Em menos de dois meses, segundo golpe do tipo “ataque em cadeia” mira empresa que conecta bancos ao sistema; Banco Central age rápido, mas acende alerta sobre terceirizadas.

Um novo e audacioso golpe cibernético abalou o sistema financeiro brasileiro no último fim de semana. Atingindo a Sinqia, uma das principais empresas que fazem a ponte entre instituições financeiras e o PIX, criminosos conseguiram desviar R$ 670 milhões. O episódio, ocorrido na última sexta-feira, 29 de agosto, representa o segundo ataque massivo em apenas dois meses contra provedores do sistema, levantando sérias questões sobre a segurança da infraestrutura que orbita a ferramenta de pagamentos instantâneos mais popular do país.

A ação, rápida e enérgica, do Banco Central evitou um desastre ainda maior, já que a tentativa inicial dos criminosos mirava ultrapassar a marca de R$ 1 bilhão. Ainda assim, o valor desviado superou as estimativas iniciais e colocou em xeque os protocolos de segurança de toda uma cadeia de serviços.

Um golpe em cadeia

Advertisement

O ataque não mirou diretamente o PIX, cuja infraestrutura central permanece intacta e segura. Em vez disso, os hackers exploraram uma vulnerabilidade no que se conhece como “ataque de cadeia de suprimentos” (Supply Chain Attack). A corrente, como diz o ditado, quebrou no elo mais fraco. A Sinqia, controlada pela multinacional Evertec, funciona como uma porta de entrada para diversos bancos ao sistema financeiro, e foi exatamente essa porta que os criminosos arrombaram.

O modus operandi é assustadoramente similar ao incidente que vitimou a C&M Software em julho deste ano, sugerindo uma nova e perigosa frente de atuação de quadrilhas especializadas. Naquele caso, credenciais de acesso foram vendidas por um funcionário. Agora, a Polícia Federal investiga se houve participação interna ou se a brecha foi puramente tecnológica.

O rastro do dinheiro

O alerta soou no Banco Central por volta das 15h30 de sexta-feira. A resposta foi imediata: o acesso da Sinqia a todo o sistema financeiro foi cortado, estancando a sangria. Duas instituições foram as principais vítimas: o gigante HSBC, com um prejuízo de R$ 630 milhões, e a Artta, de onde foram subtraídos R$ 40 milhões.

Advertisement

Fontes do mercado indicam que o estrago poderia ter se espalhado por até 20 instituições. Graças ao bloqueio rápido, do total de R$ 670 milhões desviados, as autoridades já conseguiram congelar e iniciar o processo de recuperação de R$ 366 milhões. Enquanto isso, a Sinqia, desconectada do ambiente PIX, corre contra o tempo para reconstruir seus sistemas com controles de segurança aprimorados, um processo que será validado pelo Banco Central antes de qualquer reconexão.

Para entender melhor:

• Ataque de Cadeia de Suprimentos (Supply Chain Attack): Um tipo de ataque cibernético que visa uma organização através de seus parceiros ou fornecedores externos que possuem acesso a seus sistemas ou dados. Em vez de atacar o alvo principal, o hacker explora a segurança mais fraca de um terceiro de confiança.
• Contas de Liquidação Interbancária: Contas que as instituições financeiras mantêm para transferir fundos entre si. Não são as contas correntes dos clientes finais, mas sim contas operacionais dos próprios bancos.
• Banking as a service: Modelo de negócio em que empresas de tecnologia, como a Sinqia, oferecem infraestrutura e serviços financeiros para que outras companhias (bancos, fintechs) possam oferecer produtos bancários aos seus próprios clientes sem precisar desenvolver tudo do zero.

A muralha do PIX resiste?

Apesar do volume assustador do desvio, especialistas são unânimes em afirmar: o PIX, em sua essência, continua seguro. O sistema opera dentro da Rede do Sistema Financeiro Nacional (RSFN), um ambiente altamente controlado, isolado e com múltiplas camadas de criptografia. “A vulnerabilidade está longe de ser algo sistêmico e de ter algo a ver com o cerne do Pix”, afirma Arthur Igreja, especialista em Tecnologia.

O problema, portanto, não está na fortaleza, mas nos portões de acesso. Os ataques consecutivos revelaram que a supervisão sobre as empresas terceirizadas que prestam serviços críticos precisa ser drasticamente reforçada. São elas que detêm credenciais de acesso privilegiado e, agora, se tornaram o alvo preferencial.

Advertisement

Para os usuários comuns, o impacto direto foi nulo. O HSBC e a Artta confirmaram que nenhuma conta de cliente pessoa física foi afetada; os desvios ocorreram a partir de contas corporativas de liquidação. As transações via PIX seguiram operando normalmente durante todo o período.

Uma resposta para o futuro

Coincidentemente, um dia antes do ataque à Sinqia, em 28 de agosto, o Banco Central havia anunciado um aprimoramento no mecanismo de devolução do PIX. A nova funcionalidade, que se tornará obrigatória a partir de fevereiro de 2026, permitirá um rastreamento mais eficiente do caminho do dinheiro desviado, com promessa de devolução em até 11 dias.

A medida é bem-vinda, mas o prazo de implementação levanta questionamentos sobre a urgência da resposta regulatória diante da sofisticação e frequência dos golpes. O momento exige mais do que remendos futuros; exige uma revisão imediata e rigorosa dos protocolos de segurança de todos os parceiros que orbitam o sistema financeiro nacional.

Advertisement

Quer se informar sobre meio ambiente em MT? Acesse o site www.lupamt.com

Entre para nosso grupo e mantenha-se informado, você pode entrar clicando aqui.

Ouça o Pod Lupa na mata:

https://open.spotify.com/show/2hN6KgAvPUf5NdcsvPilLK?si=hTBoSQMRSmmV9sYs-sjdlw

Advertisement