Hipótese
A hipótese mais provável para o login de um terceiro que se passou por instituição financeira foi a não ativação de todos os protocolos de segurança. A C&M informou que oferece um protocolo especial de conexão que inclui mais de uma instância de aprovação; controles de acesso por canal e horário; validação por múltiplos fatores; e controle total do piloto de reserva. Apesar de todas as etapas, a C&M informou que cada instituição financeira tem autonomia para configurar as etapas de controle, eliminando níveis de segurança por decisão operacional própria.“A CMSW [outra sigla da C&M Software] monitora o funcionamento técnico e os acessos, mas respeita a autonomia e governança de cada cliente sobre suas permissões internas. A responsabilidade pelo uso das credenciais é da instituição que as detém, assim como a utilização de todas as funcionalidades de segurança disponíveis no Corner [sistema de login]”, justificou a companhia.
Pix
Nesta manhã, o Banco Central restabeleceu as operações Pix da C&M. O restabelecimento “sob regime de produção controlada” ocorreu pouco após o BC substituir a determinação para que a empresa suspendesse seus serviços integralmente, e em caráter cautelar, por uma suspensão parcial. De acordo com o BC, a decisão foi tomada depois que a C&M comprovou ter adotado medidas para dificultar novos ataques a seus sistemas. Ainda segundo o BC, as operações da C&M poderão ser restabelecidas em dias úteis, das 6h30 às 18h30, “desde que haja anuência expressa da instituição participante do Pix e o robustecimento do monitoramento de fraudes e limites transacionais”.Providências
A companhia não divulgou uma estimativa de valores devolvidos às instituições financeiras, mas informou que uma parte do dinheiro foi devolvida por meio do Mecanismo Especial de Devolução (MED). Esse mecanismo foi lançado em 2021 para ressarcir vítimas de fraude ou de erro operacional por instituições financeiras. Segundo a C&M, a taxa de devolução pelo MED foi superior à média do mercado porque a fraude foi identificada rapidamente. A empresa de tecnologia reiterou estar colaborando com a Polícia Federal, o Banco Central e a Polícia Civil de São Paulo. A companhia esclareceu que não possui conta transnacional e que não movimenta valores próprios, apenas que atua como provedora de tecnologia homologada pelo Banco Central para conectar instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), que inclui o Pix. A C&M informou que o ataque não afetou os demais sistemas operacionais da companhia, porque as infraestruturas do SBP para cada tipo de operação funcionam em módulo separado, não tendo sido afetadas pelo incidente. Relacionadas
Empresa alvo de ataque hacker volta a operar com autorização do BC
PF investigará ataque hacker a empresa que atende bancos
