Ataque ao sistema financeiro expõe falhas na gestão de identidades e uso de chaves, reforçando a urgência de práticas robustas de segurança
Por Marcelo Leite
Julho de 2025 ficou marcado na história da segurança digital no Brasil. Um ataque hacker sem precedentes resultou no desvio de mais de R$ 541 milhões diretamente do sistema financeiro nacional, ao explorar falhas de acesso em uma prestadora de infraestrutura crítica conectada ao Banco Central.
O caso traz à luz fragilidades ainda existentes na gestão de identidades, autenticação e controle de terceiros, especialmente em ambientes de missão crítica como os sistemas de pagamento instantâneo.
Analisando aspectos técnicos e organizacionais por trás do ataque, podemos destacar pontos de falha evitáveis e aumentar o foco em boas práticas para a segmentação de acesso, diligência de fornecedores e governança de identidade.
Vetor do ataque: Um fornecedor, uma credencial, meio bilhão de Reais
A vulnerabilidade explorada encontrava-se na cadeia de fornecedores de serviços digitais, na empresa C&M Software, responsável pela conectividade de instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB) e ao PIX. Com acesso direto a contas de liquidação junto ao Banco Central, operava como uma camada intermediária crítica.
A origem do ataque foi uma combinação devastadora de fatores:
- Um operador de TI da empresa vendeu suas credenciais por valores irrisórios;
- A autenticação de acesso não exigia multifator (MFA) ou validação por dispositivo criptográfico;
- O sistema não contava com monitoramento comportamental ou segmentação de privilégios adequada, permitindo transações amontadas ao valor desviado partindo de um único usuário;
- Não havia isolamento ou auditoria em tempo real dos tokens de acesso utilizados para movimentações via PIX.
O resultado foi a criação de transações falsas autorizadas diretamente pelo sistema da empresa, passando-se por comandos legítimos das instituições financeiras atacadas. Mais de 10 bancos foram afetados e o Banco Central só foi alertado após as movimentações já terem ocorrido.
Gestão de Identidades ou de Fornecedores, qual o elo fraco?
O incidente evidencia que a segurança e segmentação de acesso não devem ser pensadas apenas nos operadores e no usuário final do sistema financeiro, mas precisa ser exigida ao longo da cadeia de fornecedores. Em um sistema altamente interconectado, um único ponto comprometido — um certificado não rotacionado, uma credencial mal protegida, um terceiro com privilégio excessivo, um offboarding negligente de colaboradores — pode colocar todo o ecossistema em risco.
A ausência de mecanismos básicos como políticas de privilégio mínimo; auditorias de acesso privilegiado (PAM); cofres de credenciais e rotação automatizada de segredos (vaulting); registro e monitoramento contínuo de APIs e tokens de autenticação — exemplificam mais que mera falha na T.I., mas sérias questões de governança que afetam toda a cadeia do serviço financeiro e servem de exemplo para outros setores de alta interoperabilidade técnica.
A C&M atuava como um nó confiável dentro do sistema. Contudo, essa confiança sem uma devida verificação gerou falhas na segurança. Apesar de seu papel estratégico, após o incidente verificou-se não haver exigência formal de certificação em normas como ISO/IEC 27001 ou 27701, somado à ausência de auditoria documentada por órgãos independentes.
À ausência de controle da conformidade com práticas regulares de gestão de identidade federada e de governança de chaves criptográficas, permitiu-se que chaves operacionais de acesso fossem reutilizadas e manipuladas com facilidade. Onde a assinatura digital de transações é um mecanismo vital de integridade, o uso de credenciais comprometidas sem registros de logs imutáveis dificulta ainda o rastreio do ponto exato de comprometimento em tempo real.
O papel da gestão de identidades em ambientes de alto risco: Descuido e impactos sistêmicos
Apesar de a maior parte das instituições terem absorvido o prejuízo, a confiança no sistema PIX e na intermediação digital de pagamentos foi diretamente abalada. O episódio reforça a importância da integridade das transações digitais para a confiança dos usuários, e mostra como qualquer comprometimento mina os alicerces da credibilidade digital.
Recuperar os valores desviados depende agora de rastreamento de transações, cooperação internacional e bloqueio em exchanges de criptoativos. Muitos “laranjas” envolvidos nas transações alegam ter recebido os valores de forma passiva, sem conhecimento do esquema — um reflexo da fragilidade das práticas de verificação de identidade (know your client) em ambientes de onboarding digital acelerado.
Uma análise da infraestrutura comprometida, bem como do modus operandi do ataque, indica a necessidade de adoção de medidas robustas de segurança, como a criptografia ponta a ponta com utilização de módulos de segurança de hardware (HSMs) para a validação e assinatura de transações.
Também se recomenda o uso de assinaturas digitais baseadas em certificados qualificados — como os da ICP-Brasil ou equivalentes — especialmente para autenticação de movimentações críticas. Alertas automatizados em casos de transações de alto valor ou de volume elevado executadas por um único usuário ou organização dentro da cadeia de fornecedores.
Além disso, a implementação de auditoria com base em blockchain interno ou logs imutáveis é fundamental para garantir rastreabilidade e prevenir fraudes. Por fim, deve-se estabelecer uma política clara de revogação e reemissão de chaves em situações de comprometimento de credenciais, assegurando a continuidade da proteção e a confiança na infraestrutura digital.
A criptografia mal implementada, ou não documentada e monitorada em pontos críticos, pode não apenas se tornar ineficaz como ferramenta de segurança, mas ainda proteger o agente malicioso que consegue entrada no sistema.
Boas práticas para infraestruturas digitais críticas
Com base no incidente, algumas recomendações práticas tornam-se indispensáveis para instituições financeiras, fintechs, provedores de assinatura digital e sistemas de pagamento. Em relação à segurança de credenciais e acessos privilegiados, urge o uso de soluções de Privileged Access Management (PAM), com segregação adequada de funções. A autenticação múltiplos fatores (MFA) a ser adotada como padrão mínimo, preferencialmente associada a assinaturas baseadas em hardware criptográfico, como módulos de segurança de hardware – HSMs – ou tokens.
No que diz respeito à governança de terceiros e fornecedores, a necessidade de processos de due diligence contínuos, com revisão periódica da conformidade com normas como ISO 27001, ISO 27701, NIST ou CIS, exigindo evidências concretas de boas práticas em identidade digital, validação de chaves, manutenção de logs auditáveis e mecanismos eficazes de revogação.
Por fim, a promoção de uma cultura de segurança é igualmente vital: capacitações contínuas sobre engenharia social devem ser incorporadas à rotina das equipes, e a gestão de acesso e identidades precisa ser tratada como tema estratégico nas equipes de segurança e nas auditorias internas das organizações.
O maior ataque cibernético ao sistema financeiro brasileiro não foi uma falha de tecnologia, mas de governança de identidade e de gestão de fornecedores. Mostrou que sem uma arquitetura robusta de autenticação, gestão de credenciais e diligência na cadeia de terceiros, mesmo os sistemas mais resilientes podem ser comprometidos — com bilhões em jogo. Somos cada vez mais inseridos em transações digitais, chaves criptográficas e contratos inteligentes, a segurança começa — e termina — na identidade.
O papel da IAM na Advocacia 5.0
O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.
Conheça a coluna Cibersegurança.
Cadastre-se para receber o IDNews e acompanhe o melhor conteúdo do Brasil sobre Identificação Digital! Aqui!
