Uma sucess\u00e3o de ataques hacker reacendeu a desconfian\u00e7a em rela\u00e7\u00e3o \u00e0 seguran\u00e7a do sistema financeiro no Brasil. Em pelo menos dois deles, as contas de pagamento de institui\u00e7\u00f5es que conectam bancos ao sistema do Pix do Banco Central foram invadidas. Estima-se que perto de R$ 2 bilh\u00f5es tenham sido desviados.<\/p>\n
No in\u00edcio de julho, criminosos subtra\u00edram quantia estimada em mais de R$ 1 bilh\u00e3o. No fim de agosto, outros R$ 710 milh\u00f5es foram roubados. Depois desses ataques, houve pelo menos mais dois em setembro, por\u00e9m nenhum deles conseguiu desviar dinheiro relacionado ao Pix.<\/p>\n
A sucess\u00e3o de ataques levou o Banco Central a anunciar, na sexta-feira (5), uma s\u00e9rie de medidas para fortalecer a seguran\u00e7a do sistema financeiro e do Pix. Dentre elas, um limite de R$ 15 mil para TEDs e Pix de institui\u00e7\u00f5es de pagamento que n\u00e3o tenham autoriza\u00e7\u00e3o do BC e para aquelas que se valem de prestadores de servi\u00e7os de tecnologia da informa\u00e7\u00e3o (PSTIs) para realiz\u00e1-las.<\/p>\n
O BC tamb\u00e9m estipulou o m\u00ednimo de R$ 15 milh\u00f5es em caixa para credenciamento das prestadoras de servi\u00e7o ao sistema e antecipou de dezembro de 2029 para maio de 2026 o prazo para que institui\u00e7\u00f5es de pagamento solicitem autoriza\u00e7\u00e3o, entre outras iniciativas (saiba mais aqui)<\/em>.<\/p>\n Especialistas ouvidos pela Gazeta do Povo<\/strong> antes do an\u00fancio das medidas pelo BC avaliam que o sistema n\u00e3o ficou mais vulner\u00e1vel com o passar do tempo, mas que brechas existentes foram percebidas por criminosos e n\u00e3o foram sanadas, estimulando novas tentativas de invas\u00e3o.<\/p>\n Juan Ferr\u00e9s, economista e s\u00f3cio da Teros, uma plataforma de automa\u00e7\u00e3o para empresas, afirma que existe uma fragilidade no processo de mensageria que conecta o Pix e que permite esses ataques. Segundo o empres\u00e1rio, ela se deve \u00e0 forma como as institui\u00e7\u00f5es estruturam seus controles e mecanismos de autentica\u00e7\u00e3o.<\/p>\n \u201cN\u00e3o basta contar apenas com senha ou autentica\u00e7\u00e3o em dois fatores, \u00e9 necess\u00e1rio adotar uma camada mais robusta de seguran\u00e7a, com VPNs dedicadas, criptografia de dados, assinaturas digitais e m\u00faltiplas etapas de valida\u00e7\u00e3o que assegurem a integridade das movimenta\u00e7\u00f5es, al\u00e9m da verifica\u00e7\u00e3o de cobertura de saldos”, afirma.<\/p>\n Ele ainda explica que muitas transa\u00e7\u00f5es, principalmente nos ajustes de contas, n\u00e3o precisam ser liquidadas de forma instant\u00e2nea \u2014 as do Pix levam, em geral, dez segundos para serem efetuadas. Por essa raz\u00e3o, as institui\u00e7\u00f5es podem e devem definir cen\u00e1rios de uso para essas movimenta\u00e7\u00f5es, de modo a facilitar a cria\u00e7\u00e3o de processos mais segurose prevenir ataques.<\/p>\n \u201cOs dois ataques recentes exploraram justamente essa brecha no Pix, onde os invasores identificaram que era poss\u00edvel atacar diretamente as contas de reserva e se aproveitaram dessa fragilidade”, disse.<\/p>\n Para Pedro Magalh\u00e3es, s\u00f3cio da Pixley, uma fintech de pagamentos em criptomoedas, o ataque \u00e0 C&M no in\u00edcio de julho revelou falhas persistentes \u2013 e depois dele o sistema n\u00e3o foi fortalecido.<\/p>\n Na vis\u00e3o do empreendedor, o segundo ataque, realizado no dia 29 de agosto contra a Sinqia, provavelmente seguiu o mesmo padr\u00e3o do anterior, aproveitando a brecha no sistema do Pix.<\/p>\n A repeti\u00e7\u00e3o, afirma ele, n\u00e3o s\u00f3 demonstra que as vulnerabilidades n\u00e3o foram sanadas, mas tamb\u00e9m que h\u00e1, possivelmente, outros ataques j\u00e1 planejados em paralelo.<\/p>\n No intervalo de tr\u00eas dias, duas fintechs foram alvos de ataques contra o sistema Pix. Na ter\u00e7a-feira (2), o mercado foi alertado sobre ataque contra a Monetarie. Ao todo, teriam sido desviados R$ 4,9 milh\u00f5es, dos quais R$ 4,7 milh\u00f5es foram recuperados no mesmo dia.<\/p>\n Primeiramente, os criminosos teriam tentado se valer da mesma brecha no sistema do Pix. Ao terem o acesso bloqueado, a estrat\u00e9gia foi migrar para o sistema de mensageria de transfer\u00eancias TED, onde conseguiram realizar os desvios.<\/p>\n Prontamente, o mercado recebeu um alerta para bloquear transfer\u00eancias originadas na Monetarie, refor\u00e7ar o monitoramento cont\u00ednuo de todas as transa\u00e7\u00f5es financeiras e aumentar o n\u00edvel de autentica\u00e7\u00e3o e vigil\u00e2ncia em todos os sistemas de pagamento.<\/p>\n Na quinta-feira (4), criminosos miraram novamente o sistema Pix de uma fintech, cujo nome n\u00e3o foi revelado. Mesmo que n\u00e3o tenha havido desvio de recursos ou roubo de dados, o ataque suspendeu a gera\u00e7\u00e3o de query code do Pix pela empresa-alvo.<\/p>\n Segundo Pedro Magalh\u00e3es, da Pixley, a identifica\u00e7\u00e3o e a puni\u00e7\u00e3o dos hackers respons\u00e1veis pelos desvios s\u00e3o fundamentais para a preven\u00e7\u00e3o de novos ataques. \u201cEles raramente s\u00e3o descobertos, o que potencializa a recompensa”, afirma.<\/p>\n Ele ainda avalia que, de fato, h\u00e1 uma certa neglig\u00eancia por parte das empresas que realizam esse tipo de conex\u00e3o, desde a falta de controle de acesso com maior \u00edndice de seguran\u00e7a at\u00e9 o uso de melhores pr\u00e1ticas de cust\u00f3dia de chaves digitais.<\/p>\n VEJA TAMB\u00c9M:<\/p>\n O Drex encolheu: Banco Central adia lan\u00e7amento e foca em vers\u00e3o \u201ct\u00edmida\u201d do real digital<\/li>\n Ap\u00f3s ataque hacker, o Pix ainda \u00e9 seguro e confi\u00e1vel?<\/li>\n<\/ul>\n<\/div>\n Na vis\u00e3o de Juan Ferr\u00e9s, da Teros, a quest\u00e3o n\u00e3o \u00e9 a falta de regula\u00e7\u00e3o. Ele explica que h\u00e1 a necessidade de ajustes no modelo atual, j\u00e1 que o Banco Central, ao longo do tempo, criou diversas figuras regulat\u00f3rias com usos muito fragmentados.<\/p>\n \u201cIsso reduziu as barreiras de entrada, o que foi positivo para estimular inova\u00e7\u00e3o e competitividade, mas tamb\u00e9m abriu espa\u00e7o para agentes pouco preparados e, em alguns casos, mal-intencionados atuarem no sistema”, avalia.<\/p>\n Na opini\u00e3o do empres\u00e1rio, a solu\u00e7\u00e3o passa pela exig\u00eancia de padr\u00f5es m\u00ednimos mais robustos. Ele entende que a fragmenta\u00e7\u00e3o excessiva do sistema, em que muitas institui\u00e7\u00f5es de pagamento (IPs), algumas inclusive n\u00e3o reguladas, atuam como custodiante de recursos, n\u00e3o \u00e9 sustent\u00e1vel.<\/p>\n Ferr\u00e9s afirma que os ajustes t\u00e9cnicos necess\u00e1rios n\u00e3o s\u00e3o muito sofisticados. Ele cita, por exemplo, o que j\u00e1 ocorre no ambiente do Open Finance, que opera com padr\u00f5es mais robustos que os utilizados atualmente na mensageria de contas de reserva.<\/p>\n O Open Finance, tamb\u00e9m chamado de Sistema Financeiro Aberto, \u00e9 iniciativa do Banco Central que permite o compartilhamento dos dados financeiros de um cliente entre diferentes institui\u00e7\u00f5es.<\/p>\n Segundo Ferr\u00e9s, o Open Finance requer um ambiente mais aberto e interoper\u00e1vel, o que demanda uma escala m\u00ednima e padr\u00f5es de seguran\u00e7a consolidados, bem como o incentivo \u00e0 consolida\u00e7\u00e3o das institui\u00e7\u00f5es de pagamento.<\/p>\n O modelo disp\u00f5e, por exemplo, de um Ponto Central de Mensageria (PCM), que acompanha em tempo real as transa\u00e7\u00f5es, verificando remetente e destinat\u00e1rio. \u201cEsse modelo possibilita travas centralizadas e garante maior visibilidade do fluxo, reduzindo consideravelmente os riscos de ataque\u201d, afirma.<\/p>\n<\/div>\nMesmo ap\u00f3s o ataque, sistema permaneceu vulner\u00e1vel<\/h2>\n
Duas fintechs de cr\u00e9dito foram alvo de ataques ao sistema Pix<\/h2>\n
Identificar os criminosos para coibir novos ataques ao Pix<\/h2>\n
\n
![\"Pix](\"https:\/\/media.gazetadopovo.com.br\/2025\/07\/04150027\/pix-seguranca-chat-gpt-380x214.jpg.webp\")
<\/picture><\/div>\nFalta de regula\u00e7\u00e3o n\u00e3o \u00e9 o problema<\/h2>\n
Open Finance j\u00e1 opera em ambiente mais seguro<\/h2>\n