Los hackers robaron 148 millones de dólares utilizando las credenciales de un empleado para acceder a los sistemas vinculados al PIX y al Banco Central.

Ha sido calificado como el ataque hacker más grave jamás registrado contra el sistema financiero brasileño. Ocurrió en apenas dos horas y media el miércoles y afectó a todo el sistema de pago rápido del gigante latinoamericano, el llamado PIX, y a las infraestructuras digitales del Banco Central (BC).

El ataque se llevó a cabo mediante una intrusión en los sistemas informáticos de C&M Software, una empresa tecnológica autorizada por el Banco Central para conectar bancos menores y fintech a los sistemas centrales del sistema bancario nacional.

Los hackers lograron acceder y vaciar las llamadas cuentas de reserva, es decir, aquellas cuentas que las instituciones financieras mantienen en el Banco Central de Brasil para garantizar la liquidez y participar en operaciones con la institución, como préstamos o inversiones en títulos públicos. Según las investigaciones de la Policía Civil de San Pablo, al menos seis instituciones financieras se vieron afectadas. Los hackers robaron más de 800 millones de reales (148 millones de dólares), aunque el recuento definitivo aún está en curso. Solo BMP, una empresa brasileña que no presta servicios a clientes privados, sino que opera bajo el modelo Banking as a Service (BaaS), ofreciendo soluciones tecnológicas y financieras a otras empresas, además de conceder préstamos y apoyar la gestión de servicios bancarios digitales, sufrió una pérdida de 541 millones de reales (99,8 millones de dólares). Además de BMP, según el sitio web de noticias económicas Valor Econômico, entre las víctimas también se encuentran Credsystem y Banco Paulista. Sin embargo, el Banco Central aún no ha publicado la lista completa ni confirmado el valor total sustraído.

La Policía Civil detuvo ayer en San Pablo a un empleado de C&M, João Nazareno Roque, de 48 años. Según las investigaciones, fue él quien proporcionó sus credenciales a los criminales, permitiéndoles acceder al sistema. A cambio, habría recibido 15.000 reales (2.766 dólares), 5000 reales (922 dólares) por entregar la contraseña y 10.000 reales (1.844 dólares) por explicar cómo entrar en el sistema. Roque confesó a la policía que cambiaba de teléfono cada 15 días para evitar ser rastreado y que no conocía personalmente a los delincuentes, con los que solo se comunicaba por teléfono móvil. Al parecer, fue abordado a la salida de un bar por un intermediario que le propuso una ganancia elevada y rápida. Tras el ataque, el Banco Central suspendió inicialmente por completo el acceso de las instituciones vinculadas a C&M Software, para luego adoptar una suspensión parcial. La medida se tomó para limitar los daños y reforzar la seguridad. Según los expertos del sector, el caso atraerá la atención de los reguladores financieros, como el propio Banco Central y el Consejo Monetario Nacional, ya que representa un ejemplo concreto de los riesgos sistémicos derivados de la creciente digitalización del sistema bancario.

El Banco Central suspendió temporalmente durante unas horas el uso del PIX para varias instituciones, lo que afectó a millones de usuarios. Este ataque ha puesto de manifiesto una fragilidad estructural que se había ignorado durante mucho tiempo: nuestra arquitectura financiera ha evolucionado a una velocidad exponencial, pero la seguridad se ha quedado anclada en modelos obsoletos. Ha surgido una fragilidad sistémica. El problema no radica solo en el software o en un error humano específico, sino en el propio modelo. La externalización de la infraestructura crítica, como el ‘core banking’ y los sistemas de mensajería, transfiere niveles esenciales de seguridad a terceros. En la práctica, muchas instituciones reguladas han renunciado al control de la ‘puerta de entrada’ y la ‘puerta trasera’ de sus sistemas. El ataque ha demostrado que la seguridad no se consigue con más muros, sino con una arquitectura sólida desde el núcleo.

En resumen, el ataque puso de manifiesto graves vulnerabilidades en la seguridad informática del sistema financiero brasileño, en particular en el delicado ecosistema de las fintech y los proveedores externos de tecnología bancaria. Sin embargo, Brasil es un país a la vanguardia.

Fuente: Infobae