Fintech é alvo de ataque cibernético que desvia R$ 26 milhões

A fintech FictorPay foi alvo de um ataque cibernético que resultou no desvio de R$ 26 milhões de clientes no último domingo (19). O incidente foi revelado pelo site PlatôBR e confirmado pelo Broadcast, sistema de notícias em tempo real do Grupo Estado.

De acordo com as informações, o ataque ocorreu após um vazamento de credenciais da Dilleta Solutions, empresa de software que presta serviços para a fintech do Grupo Fictor.

A Dilleta confirmou ter sido vítima de uma invasão em seus sistemas e informou, em nota, que colabora com as autoridades policiais na investigação do caso e na identificação dos responsáveis. Segundo fontes próximas à apuração, outros parceiros da empresa também foram afetados, e o valor total desviado pode chegar a pelo menos R$ 40 milhões.

Leia mais:
Ataque cibernético paralisa sistemas de check-in em aeroportos europeus e provoca atrasos

A FictorPay afirmou em nota que não teve seus sistemas afetados diretamente pelo ataque cibernético. A Celcoin, que presta serviço de bank as a service (BaaS) para a fintech, também informou que o ataque não foi direcionado à sua estrutura. Empresas de BaaS fornecem infraestrutura tecnológica para companhias que desejam oferecer serviços financeiros próprios, como contas e meios de pagamento.

No domingo (19), a Celcoin, alertada pelo próprio Banco Central (BC), comunicou à FictorPay a ocorrência de movimentações atípicas em contas de clientes, com saídas via Pix acima do volume habitual.

A Dilleta, startup fundada em 2014 por Michel Cusnir, é sediada no Parque Científico e Tecnológico da Unicamp e atua no desenvolvimento de softwares e aplicativos. A empresa nasceu dentro da Universidade Estadual de Campinas e conta atualmente com mais de 110 funcionários.

Limite para transações via Pix

O ataque no fim de semana aumentou a preocupação do Banco Central com o limite de valores para transações via Pix. A autarquia avalia impor tetos para operações em todas as instituições, e não apenas às que utilizam Prestadores de Serviços de Tecnologia da Informação (PSTIs).

Após uma série de ataques a instituições financeiras, o BC estabeleceu em setembro um limite de R$ 15 mil por transação Pix para instituições não autorizadas ou que acessam a Rede do Sistema Financeiro Nacional (RFSN) por meio de PSTIs.

A proposta de limitar também as operações de instituições autorizadas já estava em estudo e ganhou caráter de urgência após o episódio do último domingo, segundo fontes próximas ao tema.

A FictorPay não é participante direta do Pix e depende de empresas intermediárias para acessar o sistema. No entanto, as transações realizadas no domingo não partiram de uma PSTI, o que significa que não estavam sujeitas ao limite de R$ 15 mil por operação.

A Celcoin, empresa autorizada pelo BC e participante direta do Pix, oferecia à FictorPay integração ao sistema de pagamentos instantâneos por meio do modelo conhecido como “Pix indireto”. Na prática, a Celcoin funcionava como titular da conta de pagamentos, permitindo à fintech realizar as operações em nome dos clientes.

__

Laura Kaiser

Siga o Times Brasil - Licenciado Exclusivo CNBC no