Banco Central Implementa Novas Regras Após Roubo de R$ 800 Milhões em Ataque Hacker ao Sistema Financeiro Brasileiro

Em um incidente que marcou a segurança do sistema financeiro brasileiro, o ataque à C&M Software, realizado há cerca de um ano, resultou no desvio de aproximadamente R$ 800 milhões. O evento se tornou o mais significativo desse tipo no Brasil e provocou uma mudança drástica nas diretrizes regulatórias do Banco Central (BC), que, desde então, vem implementando rigorosas regras para instituições financeiras e provedores de tecnologia que facilitam a conexão entre bancos e fintechs ao Sistema de Pagamentos Brasileiro (SPB) e ao Sistema de Pagamentos Instantâneos (SPI).

A C&M Software, que atua como um elo entre instituições financeiras e o BC, foi classificada como Provedora de Serviços de Tecnologia da Informação (PSTI) e, na esteira do ataque, solicitou descredenciamento devido ao endurecimento das normas regulatórias. Especialistas reconhecem que, apesar das melhorias nas medidas de segurança, o setor financeiro ainda está vulnerável a novas ameaças.

O método empregado pelos criminosos foi notavelmente sofisticado. Ao recrutarem um funcionário da empresa atacada, eles conseguiram obter credenciais legítimas, o que lhes permitiu acessar contas-reserva das instituições financeiras vinculadas ao BC, em vez de simplesmente invadir as contas dos clientes finais. Este evento expôs uma fragilidade crítica: a falta de regulação direta para empresas prestadoras de serviços de TI.

A Polícia Federal, em resposta a esse evento, prendeu 25 indivíduos relacionados ao crime e recuperou uma quantia significativa, embora as investigações ainda estejam em andamento. As alterações nas regras de operação, refletidas na Resolução BCB nº 498 e na nº 547, exigem que as PSTIs cumpram requisitos de governança e apresentem garantias financeiras, como um capital mínimo de R$ 15 milhões. Além disso, transações via Pix e TED por instituições não autorizadas agora enfrentam limites rigorosos, visando aumentar a segurança do sistema.

Embora o setor tenha se adaptado e implementado novas exigências em governança e controles internos, a realidade permanece alarmante. Outra série de ataques cibernéticos subsequentes, que afetou instituições como a Sinqia e o Banco do Nordeste, demonstrou que o risco persiste, especialmente em relação às vulnerabilidades na infraestrutura crítica de provedores de tecnologia.

Os investimentos em segurança foram acelerados, com fintechs e instituições tradicionais entendendo que a proteção contra ataques se traduz numa prioridade estratégica, que vai além do custo. Com o foco em prevenção e monitoramento contínuo, a pressão regulatória tem levado a um ambiente de compliance mais rigoroso, refletindo uma compreensão crescente de que o excesso de fragmentação dos serviços pode aumentar o risco operacional.

Ainda assim, os desafios permanecem, particularmente na detecção de fraudes, como evidenciado pelo ataque à C&M, no qual ações fraudulentas foram reconhecidas depois que os recursos foram quase completamente convertidos em criptoativos. A supervisão das cadeias de fornecedores, um dos principais pontos de falha na segurança, continua a ser uma preocupação para os especialistas. Portanto, a necessidade de uma regulação iterativa e adaptativa torna-se cada vez mais evidente à medida que o sistema de pagamentos brasileiros enfrenta um cenário de ameaças em constante evolução.