Em junho de 2025, o Brasil presenciou o maior ataque cibernético já registrado no país, com o desvio de mais de R$ 500 milhões da instituição de pagamentos BMP.
A entrada dos criminosos no ambiente da empresa foi facilitada por uma brecha em uma fornecedora parceira, a C&M Software. O caso rapidamente se tornou referência não apenas pelo tamanho do prejuízo, mas pela clareza com que revelou fragilidades ainda presentes em muitas infraestruturas digitais corporativas.
Apesar da sofisticação da operação, o ataque teve início com uma falha básica: um colaborador da C&M vendeu suas credenciais de acesso por apenas R$ 15 mil. Com isso, os invasores obtiveram acesso interno, conseguiram certificados digitais válidos e realizaram transações com aparência legítima.
O que poderia ter sido apenas mais um caso de engenharia social rapidamente escalou para uma violação sistêmica, com impacto nacional.
O que esse incidente escancara é que, em ambientes corporativos, uma única brecha, seja humana, técnica ou de processo, pode abrir caminho para perdas massivas.
O sucesso da operação só foi possível porque uma série de proteções essenciais estavam ausentes ou mal implementadas.
Entre os principais pontos de falha, o primeiro foi a ausência de autenticação forte. A senha do funcionário foi suficiente para acessar o ambiente interno da empresa, sem exigir qualquer validação adicional baseada em dispositivos confiáveis. Em um cenário ideal, esse acesso teria sido bloqueado por certificados digitais vinculados a endpoints autorizados.
O segundo ponto crítico foi a gestão inadequada de certificados digitais. Os invasores encontraram arquivos PFX armazenados de forma insegura em servidores, sem criptografia forte ou uso de módulos HSM (Hardware Security Module), o que permitiu o uso fraudulento das chaves.
Outro fator decisivo foi a exploração de uma vulnerabilidade técnica no servidor, sinal claro de falhas no processo de atualização, hardening e gestão de riscos. A ausência de qualquer mecanismo inteligente de validação de transações também chamou a atenção. As movimentações fraudulentas simulavam padrões legítimos, passando despercebidas. Por fim, nenhum sistema de segurança interno detectou atividades incomuns. O alerta só veio das corretoras de criptomoedas, ao identificarem transações suspeitas.
Todos esses pontos possuem soluções conhecidas e viáveis. O uso de autenticação baseada em certificados digitais de dispositivos (também chamados de machine identity certificates) é uma das mais poderosas barreiras contra esse tipo de ataque.
Essa tecnologia garante que mesmo que credenciais sejam comprometidas, o acesso ao sistema continuará restrito a máquinas autorizadas, funcionando como uma espécie de carteira de identidade digital dos equipamentos corporativos. Quando combinada com outras práticas modernas de segurança, como gestão adequada de chaves criptográficas, segmentação de redes, monitoramento contínuo (SIEM, EDR, XDR) e validação inteligente de transações, a proteção da empresa se eleva de forma substancial.
Na GlobalSign, somos especialistas em identidade digital e infraestrutura de chave pública (PKI). Oferecemos soluções robustas e escaláveis para proteger a comunicação entre pessoas, máquinas e sistemas, garantindo que apenas dispositivos autorizados acessem informações sensíveis. Em um cenário em que ataques estão cada vez mais direcionados e oportunistas, investir em uma arquitetura de segurança moderna e integrada não é apenas uma boa prática — é uma necessidade estratégica.
A principal lição do ataque à BMP e à C&M é simples e poderosa: não foi uma tecnologia revolucionária que causou o maior prejuízo cibernético da história do Brasil. Foi a ausência de fundamentos básicos de segurança. E isso deve acender um alerta em todas as organizações que ainda operam com confiança implícita, autenticação baseada apenas em senhas e baixa visibilidade do próprio ambiente.
A boa notícia? Todas essas falhas têm solução. E a hora de agir é agora.
__________
Luiza Dias é diretora presidente da GlobalSign Brasil