Um operador de TI vendeu o próprio login. Saíram mais de R$ 541 milhões pelo Pix.
Não houve exploração de falha. Houve uma abordagem na saída de um bar e uma credencial legítima trocada por dinheiro vivo, o suficiente para mover centenas de milhões entre instituições financeiras.
Insider aliciadoJoão Roque, 48 anos, trabalhava como operador de TI na C&M Software, a empresa que conecta instituições financeiras à infraestrutura do Banco Central. Segundo a reportagem do The Record, ele foi abordado por criminosos na saída de um bar em São Paulo e concordou em vender suas credenciais de acesso.
Com um login legítimo em mãos, o grupo gerou ordens de transferência fraudulentas. Seis instituições foram afetadas; em uma delas o valor confirmado passou de R$ 541 milhões. Roque recebeu cerca de US$ 2,7 mil, pagos em dinheiro em duas parcelas.
A C&M declarou publicamente que não houve falha técnica no sistema. O vetor foi humano do começo ao fim: um pedido feito pessoalmente, aceito por alguém com a credencial certa, sem nenhum controle exigindo uma segunda confirmação antes do uso.
Nenhum EDR registra uma conversa na calçada. O controle que falta aqui não é técnico: é o procedimento que separa quem tem a credencial de quem pode usá-la sozinho, e a rotina que testa se esse procedimento resiste a um pedido fora do canal oficial.
