BC suspende PIX de empresa de Alphaville por suspeita de recebimento de recursos desviados

Alphaville está novamente nos holofotes das investigações sobre o maior ataque cibernético da história do país. O Banco Central (BC) suspendeu cautelarmente operações via Pix de mais três instituições financeiras, uma delas (Brasil Cash) localizada em Alphaville, Barueri. As empresas são suspeitas de ter recebido recursos desviados no golpe contra a provedora de serviços tecnológicos C&M Software.

A medida preventiva inclui, além da Brasil Cash, a Voluti Gestão Financeira e a S3 Bank. Já haviam sido desconectadas do sistema a Transfeera, a Soffy e a Nuoro Pay; estas duas últimas companhias são financeiras digitais. Elas não são autorizadas pelo BC a fazer parte do Pix, mas participam do sistema instantâneo de transferências em parcerias com outras instituições financeiras.

Com duração de 60 dias, a suspensão é prevista pelo Artigo 95-A da Resolução 30 do Banco Central, de outubro de 2020, que regulamentou o Pix.

Segundo o Banco Central, "a medida tem como objetivo proteger a integridade do sistema de pagamentos e garantir a segurança do arranjo, até que as investigações sobre o desvio de recursos do sistema financeiro sejam concluídas'".

A Polícia Civil de São Paulo investiga ao menos 29 empresas que receberam 166 transações via PIX que desviaram mais de R$ 541 milhões do banco BMP Sociedade de Crédito LTDA, na madrugada do ataque hacker da última segunda-feira (30/6).

Posicionamento
Em nota, a Brasil Cash reforçou a informação de que a suspensão temporária dos serviços de PIX determinada pelo Banco Central é uma medida de precaução, "após um incidente de segurança envolvendo a empresa C&M Software, que presta serviços de tecnologia a diversas instituições financeiras".

A empresa garantiu que os dados dos clientes não foram comprometidos, já que os sistemas da Brasil Cash não foram violados. A financeira também informou que está contribuindo nas apurações "com total transparência" junto ao Banco Central.

"A Brasil Cash está atuando com total transparência junto ao Banco Central, contribuindo com as apurações e implementando reforços adicionais de segurança, inclusive com ajustes nos fluxos de operação do Pix para finais de semana e período noturno. Reiteramos nosso compromisso com a segurança das operações, a conformidade regulatória e a confiança dos nossos clientes e parceiros."

Desvios
Na noite de terça-feira (1/7), um ataque cibernético nos sistemas da empresa C&M Software, que presta serviços tecnológicos a instituições financeiras, resultou no desvio de recursos de contas reservas que os bancos mantêm no BC para cumprirem exigências legais. O dinheiro foi transferido por Pix e convertido em criptomoedas.

Embora não opere transações financeiras, a C&M conecta várias instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), coordenado pelo Banco Central. Na quinta-feira (3), o BC autorizou a empresa alvo do ataque a retomar as operações Pix.

A Polícia Federal, a Polícia Civil de São Paulo e o Banco Central investigam o caso. Na sexta-feira (4), a Polícia Civil de São Paulo prendeu um funcionário da C&M que recebeu R$ 15 mil para dar aos criminosos as senhas dos sistemas da empresa. João Nazareno Roque, programador júnior da empresa C&M Softwares, foi preso suspeito de facilitar o maior ataque hacker já registrado ao sistema financeiro brasileiro.

A operação criminosa permitiu o acesso não autorizado a contas de reserva mantidas no Banco Central por pelo menos seis instituições, resultando em um prejuízo estimado em R$ 541 milhões. 

O documento aponta que essas contas receberam as cifras milionárias que variam de R$ 271 milhões a R$ 200 mil, após a invasão do sistema da empresa terceirizada C&M Software (CMSW). Segundo os advogados do banco BMP, as 166 transferências foram efetuadas no intervalo entre 2:03h e 7:04h do dia 30 de junho.

Em coletiva de imprensa na sexta (4), a cúpula da Polícia Civil informou que, a pedido do banco, conseguiu bloquear ao menos R$ 270 milhões que foram desviados para uma empresa de pagamentos, através de 69 operações pequenas que variaram entre R$ 1 milhão a R$ 10 milhões, durante a madrugada do ataque.

Os advogados do banco BMP também informaram à Polícia que, após as primeiras transferências, os valores roubados da instituição foram fragmentados em "inúmeras pessoas físicas e jurídicas configura o delito de lavagem de dinheiro, na modalidade dissimulação".

Os delegados envolvidos na investigação acreditam que o ataque cibernético que afetou pelo menos seis bancos e o prejuízo milionário de R$ 541 milhões pode ser ainda maior, já que a C&M presta serviço a mais de 23 instituições financeiras diferente.

Investigação

Agora, a Polícia Civil, em parceria com a Polícia Federal e o Ministério Público, vai criar uma força-tarefa para identificar quem são os outros envolvidos, além de rastrear e congelar ativos suspeitos.

O próximo passo será analisar o conteúdo dos aparelhos de celular e computador apreendidos na casa do funcionário preso.

Segundo a investigação, ao que tudo indica, o grupo de hackers é de São Paulo, considerando como foi feita a abordagem ao operador de TI. O primeiro contato dos criminosos com ele foi em março na saída de um bar na rua onde ele mora, na capital paulista.

Em nota, a C&M Software diz que colabora com as investigações e diz que, desde que foi identificado o incidente, adotou "todas as medidas técnicas e legais cabíveis".

A empresa ressaltou também que a plataforma continua plenamente operacional e que, em respeito ao trabalho das autoridades, não se pronunciará publicamente enquanto os procedimentos estiverem em andamento.