Tag: Sistema Financeiro

Publicado em por

PIX SOB ATAQUE: O QUE MUDA COM AS MEDIDAS DO BANCO CENTRAL CONTRA ATAQUES CIBERNÉTICOS

Desde junho, instituições financeiras e empresas de tecnologia ligadas ao sistema de pagamentos vêm registrando incidentes de segurança que atingem principalmente o Pix e, em menor escala, operações via TED. Esses episódios expuseram fragilidades exploradas por organizações criminosas, levando o Banco Central a adotar, de forma imediata, novas regras para conter abusos e reduzir vulnerabilidades.

Medidas regulatórias imediatas

O pacote anunciado estabelece um limite de R$ 15 mil para determinadas transações via Pix e TED, reforça a necessidade de autorização prévia para prestadores de serviços de tecnologia e fixa prazo de 30 dias para encerramento das atividades de quem tiver o pedido de autorização negado. Também prevê um período de quatro meses para adequação a novas exigências de governança, além da possibilidade de dispensar temporariamente o limite de valores para instituições que comprovem práticas sólidas de controle interno.

Outro ponto destacado foi a exigência de capital mínimo de R$ 15 milhões para prestadores de tecnologia que atuam no sistema financeiro. A medida busca elevar a responsabilidade dos parceiros que, muitas vezes, não possuem o mesmo padrão de governança das instituições reguladas diretamente pelo Banco Central.

Linha do tempo dos incidentes recentes

Nos últimos meses, os ataques ganharam novas formas. Houve desde sobrecarga por consultas massivas a QR Codes até desfalques expressivos com retirada direta de valores de clientes. Episódios envolvendo instituições tradicionais e fintechs de menor porte mostraram que a ameaça deixou de ser apenas tentativa de interrupção para alcançar subtrações financeiras efetivas.

O fator humano como vulnerabilidade

Embora a tecnologia seja o alvo aparente, boa parte das invasões decorre de falhas humanas. O uso de credenciais obtidas por meio de engenharia social e casos de conluio interno revelam que programas de conscientização são tão relevantes quanto firewalls ou criptografia. Transformar colaboradores em barreiras de proteção exige mais do que regras: é necessário criar cultura organizacional de segurança.

Popularidade do Pix e os riscos associados

O volume bilionário de transações torna o Pix o alvo mais rentável para criminosos digitais. A solução em si não é insegura, mas sua escala exige que a governança acompanhe a velocidade de uso. Se houver comprometimento de estruturas críticas, as consequências podem ultrapassar as transferências financeiras e atingir identidades digitais, biometria e até serviços públicos integrados à plataforma.

Inovação e segurança em equilíbrio

A transformação digital acelerou a oferta de serviços financeiros, mas nem sempre foi acompanhada de investimentos proporcionais em proteção. A inteligência artificial tende a ampliar tanto o potencial ofensivo quanto a capacidade defensiva das instituições. Reguladores, empresas e sociedade precisam trabalhar em conjunto para que a inovação não abra portas ao crime digital.

As medidas do Banco Central buscam endurecer as regras sem paralisar a inovação. A proteção efetiva, no entanto, depende menos de limites de valor ou capital mínimo e mais da maturidade de processos, da governança e da consciência dos profissionais envolvidos. A confiança no sistema de pagamentos exige respostas técnicas e organizacionais que se renovem na mesma velocidade das ameaças.

Publicado em por

VAZAMENTO NO SISBAJUD EXPÕE MILHÕES DE CHAVES PIX E ACENDE ALERTA PARA PROTEÇÃO DE DADOS CADASTRAIS

Nos dias 20 e 21 de julho, um incidente de segurança comprometeu a integridade do Sistema de Busca de Ativos do Poder Judiciário (Sisbajud), resultando na exposição de dados associados a mais de 46 milhões de chaves Pix, vinculadas a aproximadamente 11 milhões de cidadãos. O episódio, que foi oficialmente comunicado no dia 23 por meio de nota conjunta entre o Banco Central e o Conselho Nacional de Justiça, atingiu dados cadastrais como CPF, instituição financeira relacionada e o nome do titular da chave.

É importante destacar que não houve violação de informações bancárias protegidas por sigilo, como saldos, senhas, extratos ou movimentações financeiras. Tampouco foi identificado qualquer tipo de acesso indevido a valores depositados em contas. No entanto, a divulgação de dados cadastrais, ainda que não sensíveis, pode abrir margem para tentativas de fraudes, especialmente por engenharia social. Daí a recomendação de reforço às práticas de segurança já divulgadas pelas instituições financeiras, tais como a verificação de remetentes de mensagens, cautela ao clicar em links suspeitos e não compartilhamento de informações pessoais por meios informais.

O Sisbajud, ferramenta desenvolvida para modernizar a interlocução entre o Poder Judiciário, o Banco Central e as instituições financeiras, substituiu o antigo Bacenjud em dezembro de 2019. Seu objetivo é dar maior celeridade ao cumprimento de decisões judiciais no âmbito financeiro, por meio de um fluxo digital padronizado. Com o sistema, magistrados podem enviar ordens de bloqueio de valores em contas correntes e aplicações, além de requisitar documentos como contratos bancários, extratos detalhados, faturas de cartão de crédito, e comprovantes relativos ao FGTS e PIS.

Entre os avanços proporcionados pelo Sisbajud, destaca-se a integração com o Sistema de Movimentação Bancária (Simba), utilizado pelo Ministério Público Federal, permitindo o acesso a dados bancários em formatos compatíveis com investigações mais aprofundadas.

Diante do incidente, permanece o desafio de equilibrar a eficiência na tramitação de ordens judiciais com a proteção rigorosa dos dados pessoais dos cidadãos. O caso reforça a necessidade de controles de segurança robustos, tanto nos sistemas utilizados pelo Judiciário quanto nas plataformas integradas ao Sistema Financeiro Nacional.

Publicado em por

DADOS EXPOSTOS? ENTENDA SEUS DIREITOS E MEDIDAS POSSÍVEIS SEGUNDO A LGPD

Na última semana, veio a público um incidente de segurança que comprometeu uma fornecedora de tecnologia responsável pela integração de instituições financeiras ao sistema Pix. O ataque cibernético, que desviou valores expressivos de contas vinculadas ao Banco Central, revelou vulnerabilidades profundas nas engrenagens técnicas que sustentam o sistema financeiro nacional.

Diferentemente de falhas pontuais em aplicativos ou sistemas isolados, esse tipo de incidente atinge estruturas de infraestrutura que deveriam ser protegidas por padrões elevados de segurança, supervisão e governança. O acesso indevido ocorreu por meio de uma brecha explorada na integradora tecnológica, afetando diretamente contas utilizadas para liquidações financeiras entre instituições e o Banco Central.

Embora o impacto inicial tenha se concentrado em contas institucionais, é necessário reconhecer o potencial reflexo sobre usuários finais. Instabilidades em sistemas de pagamento, eventuais bloqueios operacionais e o possível comprometimento de dados transacionais são riscos que não podem ser descartados. Dados operacionais expostos, se não forem corretamente tratados após o incidente, podem ser utilizados de forma fraudulenta em outras esferas do sistema bancário.

Nessas situações, a Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações objetivas para as organizações envolvidas. Entre elas, está o dever de comunicar prontamente à Autoridade Nacional de Proteção de Dados (ANPD) a ocorrência do incidente, além de, conforme a gravidade, informar os titulares e adotar medidas para mitigar os efeitos do vazamento.

A legislação assegura ainda ao titular o direito de acessar informações sobre o tratamento de seus dados e sobre o incidente ocorrido. É possível, por exemplo, solicitar detalhes sobre a extensão da exposição, os dados afetados e as medidas tomadas para correção e prevenção. O titular também pode solicitar cópias dos dados tratados e exigir revisão de decisões automatizadas que envolvam seus dados pessoais.

Caso haja indício de uso indevido dos dados — como fraudes bancárias, abertura de contas indevidas ou empréstimos não autorizados — o titular pode apresentar reclamação à ANPD e, se necessário, acionar o Poder Judiciário para buscar reparação. Contudo, decisões recentes do Superior Tribunal de Justiça indicam que a simples exposição dos dados, por si só, não gera o dever automático de indenização. É preciso comprovar um dano efetivo e o nexo com o incidente de segurança.

Diante disso, é recomendável que o cidadão que suspeita de envolvimento em um incidente de segurança:

  1. Solicite informações formais à instituição envolvida sobre a possível exposição de seus dados;
  2. Monitore movimentações bancárias e financeiras, com especial atenção a tentativas de fraude;
  3. Formalize reclamação junto à ANPD caso a empresa não forneça os esclarecimentos devidos;
  4. Em caso de dano material ou moral, avalie o ajuizamento de ação judicial com base nos direitos previstos pela LGPD.

A confiança no sistema financeiro digital repousa, em grande parte, na capacidade das instituições de prevenir, detectar e responder de forma transparente a situações como essa. O dever de proteger os dados dos cidadãos permanece, mesmo quando falham os mecanismos de segurança. E é justamente nesse ponto que os direitos do titular devem ser plenamente respeitados e exercidos.

Publicado em por

ATAQUE CIBERNÉTICO EXPÕE FRAGILIDADE EM SERVIÇOS TERCEIRIZADOS DO SISTEMA FINANCEIRO NACIONAL

Na terça-feira, 1º de julho, uma investida cibernética contra a C&M Software, empresa que presta serviços de liquidação interbancária para diversos participantes do sistema financeiro, desviou valores estimados em cerca de R$ 400 milhões mantidos em contas-reserva no Banco Central (BC). Essas contas funcionam como “cofres” exclusivos para acertos entre bancos, distantes dos depósitos de clientes e dos saldos de cartões ou investimentos.

Por que os usuários finais não correm risco imediato?
As contas-reserva não armazenam dados de titulares de conta corrente, nem transitam informações de cartão ou aplicações. A operação da C&M Software limita-se à compensação entre instituições, servindo de contrapeso a saques e depósitos diários. Até o momento não há sinais de vazamento de bases de dados comerciais ou pessoais. O BC, preventivamente, desconectou a empresa de seus sistemas até que a investigação esclareça a brecha explorada e defina correções.

Impacto para as instituições financeiras
O prejuízo atinge diretamente os participantes cujas contas foram alcançadas. Embora o montante seja expressivo, os bancos contam com reservas e seguros próprios para absorver perdas dessa natureza, evitando repasse aos consumidores. O foco agora está na apuração da vetorialidade do ataque: evidências apontam para um mapeamento minucioso da infraestrutura terceirizada, explorado no instante considerado mais vantajoso pelos criminosos.

Reflexos na confiança do mercado
Mesmo sem repercussão sobre correntistas, o evento macula a reputação do ambiente financeiro nacional, reconhecido mundialmente pela sofisticação de soluções como o Pix. O episódio mostra que a robustez tecnológica dos bancos precisa ser acompanhada por fiscalizações constantes sobre provedores terceirizados que movimentam sistemas sensíveis. Investimentos em resiliência cibernética, testes de intrusão contínuos e governança rígida sobre fornecedores tornaram-se imperativos.

Próximos passos
O Banco Central conduz a investigação em conjunto com órgãos de segurança e instaurou protocolos para bloquear tentativas de operação semelhantes. As instituições atingidas também realizam auditorias internas, revisam contratos com prestadores e fortalecem barreiras de autenticação.

Embora o público em geral esteja protegido nesta fase, o desdobramento servirá de termômetro para avaliar se processos de homologação e monitoramento de terceiros acompanham a velocidade de inovação do sistema de pagamentos brasileiro.

Publicado em por

COMO O PHISHING EXPÔS VULNERABILIDADES CRÍTICAS NO GOVERNO

Um Alerta para a Segurança Cibernética no Setor Governamental

Recentemente, o Sistema Integrado de Administração Financeira (Siafi) foi alvo de um ataque cibernético que resultou em um prejuízo de R$ 15 milhões. O método utilizado pelos criminosos foi o phishing, uma técnica cada vez mais comum, que se aproveita da manipulação psicológica para obter informações sensíveis. Este ataque é um claro exemplo de como a falha humana pode ser explorada para comprometer sistemas críticos.

O phishing, em essência, consiste em enganar as vítimas, fazendo-as acreditar que estão interagindo com uma entidade confiável, como uma instituição financeira ou um órgão governamental. Os criminosos utilizam essa técnica para coletar dados como senhas e informações bancárias. No caso do Siafi, os invasores realizaram um spear phishing altamente direcionado, criando comunicações personalizadas que enganaram funcionários-chave, levando-os a fornecer acesso ao sistema.

Este incidente expôs uma grave deficiência na segurança do Siafi, que poderia ter sido mitigada com a implementação de camadas adicionais de proteção, como autenticação multifatorial e validação biométrica. A segregação de funções dentro do sistema, que deveria impedir fraudes, foi contornada pelos invasores, demonstrando que o planejamento e o conhecimento detalhado do funcionamento interno da plataforma foram fundamentais para o sucesso do ataque.

Além disso, os criminosos utilizaram contas de laranjas e transações por meio de exchanges de criptomoedas para ocultar os valores desviados, complicando ainda mais a detecção das operações fraudulentas. Isso evidencia a necessidade urgente de reforçar a cultura de cibersegurança em todas as camadas da administração pública.

É essencial que o setor governamental adote uma abordagem mais robusta e proativa em relação à cibersegurança. Isso inclui a implementação de ferramentas que bloqueiem acessos a links maliciosos, a criação de processos mais rígidos de autenticação, e, principalmente, a conscientização contínua dos funcionários sobre os riscos e técnicas de ataque cibernético.

Os ataques de phishing não são exclusivos ao setor privado; governos em toda a América Latina estão entre os alvos preferenciais dos criminosos. Com milhões de tentativas de phishing ocorrendo anualmente, é imperativo que medidas preventivas sejam adotadas para proteger informações sensíveis e evitar prejuízos futuros. A responsabilidade por esses ataques não recai apenas sobre a tecnologia utilizada, mas também sobre a preparação e a conscientização dos usuários que interagem com essas plataformas diariamente.

Publicado em por

NOVAS MEDIDAS DE SEGURANÇA: COMBATE ÀS FRAUDES FINANCEIRAS NO MUNDO DIGITAL

À medida que a revolução digital continua a se expandir, o setor financeiro também segue o mesmo caminho. O aumento das transações financeiras digitais é acompanhado pelo crescimento de fraudes, golpes e crimes cibernéticos.

De acordo com dados do Banco Central, impressionantes 95% das transações financeiras ocorrem agora no ambiente digital, sendo que cerca de 80% delas são realizadas por meio de dispositivos móveis. No entanto, o aumento das transações digitais também se traduz em um aumento proporcional de golpes e fraudes. Em 2022, foram registradas mais de 4 milhões de ocorrências em 34 instituições supervisionadas pelo BC.

Como resposta a essa crescente ameaça, o Conselho Monetário Nacional e o Banco Central publicaram a resolução conjunta nº6. Essa resolução, que entrará em vigor em novembro de 2023, abrangerá instituições financeiras, instituições de pagamento e outras entidades autorizadas pelo BC. Seu principal objetivo é prevenir fraudes por meio do compartilhamento de informações entre essas instituições.

A partir de novembro, as informações serão armazenadas em um sistema eletrônico com registro e consulta de dados e informações. Isso permitirá um maior controle sobre atividades suspeitas, já que as instituições financeiras poderão compartilhar informações sobre possíveis fraudadores, detalhes de ocorrências e muito mais.

A resolução enfatiza a importância das instituições financeiras garantirem a confidencialidade e qualidade dos dados compartilhados. Os dados incluirão informações sobre possíveis fraudadores, descrições das ocorrências ou tentativas, instituições responsáveis pelo registro dos dados, detalhes da conta destinatária e de seu titular em transferências ou pagamentos.

O compartilhamento de informações visa criar uma rede de cooperação, uma vez que fraudes e golpes podem afetar qualquer instituição financeira. A ideia é que todas as entidades estejam conectadas e alertas, em vez de competir entre si.

É importante observar que a resolução não determina as ações específicas que os bancos devem tomar em casos de fraudes, mas sim gerir o risco. As instituições podem adotar controles e decisões de acordo com seu perfil operacional. No entanto, o BC espera que as instituições desenvolvam controles internos de gestão para lidar com atividades suspeitas e proteger o sistema financeiro como um todo.

Em relação à Lei Geral de Proteção de Dados Pessoais (LGPD), as movimentações bancárias precisam ser transparentes para os consumidores. Os clientes devem estar cientes de como seus dados serão tratados e devem consentir com o compartilhamento. Especialistas enfatizam que os termos de consentimento devem ser claros e conter todas as informações necessárias para que o consumidor tome uma decisão informada.

Para clientes existentes, o consentimento pode ser obtido por meio de atualizações cadastrais regulares realizadas pelas instituições. No entanto, os clientes não podem ser coagidos ou ameaçados a consentir. O BC não faz recomendações específicas para as instituições em relação a isso.

As novas medidas visam fortalecer a segurança no mundo financeiro digital e promover a cooperação entre instituições. O consentimento dos clientes é essencial, mas deve ser livre e informado. A luta contra fraudes financeiras se torna mais eficaz quando todos os participantes estão atentos e colaboram.