Según informaciones de CNN Brasil, la PF (Policía Federal) y el BC (Banco Central) investigan un ataque cibernético contra C&M Software, empresa prestadora de servicios de tecnología y responsable de intermediar la comunicación entre instituciones financieras y el BC.
De acuerdo con una nota enviada por el Banco Central a la prensa, el órgano determinó la desconexión del acceso de las instituciones a las infraestructuras operadas por C&M. El BC aún evalúa la dimensión del ataque y enfatiza que no fue objetivo.
Aún no hay informaciones sobre el valor exacto del asalto cibernético. Según fuentes consultadas por portales de medios especializados, hay indicios de que las cifras son millonarias, pudiendo llegar a R$ 1 mil millones y potencialmente convirtiéndose en el mayor ciberataque de la historia del sistema financiero brasileño. Sin embargo, esas informaciones aún no están confirmadas.
Una de las clientes de C&M, BMP, proveedora de servicios de Banking-as-a-Service (BaaS), emitió una nota oficial, informando que tuvo su infraestructura de conexión parcialmente comprometida y que los servicios de Pix fueron temporalmente interrumpidos. BMP informó además que ningún cliente fue impactado o tuvo sus recursos accedidos, y que el problema está siendo tratado con máxima prioridad por todas las instituciones afectadas.
Según informaciones investigadas por el portal Cointelegraph Brasil, el actor de amenaza comenzó a mover los valores robados hacia diferentes proveedores de criptomonedas que trabajan con Pix, con el propósito de comprar USDT y Bitcoin. Durante esta movilización, uno de los proveedores habría identificado el volumen atípico de transacciones, bloqueado las operaciones y avisado a BMP.
Aún según el portal, fueron identificados otros casos de flujo de operaciones en más empresas del sector. Rocelo Lopes, creador de la billetera de autocustodia Truther y CEO de SmartPay, confirmó el flujo atípico de movimientos en ambas plataformas en la madrugada del día 30 de junio, habiendo elevado los filtros de validación en las compras de USDT y Bitcoin. De acuerdo con el relato del CEO al portal, fue realizada la devolución de las altas cantidades para las instituciones involucradas en la misma hora. Los valores no fueron divulgados para preservar las empresas, y él se puso a disposición de las autoridades para ayudar en las investigaciones.
Ante la gravedad del incidente, reforzamos nuestras rutinas de monitoreo en ambientes de clientes del sector financiero. Recomendamos que las empresas revisen sus integraciones con terceros, eleven el nivel de vigilancia sobre transacciones atípicas, especialmente aquellas que involucran Pix y criptoactivos, y validen procedimientos de autenticación en servicios críticos.
Seguimos acompañando el caso de cerca y mantendremos este comunicado actualizado a medida que nuevas informaciones sean confirmadas por las autoridades e instituciones involucradas.
