Como a ausência de tratamento de incidentes, análise de riscos e controle de vulnerabilidades abriu caminho para o maior golpe digital da história do Brasil

Na madrugada do dia 30 de junho de 2025, o Brasil testemunhou um marco negativo em sua história digital: criminosos conseguiram desviar quase R$ 1 bilhão diretamente de contas reserva mantidas por instituições financeiras no Banco Central, através de uma sofisticada violação da cadeia de suprimentos. O alvo direto foi a prestadora de serviços de tecnologia C&M Software, e a falha não foi meramente técnica — foi sistêmica.

Mas será que esse desastre poderia ter sido evitado?

A resposta curta é: sim. Com um tratamento de incidentes eficaz, análise de riscos proativa e monitoramento contínuo de vulnerabilidades conhecidas (CVEs), esse ataque não teria alcançado tal escala. Vamos entender por quê.

---

🔍 O Que Deu Errado

O ataque não partiu diretamente contra os bancos, mas contra um elo de confiança pouco monitorado: uma empresa terceirizada que conectava dezenas de instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB). Utilizando acesso privilegiado de um insider, os criminosos obtiveram certificados digitais e credenciais legítimas, simulando transferências autorizadas no sistema oficial.

A operação durou poucas horas, mas o estrago foi imenso.

---

🚨 Onde Falhou a Segurança

1. Falta de um Plano de Tratamento de Incidentes (IRP)

Um plano de resposta a incidentes bem estabelecido inclui:

• Monitoramento 24/7;

• Detecção automática de comportamentos anômalos;

• Isolamento rápido de sistemas afetados;

• Ações coordenadas entre prestadores, instituições e reguladores.

Nada disso ocorreu a tempo. A resposta foi reativa e descoordenada. O ataque só foi percebido por uma fintech que recebeu uma transferência incomum, horas depois de o golpe já estar em andamento.

---

2. Ausência de Análise de Riscos Proativa

A cadeia de suprimentos digital do setor financeiro brasileiro operava sob uma lógica de confiança cega. Muitos bancos terceirizaram a conectividade com o Bacen, mas não auditaram seus parceiros críticos nem exigiram monitoramento de segurança contínuo.

Uma análise de riscos eficaz teria detectado:

• O excesso de privilégios concedidos à C&M Software;

• A dependência de um único provedor para centenas de instituições;

• A fragilidade no modelo de acesso às contas reserva.

---

3. Falta de Sistemas de Gestão de Vulnerabilidades

Vulnerabilidades técnicas e de processo foram ignoradas. O próprio relatório da ZenoX aponta que:

• Havia mensagens de recrutamento de insiders circulando em fóruns abertos no Telegram meses antes do ataque;

• Certificados digitais de múltiplos clientes estavam acessíveis no mesmo ambiente;

• A lógica de negócio das contas reserva permitia movimentações de grandes valores sem múltiplas camadas de verificação.

O uso de ferramentas de varredura de CVEs, como Nessus, OpenVAS ou Rapid7, aliado à integração com frameworks como MITRE ATT&CK, teria detectado riscos de software, acessos privilegiados e má segmentação interna — todos vetores explorados na operação.

---

🔐 Como Ter Evitado o Desastre

O ataque de 30 de junho não foi um raio em céu azul. Ele era previsível — e evitável. Eis o que poderia ter feito a diferença: