O ataque hacker que atingiu a instituição financeira BMP resultou na transferência de R$ 541 milhões para 29 diferentes instituições financeiras, segundo a Polícia Civil de São Paulo.
Os criminosos desviaram os valores por meio do sistema Pix. Parte do montante já retornou à origem depois do acionamento do mecanismo de devolução automática de recursos.
Entre os destinatários, figuram bancos conhecidos e plataformas de pagamento. As empresas que respeitaram as normas antifraude do Banco Central não serão alvo de investigação.
Parte do valor que saiu da BMP foi bloqueada
Cerca de R$ 271 milhões foram bloqueados pelas autoridades, valor que saiu da BMP e foi destinado a uma única instituição, a Soffy, que recebeu 69 das 166 transferências. O Banco Central suspendeu temporariamente seis instituições de pagamento, inclusive a Soffy, por até 60 dias. O objetivo é apurar possíveis violações às regras do sistema Pix.
+ Leia mais notícias de Economia em Oeste
A autoridade monetária ressaltou ainda que pode suspender a participação de instituições que representem risco ao funcionamento do arranjo de pagamentos. O presidente da BMP, Carlos Benitez, afirmou ao site Neofeed que R$ 160 milhões já foram recuperados. Antes do crime, a instituição financeira possuía liquidez em torno de R$ 600 milhões.
“A instituição conta com colaterais suficientes para cobrir integralmente o valor impactado, sem prejuízo para a operação”, declarou a BMP, em nota.
A empresa fornece infraestrutura bancária para fintechs. O alerta sobre transações suspeitas chegou a Carlos Benitez às 4h da manhã de segunda-feira 30, depois da saída de um Pix de R$ 18 milhões. Às 7h, a equipe da BMP interrompeu as transferências, que haviam começado às 2h.
O ataque foi possibilitado por meio de uma brecha no sistema da C&M Software, empresa terceirizada responsável pela operação do Pix para diversas instituições.
Quatro criminosos ainda não foram identificados
O grupo criminoso teria pago R$ 15 mil a um técnico de informática para obter credenciais e executar códigos maliciosos nos sistemas da C&M, segundo a polícia.
Até o momento, só um ex-funcionário, João Nazareno Roque, foi preso. Ele relatou o envolvimento de ao menos quatro homens ainda não identificados. O foco inicial da operação policial, segundo o jornal Folha de S.Paulo, foi a prisão de Roque, e a análise detalhada das movimentações financeiras ainda não foi concluída. A Polícia Civil apura que, até agora, a C&M Software não pode ser responsabilizada criminalmente pelo ataque.
