Sistema de pagamentos do governo é invadido e há suspeita de desvio de recursos

A Polícia Federal e a Agência Brasileira de Inteligência (Abin) investigam uma invasão de crackers ao Siafi, sistema de pagamentos do governo federal. A suspeita é de que os criminosos atuavam por meio da internet para desviar recursos para contas pessoais. Os valores teriam sido remetidos para contas não autorizadas por meio de ordens de pagamento.

Após a invasão, ocorrida neste mês, o Tesouro Nacional, que gerencia o sistema, aplicou regras adicionais de segurança, a fim de estabelecer camadas. As primeiras diligências apontam que os invasores usaram certificados dos gestores do sistema para dar comandos que não estavam autorizados.

Os hackers tiveram acesso a contas do gov.br de gestores do Siafi, assim como as senhas, acessaram os serviços e liberaram pagamentos. A informação foi publicada inicialmente pela Folha de S.Paulo e confirmada pelo Correio junto a fontes na Polícia Federal. As credenciais teriam sido realizadas por meio de ataques de “fishing”, palavra em inglês que na tradução literal significa “pescaria”. Nesse tipo de cibercrime, pessoas mal-intencionadas enviam iscas, como links de páginas falsas para coletar os dados dos alvos.

Transferência via Pix

Uma das hipóteses é de que páginas falsas, que imitam o layout (aparência) dos sites oficiais do governo, foram utilizadas para enganar os servidores públicos. As informações teriam sido coletadas durante meses, silenciosamente, até que fossem reunidas credenciais suficientes para realizar um ataque em larga escala.

Em uma das tentativas, o cracker teria tentado realizar uma transferência via Pix, ou seja, instantânea. Mas o sistema detectou que o CPF, chave Pix utilizada, era o mesmo entre quem enviou o pagamento e quem receberia, o que é vedado pelas regras do governo. Após isso, o Tesouro Nacional teria passado a exigir o uso de certificado digital.

Porém, mesmo com a medida, foi identificado tentativas de invadir o sistema usando certificado digital emitido por empresas privadas. Por conta disso, a regra passou a obrigar o uso de certificados emitidos pelo Serviço Nacional de Processamento de Dados (Serpro).