Ataque hacker atinge Sinqia, empresa que conecta bancos ao Pix; HSBC diz que clientes não foram afetados

Na sexta-feira (29), hackers atacaram a Sinqia, uma das principais empresas de processamento de pagamentos em atuação no Brasil. A própria companhia disse ter detectado atividades suspeitas no sistema que conecta bancos ao Pix. A informação foi publicada primeiro pelo portal Neo Feed.

A Sinqia presta serviço a várias instituições financeiras do país. Os nomes de eventuais impactados não foram divulgados, e a empresa não confirmou se os criminosos conseguiram, de fato, desviar dinheiro. O caso chega quase dois meses depois de outro ataque, que desviou quase R$ 1 bilhão em recursos mantidos no Banco Central.

Segundo a colunista Mariana Barbosa, do UOL, os hackers teriam desviado R$ 380 milhões do HSBC por meio de movimentações via Pix. O banco respondeu em nota. Disse ter identificado transações via Pix em uma conta de um provedor e afirmou que nenhuma conta de clientes ou de fundos foi atingida, porque as operações ocorreram exclusivamente no sistema desse provedor. O HSBC acrescentou que tomou medidas para bloquear as transações nesse ambiente, reafirmou o compromisso com a segurança de dados e se colocou à disposição das autoridades nas investigações.

A Sinqia informou que abriu uma investigação, com apoio de especialistas forenses, e que já está em contato com os clientes afetados, que segundo ela são um número limitado de instituições financeiras. Pela empresa, o incidente se restringe ao ambiente Pix: não há evidência de atividade suspeita em outros sistemas da Sinqia, o problema afeta apenas a operação no Brasil e, por ora, não há indicação de comprometimento de dados pessoais.

O delegado Vytautas Zumas, da Polícia Civil de Goiás e especialista em cibersegurança, explica o papel de empresas como essa. O Pix é um produto do Banco Central, e as instituições financeiras precisam se conectar à rede do sistema financeiro nacional. Poucas empresas são autorizadas pelo BC a prestar esse serviço, descrito por ele como o coração da instituição financeira nos processos de pagamento. Os bancos contratam terceirizadas como a Sinqia porque, na avaliação dele, é mais seguro adquirir a conexão como serviço. Para Zumas, "ao que tudo indica", alguma vulnerabilidade foi explorada nesse serviço.

O precedente é de julho, quando um ataque desviou cerca de R$ 1 bilhão de recursos mantidos no Banco Central, o maior evento do tipo já registrado no Brasil. Os valores estavam em contas de clientes da C&M Software, que também presta serviços de tecnologia ao setor financeiro, como a XP e o Bradesco.

Como naquele episódio, o incidente de sexta não atingiu a infraestrutura do Pix, que segue funcionando normalmente. A Folha de S.Paulo procurou o Banco Central, mas não obteve resposta. Ficam em aberto quais instituições foram afetadas, quanto foi de fato desviado e o que a investigação da Sinqia vai apurar.