sumiram, o post de esclarecimento foi apagado e a descrição da Bio dele voltou ao normal (no dia do golpe a bio apresentava com um link para o site do suposto jogo). No dia d incidente ele avisou no Twitter (x) que sua conta no insta tinha sido invadida.
Segundo as explicações do próprio Raphael divulgadas em seu story, alguém consegui clonar a sua linha telefônica (provavelmente através do golpe do SIM Swap ou da portabilidade), e assim obteve acesso ao seu Whatsapp e sua conta no Instagram. Além dos golpes aplicados pelo Instagram, ele disse que tentaram pedir dinheiro emprestado para seus conhecidos, via Whatsapp.
Não é a primeira vez que esse tipo de golpe acontece. É muito comum, na verdade, criminosos invadirem contas em redes sociais com muito seguidores para promover golpes disfarçados de falsos esquemas de investimento.
Infelizmente, por ganância, muita gente ainda cai nesses golpes. Não existe forma de ganhar dinheiro fácil, nenhum investimento milagroso pode retornar altos lucros imediatamente.
Além do incidente em si, que provavelmente fez muitas vítimas devido a reputação do Raphael Vicente, é lamentável o longo tempo que as empresas de telefonia e redes sociais geralmente demoram para atender o cliente e recuperar seu acesso quando suas contas são comprometidas.
Desde o final do ano passado (principalmente entre novembro e dezembro), os bancos brasileiros começaram a identificar uma nova onda de malwares bancários atuando ativamente no Brasil, especializados em fraudar transações via PIX, o meio de pagamento instantâneo tão popular entre os brasileiros. Segundo a Febraban, o Pix encerrou 2022 com mais de 24 bilhões de transações, média de 66 milhões de operações diárias, consolidando-se como meio de pagamento mais popular do Brasil. As transações do Pix superam as de cartão de débito, boleto, TED, DOC e cheques no Brasil, as quais, juntas, totalizaram 20,9 bilhões.
Essa popularidade também se aplica aos cibercriminosos: o PIX é a melhor forma de roubar rapidamente todos os fundos de uma conta que foi invadida. Os criminosos costumam enviar o dinheiro para uma (ou mais) contas laranja e distribuir entre várias outras, para impossibilitar o rastreio e a recuperação do dinheiro. Segundo o Banco Central, foram registrados mais de 739.145 crimes envolvendo o PIX entre janeiro e junho de 2022, alta de 2.818% em comparação ao mesmo período de 2021.
As redes sociais possuem diversos relatos de brasileiros afirmando que, ao realizarem transferências bancárias, são surpreendidos no final da transação pois o montante transferido foi direcionado para a conta de outra pessoa.
OBS: Embora esses malwares ataquem diversas instituições financeiras, é incrível ver como a imprensa e as redes sociais dão grande destaque quando a vítima é cliente do Nubank!!!!
Hoje, existem pelo menos seis sete famílias de malware que visam usuários do PIX:
PixStealer e MalRhino
BrazKing
PixPirate
BrasDex
GoatRAT
PixBankBot
Brats (NOVO)
Isso sem falar os malwares de acesso remoto (RAT) para celulares, que permitem ao criminoso tomar controle total do aparelho e, inclusive, acessar os apps bancários da vítima. Esses RATs já existem há alguns anos e foram popularizados pela Kaspersky com o nome de "Golpe da Mão Fantasma". Desde 2020 a Kaspersky lançou relatórios sobre os m
Os primeiros dois malwares comprometendo transações Pix a ser identificado por empresas de segurança foram o PixStealer e sua variante MalRhino em setembro de 2021, reportados pela Checkpoint. O PixPirate e o BrasDex foram descobertos no final de 2022 pela Cleafy e pela Threat Fabric, respectivamente. O PixBankBot foi reportado pela Cyble no final de Maio de 2023.
Além do diagrama acima, que tirei do report da Cyble, também preparei uma linha do tempo com os principais malwares direcionados a manipular transações financeiras com o PIX:
Setembro / 2021 - A Checkpoint descobre o PixStealer e o MalRhino
Novembro / 2021 - IBM Trusteer anuncia uma nova versão do BrazKing
Dezembro / 2022 - PixPirate descoberto pela Cleafy
Dezembro / 2022 - BrasDex descoberto pela Threat Fabric
Março / 2023 - Cyble publica relatório sobre o GoatRAT
Maio / 2023 - Cyble anuncia a descoberta do PixBankBot
Setembro / 2023 - Kaspersky anuncia a descoberta do Brats
Outubro / 2023 - Kaspersky anuncia a descoberta do GoPIX (NOVO)
Dezembro / 2023 - TrendMicro publica relatório sobre o ParaSiteSnatcher (NOVO)
Esses códigos maliciosos foram desenvolvidos especificamente para atacar transações via Pix realizadas em aplicativos bancários em celulares Android. Eles conseguem desviar dinheiro da conta da vítima após interagir com o aplicativo bancário de forma a manipular as transações realizadas no próprio celular da vítima.
Normalmente esses malwares tem como alvo diversas instituições financeiras no Brasil, nas quais conseguem efetuar fraudes alterando os parâmetros de transação quando o cliente tenta realizar transferências e pagamentos via PIX. Os malwares são direcionados para usuários Android e utilizam o recurso de acessibilidade do Android para interceptar a comunicação do app com o usuário, e assim capturar as informações digitadas pelo usuário, sobrepor telas e interagir diretamente com o app bancário.
Os malwares direcionados ao PIX utilizam duas técnicas distintas:
Acesso Remoto (RAT): O malware permite acesso remoto ao celular da vítima, e assim, o criminoso consegue acessar qualquer coisa - em especial, os apps bancários. Esse tipo de trojan exige que o criminoso esteja online no momento em que a vítima acessa seu app bancário, pois neste caso o trojan sobrepõe uma tela falsa no celular (técnica chamada de "overlay") , enquanto o criminoso acessa seu aplicativo bancário e realiza as transações;
Automated System Transfer (ATS) para automatizar o processo de ataque e injeção de comandos necessários para realizar as transferências fraudulentas., como no caso do PixPirate e BrasDex. Neste caso, os malwares são adaptados para aplicativos bancários específicos. Eles identificam o momento em que o usuário se loga no app, e ao tentar fazer uma transação via Pix, o trojan coloca uma tela fake no celular (uma mensagem de espera, por exemplo), e por trás o trojan retorna para a tela anterior e faz uma nova transação, desta vez mandando todo o dinheiro da vítima para uma conta laranja. O trojan tira a tela fake e o app volta para a tela de confirmação, e o usuário acaba digitando sua senha para confirmar a transação fraudulenta, e não a original.
A infecção normalmente acontece graças a engenharia social, com o fraudador entrando em contato com a vítima (por phishing ou diretamente) e convencendo-a a instalar um aplicativo malicioso em seu celular. No caso mais comum, o fraudador se identifica como um funcionário do banco, fala para a vítima que ela sofreu uma tentativa de fraude em sua conta (para assustar a vítima) e pede que ela instale um aplicativo, com a desculpa de que seria um módulo de segurança ou uma nova versão do app. Esse aplicativo na verdade é o trojan bancário.
"Nada mais é do que o golpe do Acesso Remoto, que ficou conhecido popularmente como o golpe da Mão Fantasma. O fraudador entra em contato com a vítima se passando por um falso funcionário do banco ou ainda manda e-mails, links e mensagens em aplicativos. Usa várias abordagens para enganar o cliente: informa que a conta foi invadida, clonada, que há movimentações suspeitas, entre outras artimanhas."
Esses vírus esperam a vítima fazer o login em seu aplicativo bancário para iniciar sua operação, que inclui capturar a informação sobre saldo disponível na tela inicial e, posteriormente, sobrepor telas falsas para distrair a vítima enquanto executam os passos necessários para realizar as transações que irão transferir todo o dinheiro da vítima para contas de laranja. Isso é possível pois, graças ao serviço de acessibilidade do Android, os malwares são capazes de reconhecer os elementos da tela e os dados digitados pelo usuário. Em seguida, eles interceptam a interação da vítima com o aplicativo bancário e identificam quando ela tenta solicitar uma transferência via PIX. Neste momento, o malware irá sobrepor uma tela enquanto realiza os passos necessários para fazer uma transação para contas de terceiros.
Veja alguns detalhes sobre eles:
O PixStealer, descoberto pela Checkpoint em setembro de 2021, consistia em duas variantes diferentes de malware bancário, chamados PixStealer e MalRhino, distribuídos por meio de dois aplicativos maliciosos separados na Play Store do Google. Ambos os aplicativos maliciosos foram projetados para roubar dinheiro de clientes por meio do serviço de acessibilidade, intervindo na interação do usuário com o aplicativo bancário. O PixStealer sobrepunha uma falsa tela de sincronização enquanto realizava os comandos para fazer transferência de valores via PIX. A Checkpoint destaca que o PixStealer era um malware bem enxuto, que sequer utilizava uma C&C para evitar detecção. Enquanto o PixStealer era direcionado ao PagBank, o MalRhino atacava clientes dos bancos Inter, Original, PagBank, Next, Nubank e Santander;
O BrazKing é um malware que existe desde 2018, mas em 2021 a IBM Trusteer descobriu uma versão com características de permitir o acesso remoto (RAT) e técnicas mais avançadas de manipulação do dispositivo infectado. O vetor de infecção inicial é uma mensagem de phishing que afirma que o dispositivo está prestes a ser bloqueado devido a uma suposta falta de segurança, e solicita que o usuário ‘atualize’ o sistema operacional. O BrazKing não automatiza fraudes em dispositivos infectados, pois suas atividades são controladas remotamente pelo servidor C&C. Assim, os operadores do malware podem adaptar o ataque para cada banco com relativa facilidade. O BrazKing obtém o controle do dispositivo infectado explorando os serviços de acessibilidade, o que lhe permite obter informações do aparelho, fazer keylogging, ler mensagens de SMS, capturar a tela, etc. A sobreposição de telas é feita pelo recurso de webview. O servidor de controle (C&C) pode enviar um comando para o malware mostrar uma mensagem na tela e atrair o usuário para abrir o aplicativo bancário, ou para o próprio malware abrir o app bancário. Com o app aberto, o malware pode registrar as teclas digitadas, extrir a senha, assumir o controle, iniciar uma transação e obter as informações de autorização necessárias para concluir a transação (se for enviado senha por SMS). O BrazKing também é capaz de bloquear a tela do telefone e apresentar ao usuário uma tela de atraso;
O BrasDex foi descoberto no final de 2022 pela Threat Fabric, direcionado a 10 instituições financeiras do país (Banco do Brasil, Bradesco, Binance, Caixa, Inter, Itaú, Nubank, Original, PicPay e Santander). Até então, o malware já estava ativo há cerca de um ano, mas atacava apenas o banco Santander. Quando o correntista programa uma transação via PIX, direcionanda para um de seus contatos, uma nova tela aparece com a mensagem de carregamento ou espera, mas que se trata de uma máscara sobre a tela original. Por trás o malware está alterando valores e destinatários (como se a vítima desse o comando de retornar para a tela anterior e redigitasse os dados da conta de destino). Em seguida, o usuário recebe a tela para confirmar a transação, digitando sua senha. A vítima irá perceber o golpe somente quando a transferência for realizada e o comprovante for emitido;
O PixPirate é um trojan bancário direcionado às instituições financeiras do Brasil, focado em manipular transações via o Pix. O trojan para o Android usa API de serviços de acessibilidade para interceptar mensagens, desabilita o Google Play Protect, interceptar SMS e roubar senhas, entre outros. Ele é compartilhado disfarçado de aplicativo autenticador;
O GoatRAT, que ganhou uma nova versão batizada de FantasyMW, é um trojan bancário brasileiro para sistemas Android que utiliza a técnica de ATS para realizar transferências PIX automaticamente. Inicialmente, seus alvos eram clientes do Nubank, Banco Inter ou PagBank. Ele é comercializado em um canal no Telegram, por valores de R$ 5 mil por semana;
O PixBankBot, descoberto em maio de 2023 pela Cyble, é direcionado a roubar dinheiro através de PIX de clientes de 6 bancos brasileiros: C6 Bank, Itaú, Mercado Pago, Nubank, PagBank e PicPay. O malware se disfarça como um aplicativo PDF genuíno para atrair e infectar suas vítimas. Ele utiliza a técnica de ATS para manipular o app da vítima e, para isso, solicita que o usuário habilite o Serviço de Acessibilidade. O PixBankBot cria uma janela falsa sobrepondo a tela do app bancário para ocultar suas ações maliciosas que ocorrem em segundo plano. O malware obtém a chave PIX da conta de destino a partir de uma página no Pastebin e realiza uma transação PIX no valor total referente ao saldo da vítima. Para autenticar a transação, mesmo se ela exigir biometria, o PixBankBot apresenta uma tela falsa sob o pretexto de que precisa autenticar o usuário para finalizar uma atualização. Para evitar detecção, o malware se remove automaticamente ao executar a transferência ou se o saldo da conta cair abaixo de R$ 500,00;
O Brats foi descoberto pela Kaspersky em setembro de 2023. Segundo a emrpesa, o trojan bancário Brats, uma variação do malware Banbra, também direcionado a fraudar transações PIX. O malware modifica o destino dos fundos transferidos e o valor da transação, baseando-se no saldo da vítima. O termo “Brats” faz referência ao Brasil, país onde esse golpe é exclusivamente identificado até o momento, com “ats” derivando da sigla em inglês para "sistema automatizado de transferência". O trojan já foi detectado mais de 1.500 vezes de janeiro até setembro, segundo a Kaspersky;
O ParaSiteSnatcher foi descoberto pela TrendMicro em Novembro deste ano. Trata-se de uma extensão maliciosa para o Chrome capaz de identificar e interceptar transações via PIX. A extensão maliciosa foi projetada especificamente para atingir usuários na América Latina, especialmente no Brasil; ele exfiltra dados de URLs relacionadas ao Banco do Brasil e à Caixa Econômica Federal (Caixa). Também pode iniciar e manipular transações no PIX e pagamentos feitos por meio de Boleto Bancário. (NOVO)
A Zimperium descreveu as principais características dos malwares atuais:
Uso de um sistema de transferência automatizada (ATS) que inclui a captura tokens de autenticação multifator (MFA), iniciar transações e realizar transferências de fundos
Uso de engenharia social, como os cibercriminosos se passando por técnicos de suporte ao cliente direcionando as vítimas para baixar os trojans;
Uso de recurso de compartilhamento de tela ao vivo para interação remota direta com o dispositivo infectado (RAT);
Oferta dos malwares em pacotes de assinatura, que podem variar entre US$ 3 mil a US$ 7 mil por mês.
O fato é que, graças a popularização do PIX e, principalmente, a agilidade na movimentação do dinheiro, esses malwares bancários vieram para ficar e vão evoluir cada vez mais. O fato de explorarem o recurso nativo de acessibilidade dos celulares, que é uma funcionalidade muito importante, torna mais difícil a sua mitigação pelos bancos.
Também tem alguns links sobre o "golpe da mão fantasma", ou seja, malwares de acesso remoto (RAT) que também são usados para controlar o smartphone das vítimas, acessar o app bancário e transferir todo o dinheiro (normalmente via PIX):
Eu separei também alguns reports sobre as três famílias de malwares RAT para Android que a Kaspersky identificou nos últimos anos e deram origem ao termo "golpe da mão fantasma":
Eu pixo Tu pixas Ele pixa Nós pixamos Vós pixais Eles pixam
Eu pixei Tu pixaste Ele pixou Nós pixamos Vós pixaistes Eles pixaram
O PIX se popularizou no Brasil de forma meteórica. Segundo a Febraban, o Pix encerrou o ano de 2022 com mais de 24 bilhões de transações, média de 66 milhões de operações diárias. As transações do Pix superam as de cartão de débito, boleto, TED, DOC e cheques no Brasil, que juntas totalizaram 20,9 bilhões de transações. Foram transacionados R$ 10,9 trilhões pelo Pix no ano passado.
Portanto, não é a tôa que o celular é o canal dominante para realização de transações bancárias. Dentre os vários canais de atendimento disponibilizados pelas instituições financeiras, o preferido em 2022 foi o celular (66%), seguido dos pontos de venda no comércio (15%), computador (11%), outros canais (3%), caixas eletrônicos (3%), agências bancárias (2%). Ao todo, os brasileiros fizeram 163,3 bilhões de transações no ano passado.
OBS: Pelos meus remotos conhecimentos de gramática, eu acredito que o verbo Pixar é Transitivo Indireto.
