Ataque hacker pode ter prejuízo superior a R$ 1 bilhão e mais vítimas

A Polícia Civil de São Paulo estima que o prejuízo causado pelo ataque hacker à empresa C&M Software pode ultrapassar R$ 1 bilhão, à medida que mais instituições financeiras relatam perdas relacionadas ao caso.

A informação foi confirmada pelo delegado Paulo Eduardo Barbosa, responsável pela Delegacia de Crimes Cibernéticos (DCCiber), em reportagem do Valor Econômico.

De acordo com o levantamento divulgado, inicialmente foram identificadas seis empresas afetadas. Entre os casos já conhecidos, destacam-se os prejuízos de R$ 541 milhões da BMP Money Plus, R$ 104 milhões de outro banco e R$ 49 milhões de uma terceira instituição. Segundo Barbosa, é provável que outras instituições estejam envolvidas, mas, por receio de danos reputacionais, optam por não notificar a polícia, especialmente quando os prejuízos são menores.

O Banco Central tem prestado apoio às investigações, ainda que sem envolver uma equipe técnica dedicada. Segundo o delegado, a fase atual é de rastreamento dos valores desviados e análise dos computadores utilizados pelo ex-funcionário da C&M João Nazareno Roque, suspeito de ter facilitado o ataque. Ele foi preso temporariamente e, após o fim do prazo inicial de cinco dias, a Justiça autorizou a conversão da prisão em caráter preventivo.

A investigação também conta com apoio do Ministério Público. Até agora, cerca de R$ 15 milhões convertidos em criptoativos foram bloqueados. A polícia busca identificar o grupo responsável por aliciar o funcionário da C&M. Embora não se descarte a possibilidade de conexões internacionais, Barbosa acredita que os responsáveis sejam, em sua maioria, brasileiros, utilizando empresas em nome de “laranjas”, com os verdadeiros beneficiários vivendo no exterior.

O caso foi transferido para a 1ª Vara de Crimes Tributários, Organização Criminosa e Lavagem de Bens e Valores de São Paulo. A Polícia Civil segue analisando provas obtidas e não descarta novas prisões nas próximas semanas.

Outra frente de investigação está tutelada pela Polícia Federal em Brasília que tenta rastrear pelo menos 140 contas que tenham recebido os recursos desviados.

A Polícia Civil de São Paulo informou que o ataque hacker à C&M Software — empresa que conecta bancos ao sistema do Pix — foi o maior do tipo já registrado no Brasil. A invasão aconteceu após João Nazareno Roque, então funcionário da empresa, vender sua senha e acesso ao sistema por R$ 5 mil a um grupo criminoso.

Dias depois, ele ainda executou comandos maliciosos dentro do sistema em troca de mais R$ 10 mil. Com esse acesso, os hackers conseguiram emitir ordens falsas de transferência de valores em nome de instituições financeiras, como o banco BMP, que sozinha declarou um prejuízo de R$ 541 milhões. Em um primeiro momento se acreditava que ao menos seis instituições financeiras foram afetadas e o prejuízo total pode ultrapassar R$ 1 bilhão.

As ordens fraudulentas partiram do sistema da C&M – que não tem envolvimento com o esquema criminoso – e desviaram recursos de contas de liquidação mantidas junto ao Banco Central. A empresa afirmou, em nota, que o ataque ocorreu por meio de técnicas de engenharia social e não por falhas técnicas em seus sistemas. A polícia segue investigando a participação de outras pessoas no golpe, incluindo os integrantes do grupo que aliciou Roque.