Homem repassou credenciais em troca de dinheiro e operou comandos para invasores; prejuízo pode chegar a R$ 1 bilhão
A Polícia Civil de São Paulo prendeu, na quinta-feira (3), um operador de TI suspeito de colaborar com o ataque hacker que comprometeu o sistema financeiro nacional e afetou pelo menos seis instituições. João Nazareno Roque, de 48 anos, foi detido pelo Departamento Estadual de Investigações Criminais (DEIC), acusado de fornecer credenciais corporativas e operar remotamente o sistema da empresa onde trabalhava.
Segundo as investigações, João era funcionário da C&M Software, empresa que conecta bancos menores e fintechs aos sistemas do Banco Central, como o Pix. Ele teria permitido que criminosos acessassem o ambiente restrito da empresa BMP Instituição de Pagamentos S/A, viabilizando transferências bancárias fraudulentas.
Em depoimento à polícia, o operador revelou que foi abordado inicialmente em março, na rua, por um homem que demonstrava saber detalhes sobre sua rotina profissional. Dias depois, recebeu uma proposta por WhatsApp: entregar login e senha em troca de R$ 5 mil. O pagamento foi feito em dinheiro, por motoboy — o mesmo método usado para um segundo repasse, de R$ 10 mil, por sua continuidade no esquema, executando comandos a partir do próprio computador.
A ação dos hackers causou alarde no mercado na última quarta-feira (2). A C&M informou ao Banco Central que suas infraestruturas haviam sido alvo de ataque e que criminosos utilizaram credenciais legítimas de clientes para se infiltrar no sistema como se fossem instituições financeiras autorizadas.
A empresa nega que seus sistemas tenham sido invadidos diretamente e afirmou que os sistemas críticos seguem íntegros. “A CMSW é vítima da ação criminosa, tanto pelo uso fraudulento de seus serviços quanto pela exposição gerada por credenciais externas comprometidas”, disse em nota.
O Banco Central não revelou o nome das instituições afetadas nem os valores exatos envolvidos no ataque. Entretanto, estimativas do Brazil Journal apontam prejuízos que podem chegar a R$ 1 bilhão.
Embora tenha sido homologada pelo Banco Central desde 2001, a C&M não possui qualquer vínculo contratual com o órgão regulador. A empresa atua como prestadora de serviços para bancos e fintechs, fornecendo a infraestrutura necessária para que instituições menores acessem o Sistema de Pagamentos Brasileiro.
