PF investiga 140 contas ligadas ao golpe no sistema do BC

A Polícia Federal está tentando esclarecer como criminosos invadiram os computadores de um sistema de pagamentos que conecta o Banco Central (BC) a empresas financeiras privadas e aplicaram um golpe via Pix que está sendo classificado como o maior da história do sistema financeiro do Brasil. A reportagem apurou que a polícia tenta agora rastrear ao menos 140 contas bancárias que podem ter sido usadas na fraude.

O Banco Central vem mantendo silêncio sobre a gravidade do ataque cibernético. A reportagem apurou que a instituição teria argumentado com a PF que a vulnerabilidade no sistema seria decorrente de uma falta de recursos humanos no BC. A Gazeta do Povo enviou pedidos de informações para o Banco Central, mas até a publicação da reportagem não obteve retorno.

Uma quantia de pelo menos R$ 800 milhões teria sido desviada na terça-feira de seis bancos de pequeno porte. A maioria das cerca de 140 contas bancárias usadas no esquema é ligada a bancos e operadoras de créditos pequenos, mas foram identificadas também contas bancárias em grandes instituições financeiras. Parte significativa dos recursos foi designada para fora do país. Ainda não se sabe exatamente o montante.

A Polícia Federal instaurou um inquérito na Diretoria de Repressão aos Crimes Cibernéticos, em Brasília, e já opera com uma série de questionamentos. Segundo fontes ligadas às investigações, estão sendo apurados os responsáveis pelo ataque hacker e outros beneficiados pelo golpe. Eles devem responder por crimes de organização criminosa, furto mediante fraude, invasão de dispositivo de informática e eletrônico e lavagem de dinheiro.

A princípio, segundo investigadores da PF, a vulnerabilidade teria ocorrido em uma das empresas de tecnologia que faz a ligação entre os bancos vítimas da fraude e o sistema do Banco Central para a transferência de recursos financeiros, especialmente via Pix. Diferente de instituições maiores que possuem seus próprios sistemas de tecnologia para o gerenciamento e transações do Pix, esses bancos contratam os serviços terceirizados para a efetivação das operações.

Em sua única manifestação pública desde a terça-feira (1º), data do ataque cibernético, o Banco Central informou apenas que a empresa C&M Software, prestadora de serviços de tecnologia, comunicou ter sido alvo de um ataque à sua infraestrutura tecnológica. Diante da situação, o BC determinou à empresa que desligasse o acesso dos seus bancos às infraestruturas operadas por ela, como medida de segurança e contenção de riscos ao sistema financeiro. O desligamento, no entanto, não ocorreu a tempo de evitar a fraude.

A empresa prestadora dos serviços é vinculada ao Sistema de Pagamentos Brasileiro (SPB) e oferece os serviços para pelo menos 22 instituições financeiras, mas, a princípio, apenas parte dos clientes teriam tido suas operações invadidas.

Ao portal G1, o diretor comercial da C&M Software, Kamal Zogheib, afirmou que a empresa foi alvo de uma ação criminosa que envolveu o uso indevido de credenciais de clientes na tentativa de acesso fraudulento aos seus sistemas e serviços. Ele ressaltou que a C&M está colaborando ativamente com o Banco Central e também com as investigações da Polícia Civil de São Paulo, que também apura a fraude. Segundo Zogheib, apesar da tentativa de ataque, todos os sistemas críticos da empresa permanecem íntegros e operacionais.

Investigação quer entender por que transações milionárias via Pix não foram derrubadas por segurança

A PF quer entender como os fraudadores do sistema operaram por tanto tempo sem levantar suspeitas operacionais diante da movimentação de valores tão vultosos. As transações suspeitas não foram derrubadas pelo sistema ou alertadas pelo Banco Central, como deveria ocorrer.

Outra frente de investigação, dentro do mesmo inquérito, quer apurar se as contas usadas para a fraude foram abertas sem levantar suspeitas do Banco Central, se pertencem a pessoas físicas e jurídicas legítimas, se são de laranjas ou se foram abertas em nome de terceiros com informações fraudadas, sem que os supostos titulares tivessem conhecimento delas. A PF também quer saber se as contas são recentes e se há indícios de serem usadas em outros golpes envolvendo o sistema financeiro.

De forma não oficial, informação de autoridades ligadas ao caso levadas à PF indicava que apenas 2% do valor total desviado havia sido recuperado. Considerando o montante inicial, que pode variar de R$ 800 milhões a R$ 1 bilhão, o valor resgatado não teria ultrapassado os R$ 20 milhões.

Somente após o alerta da fraude o sistema da empresa que presta o serviço intermediário entre os bancos e o BC foi bloqueado. Isso afetou transações via Pix de correntistas de todas as instituições vinculadas à empresa.

Crime cibernético reacende discussão sobre autonomia financeira do BC

A fraude que possivelmente desviou uma cifra bilionária via sistema Pix reacendeu o debate sobre a autonomia financeira do Banco Central e pode reiniciar uma batalha política no Congresso.

O Banco Central ganhou autonomia operacional com a Lei Complementar 179, aprovada no governo Jair Bolsonaro (PL). Ela era a primeira fase de um projeto para dar mais autonomia ao BC. A segunda fase seria implementada pela PEC 65/2023, em tramitação no Senado, que propõe transformar o BC em empresa pública com autonomia técnica, administrativa, orçamentária e financeira.

Em conjunto, essa legislação tem potencial para fortalecer o Banco Central e torná-lo mais independente. Mas essa perspectiva desagrada lideranças do governo do presidente Luiz Inácio Lula da Silva (PT), que querem ter mais controle sobre a instituição para influenciar por exemplo no estabelecimento de taxas de juros. Os sindicatos também são contra pois temem que profissionais do mercado financeiro substituam funcionários de carreira do banco.

Sem a autonomia financeira para captar mais recursos e investir em pessoal e tecnologia, o BC tem sua capacidade e rapidez para combater fraudes limitada diante da crescente complexidade do sistema financeiro, segundo analistas.

Além disso, o BC não tem poder para fiscalizar toda a cadeia de instituições envolvidas nas movimentações financeiras, especialmente fintechs e agentes não bancários. A ausência de recursos e de estrutura para vigiar o ecossistema em tempo real, como exigido pelas novas modalidades digitais, enfraquece a reação a fraudes e amplia os riscos ao sistema.

Em tese, a aprovação da PEC da autonomia financeira do BC permitiria ao banco empregar diretamente suas receitas e ampliar o perímetro de fiscalização, abrangendo agentes que hoje não são monitorados, como plataformas de criptomoedas e pequenos agentes financeiros.

O texto prevê garantias aos servidores e travas de controle de gastos, com fiscalização do Tribunal de Contas da União (TCU) e do Congresso. Embora haja resistência do governo federal e do próprio PT, que já questionaram a autonomia atual do BC, especialistas e autoridades monetárias consideram que a aprovação da PEC é essencial para modernizar a atuação da autoridade monetária frente a ameaças cada vez mais sofisticadas. Ela está parada na Comissão de Constituição e Justiça do Senado.

Correntistas não foram lesados nem tiveram contas acessadas

A boa notícia, segundo relato de investigadores, é que pessoas físicas e jurídicas que possuem contas nos seis bancos atacados não tiveram seus valores afetados nem subtraídos das contas. Isso porque os montantes desviados correspondem às chamadas contas-reserva e pertencem às próprias instituições de crédito.

O economista Rui São Pedro explica que as contas-reserva são contas que os bancos mantêm diretamente no Banco Central e desempenham um papel essencial para o funcionamento do sistema financeiro brasileiro. Elas funcionam como uma espécie de conta corrente entre as instituições financeiras e o BC e são utilizadas principalmente para cumprir exigências regulatórias e viabilizar transações entre bancos.

“Uma das funções mais importantes é garantir o cumprimento do chamado compulsório bancário — ou seja, uma parcela dos depósitos dos clientes que os bancos são obrigados a manter no Banco Central, como forma de controlar a liquidez e preservar a solidez do sistema financeiro”. Além disso, as contas-reserva são fundamentais para o funcionamento do Sistema de Pagamentos Brasileiro, sendo utilizadas para liquidar operações como transferências, pagamentos de boletos e transações via Pix.