Segundo as informações disponíveis até o momento, o ataque afetou pelo menos seis bancos e gerou comoção ao longo da quarta-feira (2/7).
De acordo com as informações divulgadas pelo Departamento Estadual de Investigações Criminais (Deic), o suspeito detido chama-se João Nazareno Roque.
A C&M divulgou uma nota em que declara colaborar com a investigação — e, desde a identificação da ameaça, ter tomado “todas as medidas técnicas e legais cabíveis”.
Segundo informações divulgadas pelo portal de notícias G1, Roque teria vendido a senha por R$ 5 mil em maio.
Depois, por mais R$ 10 mil, teria participado da criação de um sistema para permitir os desvios.
A polícia ainda detalhou que uma conta bancária com R$ 270 milhões que teria sido usada receber o dinheiro desviado já foi bloqueada.
Entenda o caso
A C&M, empresa provedora de serviços de tecnologia que atende instituições financeiras sem infraestrutura de conectividade ao sistema de pagamentos Pix, informou o Banco Central na quarta-feira (2/7) que sofreu um ataque cibernético aos seus sistemas.
O Banco Central e as instituições financeiras não divulgaram informações suficientes sobre o ataque para se entender quantos clientes podem ter sido afetados e quanto dinheiro teria sido desviado.
O ataque teria afetado apenas instituições financeiras que são clientes da empresa de tecnologia C&M Software, o que não inclui grandes bancos.
O Banco Central não forneceu mais detalhes sobre o ataque, mas afirmou em comunicado que ordenou à empresa C&M Software que bloqueasse o acesso das instituições financeiras à infraestrutura que opera.
Isso fez com que os clientes das instituições atendidas pela empresa ficassem sem acesso ao Pix na quarta-feira.
Na quinta-feira a empresa voltou a poder operar. Segundo o Banco Central, “a decisão foi tomada após a empresa adotar medidas para mitigar a possibilidade de ocorrência de novos incidentes”.
“As operações da C&M poderão ser restabelecidas em dias úteis, das 6h30 às 18h30, desde que haja anuência expressa da instituição participante do Pix e o robustecimento do monitoramento de fraudes e limites transacionais”, afirma nota do Banco Central.
Reportagem do jornal O Globo afirma que criminosos teriam conseguido desviar recursos de contas de oito instituições financeiras, no valor de ao menos R$ 800 milhões, segundo relatos de pessoas a par do assunto.
Já o jornal econômico Valor Econômico cita uma fonte que diz que cerca de R$ 400 milhões foram roubados.
Mas a informação não foi confirmada ou negada pelo Banco Central ou pelas instituições financeiras.
A Polícia Federal (PF) investigará o ataque hacker, segundo dados da Agência Brasil.
O diretor comercial da C&M Software, Kamal Zogheib, afirmou que a empresa foi vítima de um ataque cibernético que envolveu o uso fraudulento de dados de clientes — como login e senha — na tentativa de acessar seus sistemas e serviços.
A empresa administra a troca de informações entre instituições brasileiras ligadas ao Sistema de Pagamentos Brasileiro (SPB).
“Por orientação jurídica e em respeito ao sigilo das apurações, a C&M não comentará detalhes do processo, mas reforça que todos os seus sistemas críticos seguem íntegros e operacionais e que as medidas previstas nos protocolos de segurança foram integralmente executadas”, disse a empresa em nota na quarta-feira.
Segundo a empresa, os sistemas críticos de conexão com os bancos não foram afetados e seguem funcionando.
A empresa está cooperando com o Banco Central e a Polícia Estadual de São Paulo na investigação em andamento, disse Zogheib.
O banco BMP informou à agência de notícias Reuters que, junto com outras cinco instituições, sofreu acesso não autorizado às suas contas durante o ataque, ocorrido na segunda-feira.
O BMP afirmou que as contas afetadas são contas de reservas — mantidas diretamente no Banco Central e utilizadas exclusivamente para liquidação interbancária (quando bancos pagam valores entre si), sem impacto nas contas dos clientes ou nos saldos internos.
O BMP disse que tomou todas as medidas operacionais e legais necessárias e possui garantias suficientes “para cobrir integralmente o valor impactado, sem qualquer prejuízo às suas operações ou parceiros comerciais”.
Uma autoridade que tem conhecimento da investigação em andamento, que falou sob condição de anonimato à Reuters, disse que a C&M presta serviços a cerca de duas dúzias de pequenas instituições financeiras, e os valores envolvidos no ataque não chegam a bilhões de reais.
Outra fonte disse à agência que não houve perdas para os clientes.
O Banco Paulista também alegou ter sido vítima do golpe. Em um comunicado, afirmou que o ataque causou a interrupção temporária do seu serviço de Pix. Segundo o banco, a falha foi externa e não comprometeu dados sensíveis nem gerou movimentações indevidas.
O jornal Valor Econômico afirma que a empresa credsystem também teria sido afetada. Segundo o jornal, a empresa manifestou que “o impacto direto nas operações da credsystem se restringe apenas ao serviço de Pix, que está temporariamente fora do ar por determinação do BACEN (Banco Central), porém nossos clientes poderão continuar utilizando normalmente e sem custo o serviço de TED. No momento, estamos colaborando com os envolvidos para o rápido reestabelecimento do serviço.”