Um ataque cibernético de alto impacto atingiu a C&M Software (CMSW), empresa responsável por integrar bancos menores ao sistema PIX, possibilitando transações em tempo real. O ataque, ainda sob investigação, pode ter facilitado desvios milionários, embora o Banco Central (BC) não tenha divulgado valores oficiais ou a lista completa de instituições afetadas.
Análise técnica: táticas, técnicas e procedimentos (TTPs) do ataque
1. Vetor de ataque provável: supply chain attack + credential stuffing
A CMSW, por ser um elos crítico entre bancos pequenos e o PIX, tornou-se um alvo estratégico. Evidências sugerem que os invasores exploraram:
-
Falha na cadeia de suprimentos (Supply Chain Compromise):
-
Ataques a fornecedores de software financeiro (como CMSW) são comuns para evitar defesas diretas de bancos grandes.
-
Possível exploração de backdoors em atualizações de software ou APIs não seguras usadas pela CMSW.
-
-
Credential Stuffing ou Ataque de Força Bruta:
-
Se a CMSW usava autenticação baseada apenas em senhas (sem MFA), os hackers podem ter usado listas de credenciais vazadas (ex.: combos de e-mail/senha de vazamentos anteriores) para acessar sistemas internos.
-
2. Movimento lateral e persistência no ambiente
Uma vez dentro da rede da CMSW, os invasores provavelmente:
-
Escalaram privilégios (via exploração de vulnerabilidades como Zero-Day em servidores Linux/Windows ou configurações incorretas de Active Directory).
-
Mapearam conexões com bancos clientes para identificar sistemas vulneráveis ligados ao PIX.
-
Instalaram persistência (ex.: serviços ocultos, RATs como Cobalt Strike ou Metasploit).
3. Exfiltração de dados e/or manipulação de transações PIX
Dois cenários são possíveis:
-
Fraude por manipulação de API:
-
Se a CMSW tinha acesso direto a APIs do PIX, os hackers podem ter injetado transações falsas (ex.: usando JWT token hijacking ou explorando falhas no OAuth 2.0).
-
-
Ataque ao banco de dados:
-
Extração de chaves de acesso bancário ou tokens de autenticação armazenados em texto claro (falha de criptografia).
-
Por que o ataque funcionou? Falhas críticas identificadas
| Fator de risco | Explicação técnica |
|---|---|
| Falta de segmentação de rede | Sistemas da CMSW conectados diretamente ao PIX sem DMZ ou microssegmentação. |
| Autenticação traca | Ausência de MFA ou uso de protocolos obsoletos (ex.: SSH sem certificados). |
| Monitoramento insuficiente | Falta de detecção de anomalias em logs (ex.: múltiplas tentativas de login suspeitas). |
| Terceirização sem Due Diligence | Bancos menores dependem de integradores como a CMSW sem auditar sua segurança. |
Contexto explicativo para não-técnicos
-
O que é um “Supply Chain Attack”?
É quando hackers atacam fornecedores terceirizados (como a CMSW) para atingir seus clientes (bancos). É mais fácil invadir uma empresa pequena do que um banco grande. -
Como o PIX foi afetado?
A CMSW é uma “ponte” entre bancos pequenos e o PIX. Se hackers controlam essa ponte, podem redirecionar dinheiro ou criar transações falsas. -
Por que ainda não sabemos o valor roubado?
Investigar fraudes financeiras digitais leva tempo. Bancos podem estar recalculando perdas antes de divulgar números.
Recomendações para mitigar riscos
-
Para Instituições Financeiras:
-
Exigir certificações de segurança (como PCI DSS) de integradores como a CMSW.
-
Implementar confirmação manual para transações acima de R$ X.
-
-
Para empresas de TI financeira (como CMSW):
-
Adotar Zero Trust Architecture (nada é confiável até ser verificado).
-
Usar HSMs (Hardware Security Modules) para proteger chaves do PIX.
-
-
Para o Banco Central:
-
Criar um padrão obrigatório de segurança cibernética para integradores do PIX.
-
Exigir testes de invasão (pentests) anuais em empresas parceiras.
-
Conclusão: um ataque evitável?
Este incidente reforça que terceirização sem segurança é risco sistêmico. A CMSW, por ser um elo fraco, virou alvo. Enquanto o BC não divulga detalhes, bancos devem revisar urgentemente seus contratos com integradores.
Próximos Passos:
-
Aguardar relatório forense do BC.
-
Monitorar se hackers vazam dados roubados em fóruns da dark web (ex.: RaidForums substitutos).
