Milhões evaporaram. O método? Nem malware, nem hackers geniais: um funcionário terceirizado que vendeu suas credenciais por R$ 15 mil. Este é o retrato do crime que expôs o elo mais frágil da cibersegurança: o ser humano.
Método do crime: "Supply Chain Attack"
A prisão: O "traidor interno"
Resposta das autoridades
Impacto sistêmico: Por que bancos menores são vulneráveis?
- BMP, Prejuízo de R$ 541 milhões, Operações normalizadas.
- Banco Paulista, Não divulgado, Pix interrompido temporariamente
- Credsystem, Não divulgado, Sob investigação
- Fonte: Polícia Civil e BC.
Consequências e Atitudes
- Regulação mais dura: O Conselho Monetário Nacional (CMN) deve exigir bipartição de acessos e auditorias frequentes em empresas terceirizadas
- Seguro contra fraudes: Bancos pressionam por apólices que cubram prejuízos de ataques cibernéticos.
- Alerta global: O caso virou referência em crimes financeiros digitais, com método replicável em outros países.
- Para correntistas: Nenhum cliente foi afetado — o prejuízo é das instituições. Mas o episódio reforça a necessidade de cobrar transparência em políticas de segurança dos bancos.
Conclusão: O elo mais fraco é humano
EXPLICANDO TERMOS UTILIZADOS
1. O que é um Ataque de Supply Chain?
- Fase Upstream: Invasão do fornecedor (neste caso o próprio funcionário serviria, de formula análoga, como um malware).
- Fase Downstream: Disseminação do "componente" comprometido aos clientes do fornecedor.
- SolarWinds (2020): Backdoor (SUNBURST) inserido em atualizações do software Orion, afetando 18 mil clientes, incluindo agências dos EUA.
- Kaseya (2021): Vulnerabilidade em software de gerenciamento permitiu ransomware infectar 1.500 empresas via atualizações.
- Caso Banco Central BR (2025): Funcionário da empresa terceirizada C&M Software vendeu credenciais por R$15 mil, facilitando desvio de R$541 milhões via PIX.
POSSIVEIS AÇÕES DE PREVENSÃO E DEFESA
- Auditoria rigorosa de fornecedores.
- Princípio de menor privilégio limitando acessos e constante verificação (ZERO TRUST) .
- Verificação de integridade de código (ex: assinaturas digitais).
- Monitoramento
- Treinamento de funcionários
- Investimento em Princípios e Profissionais de Cibersegurança
2. O que é um Ataque de Engenharia Social?
- Phishing: E-mails falsos (ex: suposto banco solicitando senhas).
- Baiting: Atiçando a Curiosidade da Vítima (ex: USB infectado deixado em local público).
- Pretexting: Criação de cenários falsos (ex: hacker se passa por técnico de TI).
- Vishing: Chamadas telefônicas fraudulentas
₿ 3. O que é Criptomoeda? Por que é Usada em Ataques?
- Anonimato relativo: Endereços de carteira não vinculam diretamente a identidades reais.
- Irreversibilidade: Transações não podem ser canceladas.
- Globalização: Transfronteiriça sem regulamentação uniforme.
- Exemplos de ataques a outras instituições financeiras:
- Ransomware Colonial Pipeline (2021): Hackers exigiram US$4.3 milhões em Bitcoin para descriptografar sistemas.
- Criptojacking: Uso não autorizado de dispositivos para minerar criptomoedas (ex: via scripts em sites).
Desafios para autoridades:
Glaidson Acácio foi preso em 2021 por liderar uma pirâmide financeira que movimentou R$ 7 bilhões. Durante a operação, a PF apreendeu seu notebook, que contém uma carteira de criptomoedas com saldo equivalente a R$ 400 milhões.
Status atual (julho/2025):
O notebook está guardado na Superintendência da PF no Rio de Janeiro, mas as autoridades não conseguem acessar os fundos.
Glaidson recusa-se a revelar a senha da carteira, mesmo sob pressão judicial.
Desafio técnico:
A carteira é protegida por criptografia AES-256, considerada quantum-resistant (resistente a ataques de computação quântica).
Sem a senha ou seed phrase (frase de recuperação), a descriptografia é computacionalmente inviável – exigiria brute force com trilhões de tentativas.
Por que a PF não Quebrou a Criptografia?
Falta de padrão de custódia:
A PF não possui protocolos centralizados para armazenar seeds ou gerenciar criptoativos apreendidos. Cada investigador define métodos distintos, muitas vezes ineficientes.
Limitações técnicas:
A ausência de ferramentas especializadas para extração segura de seeds de dispositivos físicos (ex: hardware wallets) é crítica. Casos de sucesso, como em uma ação da Polícia Australiana, dependem de expertise forense digital avançada.
Proteção legal:
A recusa do investigado em cooperar não pode ser contornada sem ferir garantias constitucionais e Direitos Humanos. Decisões judiciais anteriores barraram tentativas de coerção para obtenção de senhas.
Outros Casos
Austrália (2025): Polícia decifrou uma seed phrase e confiscou R$ 50 milhões em criptomoedas após analisar dispositivos do suspeito.
Brasil: A PF já apreendeu 291 tipos de criptoativos (incluindo BTC, ETH, DASH), mas não sabe quantificar o total sob custódia – muito menos acessá-los.
Perspectivas Futuras
Capacitação: O Ministério da Justiça iniciou em 2025 cursos para policiais identificarem e rastrearem criptomoedas usadas em crimes, mas a implementação é lenta.
Tecnologia: Soluções como contratos inteligentes de bloqueio automático (ex: timelocks) ou carteiras multisig poderiam facilitar o controle de ativos apreendidos, mas ainda não são adotadas.
Risco sistêmico: Enquanto não houver protocolos unificados, casos como o do Faraó do Bitcoin continuarão a expor lacunas entre a apreensão física e o acesso efetivo aos ativos digitais.
Conclusão:
- A wallet (carteira) de R$ 400 milhões em Dash permanece um "fantasma" na custódia da PF – símbolo do descompasso entre a evolução do crime digital e a capacidade estatal de resposta. A solução exigirá avanços técnicos, cooperação internacional e marco regulatório específico para criptoativos apreendidos. Dai então a atitude dos criminosos de transferirem o dinheiro para cripto wallets, dinheiro esse que, caso siga-se a mesma linha da historia do "Faró do Bitcoin" nunca mais vai ver a luz do dia, mesmo com o criminosos custodiados.
- Padrões Comuns em Ataques Financeiros
- Supply Chain + Engenharia Social: Combinam-se para contornar defesas técnicas (ex: caso C&M Software).
- Criptomoedas como estágio final: Conversão de recursos roubados acelera a lavagem e dificulta recuperação.
- Tendência: Ataques à cadeia de suprimentos cresceram 742% em 2020; ransomware contra fornecedores subiu 270% em 2021.
- Recomendações técnicas possíveis para evitar casos como esse: Implementar Zero Trust (nunca confiar, sempre verificar) e segmentação de redes para conter danos.
Fontes:
- • UOL: Detalhes do ataque e prisão
- • G1: Valores desviados e perfil do preso
- • Olhar Digital: Cronologia do crime
- 👾 O conteudo deste post faz jus as informações disponiveis publicamente em 04/07/2025
Comentários
Postar um comentário