BC emite alerta de novo ataque hacker a instituição de pagamento
Segundo a autoridade monetária, houve 'subtração indevida de valores financeiros' da E2 Pay. Procurado, BC não se manifestou; empresa diz que apura valores e que clientes não foram afetados (Por Adriana Fernandes)
Instituições financeiras receberam neste sábado (6) alerta de segurança do Banco Central informando a ocorrência de novo ataque cibernético contra empresa de pagamento não autorizada a funcionar pelo órgão, que é a autoridade máxima do sistema financeiro nacional.
O comunicado orienta as empresas a reforçar o monitoramento das transações, inclusive as feitas internamente.
De acordo com o texto recebido por instituições do sistema financeiro, o BC diz ter detectado "incidente cibernético em instituição não autorizada.
"Informamos que foi identificado incidente de cibernético na E2 Pay, resultando na subtração indevida de valores financeiros. Por isso, recomendamos as seguintes ações de forma imediata: Reforçar o monitoramento contínuo de todas as transações financeiras, mesmo em transações de book transfer [transferência de valores dentro da própria instituição]."
Procurado, o BC não se manifestou até a publicação desta reportagem. O advogado Guilherme Carneiro, que representa a E2, disse à Folha na manhã deste domingo (7) que o valor desviado ainda está em apuração.
Em nota a E2 disse que a E2 Pay, citada no alerta do BC, é uma empresa que presta serviços de gateway (porta de ligação) de pagamento. "Ela difere da E2 Instituição de Pagamento Ltda., que tem a própria E2 Pay como um de seus clientes", diz a nota.
Segundo a E2, já foram adotados procedimentos internos de verificação e monitoramento, confirmando a integridade plena das operações. "Não houve qualquer comprometimento do sistema, de modo que nenhuma outra conta ou cliente está em risco", disse a empresa.
"A E2 está prestando todo o auxílio necessário à E2 Pay e ambas cooperam com os órgãos reguladores para dirimir a controvérsia e apurar, conter e reaver o montante subtraído."
A E2 é uma participante indireta do arranjo de pagamentos do Pix, não autorizada pelo BC. "Não significa dizer que a sua atividade é proibida. Existem critérios mínimos, por exemplo de volume de transações, para que uma instituição de pagamento precise solicitar autorização ao BC para funcionar", diz Carneiro.
A E2 não se enquadrava nesses critérios e a autorização estava dispensada. Os parâmetros, no entanto, foram atingidos e o processo de solicitação de autorização ao BC está em trâmite, de acordo com a empresa.
Integrantes do mercado calculam que o dinheiro desviado foi enviado para cerca de 400 contas recebedoras, possivelmente de laranjas.
O BC anunciou nesta semana um pacote de medidas visando reforçar a segurança do sistema financeiro nacional após a divulgação de três ataques cibernéticos neste ano —o deste sábado é o quarto. O objetivo é fechar brechas que permitiram a infiltração do crime organizado na economia.
Preocupado com os recentes ataques hackers que provocaram desvios milionários de recursos, o BC anunciou, entre outras medidas, a limitação em R$ 15 mil de Pix e TED para instituições de pagamento não autorizadas e que se conectam à Rede do Sistema Financeiro Nacional via PSTI (Prestadores de Serviços de Tecnologia da Informação).
O órgão também aumentou os requisitos e controles para o credenciamento das PSTI e anunciou que nenhuma instituição de pagamento poderá começar a operar sem prévia autorização.
A autoridade monetária promete mais rigor com relação ao limite de valor das transações via Pix. A ideia é reduzir o montante de cada operação para um nível que não inviabilize 99% das transações, mas facilite a identificação de golpes pela multiplicidade de operações.
Até então não entrava no escopo de regulação do BC a forma como as instituições sem infraestrutura de conectividade contratam e se relacionam com as empresas prestadoras de serviços de tecnologia.
A fragilidade dessa relação ficou mais evidente para a autoridade monetária com os ataques cibernéticos envolvendo as empresas C&M Software e Sinqia —o desvio somado nos dois episódios é de cerca de R$ 1,5 bilhão.
Na quarta (3), o secretário da Receita Federal, Robinson Barreirinhas, afirmou que o Coaf (Conselho de Controle de Atividades Financeiras) "não está dando conta" de rastrear a movimentação de dinheiro sujo por meio das contas-bolsão utilizadas por fintechs.
Contas-bolsão são contas correntes abertas por fintechs de pequeno porte, que não têm acesso ao sistema brasileiro de pagamentos, em bancos tradicionais e outras instituições de pagamento. Esse sistema dificulta a identificação de quem são os recursos movimentados por ela. Na prática, funcionam com um blindagem para os criminosos.
Atualmente, aguardam autorização do BC 72 instituições de pagamento e mais 70 instituições de outras categorias. O regulador tem expectativa de receber requerimentos de mais 14 instituições de pagamento ainda neste ano e outros 76 pedidos desse tipo de instituição no ano que vem.
A instituição de pagamento que já estiver prestando serviços e tenha seu pedido de autorização negado deverá encerrar suas atividades em até 30 dias, conforme determinação da autoridade monetária. (Fonte: Folha de SP)
Notícias FEEB PR