A Polícia Civil de São Paulo prendeu nessa quinta-feira (3) João Nazareno Roque, o funcionário da empresa de tecnologia C&M Software (CMSW) que deu acesso ao sistema sigiloso da empresa permitindo que hackers fizessem transferências financeiras por PIX. Uma das instituições afetadas, a BMP, teve um prejuízo de R$ 541 bilhões. Segundo a Polícia Civil, Roque confessou sua participação ao vender seu login e senha por R$ 5 mil. Logo depois recebeu mais R$ 10 mil para criar um sistema que permitisse os desvios.
A C&M Software é uma empresa brasileira de tecnologia da informação (TI) voltada para o mercado financeiro. Entre os serviços prestados pela companhia está o de conectividade com o Banco Central (BC) e de integração com o Sistema de Pagamentos Brasileiro (SBP).
A empresa funciona como uma intermediária para que instituições financeiras menores possam se conectar aos sistemas do BC e fazer operações. A C&M tem atuação nacional e internacional e foi homologada pelo BC para essa função desde 2001. Atualmente, outras oito empresas também são homologadas no país.
De acordo com a Polícia Civil, Roque disse que só se comunicava com os criminosos por celular, não os conhece pessoalmente e nem mesmo sabe seus nomes. Além disso, contou que trocou de celular a cada 15 dias para não ser rastreado. A versão que Roque deu à Polícia foi a de que foi abordado quando saía de um bar próximo de sua casa. Falou ainda que as pessoas já sabiam que trabalhava na empresa.
“O João (Roque) se trata de um insider e é fruto de engenharia social por parte dos criminosos. Eles cooptam o funcionário de dentro da empresa. Esse João tem formação em TI, tem pós-graduação em TI e ele foi cooptado pelo crime. Ele forneceu as credenciais, a senha, foi a primeira porta a que facilitou a entrada do grupo criminoso. Existem outros bancos que sofreram prejuízo, mas nós não podemos divulgar em razão do sigilo das investigações”, disse o responsável pelas investigações, Paulo Barbosa, da 2º Divisão de crimes cibernéticos (DCCyber)
O caso veio a público quando a BMP registrou um boletim de ocorrência relatando que havia sido alvo de desvios milionários e a C&M que reportou às autoridades um ataque às suas infraestruturas. “As transferências foram feitas na madrugada do dia 30, foram percebidas às 4h30 da madrugada e foram até as 7h. A partir desse horário fecha a vazão de dinheiro, eles começam a tentar entender e conseguem enxergar de forma mais clara o que estava acontecendo no meio da manhã”, explicou o delegado do Deic, Renan Topan.
Em nota, a C&M Software diz que colabora com as investigações e diz que, desde que foi identificado o incidente, adotou “todas as medidas técnicas e legais cabíveis”. A empresa diz também que a plataforma continua plenamente operacional e que, em respeito ao trabalho das autoridades, não se pronunciará publicamente enquanto os procedimentos estiverem em andamento.
