Empresa que opera PIX apresenta falha que afetou 161 mil clientes de 300 instituições

Uma falha de segurança em uma das empresas que operam o PIX, informada pelo Banco Central em 21 de janeiro, foi muito maior do que parecia inicialmente e comprometeu dados de quase 161 mil clientes de cerca de 300 instituições.

Criminosos invadiram a plataforma da Acesso para obter dados pessoais ligados a chaves PIX de pessoas físicas com contas em bancos, instituições de pagamentos e cooperativas, entre outros. A partir da Acesso, os invasores conseguiram roubar dados de clientes de centenas de instituições.

A Acesso pode ser multada pelo que o Banco Central classificou, na ocasião, como “falhas pontuais”. De acordo com o BC, a Acesso não cumpriu exigências de segurança do PIX, como a adoção de “mecanismos de prevenção a ataques de leitura”.

Em maio de 2021, a Méliuz anunciou um acordo para a compra da Acesso, numa operação de R$ 324,5 milhões.

Cotada na Bolsa de Valores desde novembro de 2020, sob o código CASH3, a Méliuz informou na época que a operação permitiria expandir os serviços financeiros oferecidos e desenvolver soluções em contas digitais e pagamentos, entre outros.

Segundo o BC, foram expostas no vazamento 160.603 chaves, de 159.603 pessoas físicas. Uma pessoa pode ter mais de uma chave.

Nem o BC nem a Acesso deram detalhes sobre como se deu o vazamento. Naquele momento, a empresa apenas informou que havia identificado “consultas indevidas a dados relacionados às chaves PIX a partir da plataforma da Acesso Soluções de Pagamento no Diretório de Identificadores de Contas Transacionais (Dict)”. As consultas ocorreram de 3 a 5 de dezembro.

O BC disse que o caso foi apurado e que a Acesso pode ser punida. “Enquanto participante do PIX, a instituição está sujeita à aplicação de multa por descumprir os dispositivos do regulamento”, disse o órgão por meio de nota. O BC não informou o valor da multa.

Além disso, o Banco Central pediu que a Acesso “adotasse as medidas para atender às regras previstas no âmbito do PIX, às quais a instituição não estava plenamente aderente”.

Entre as regras, conforme o BC, estavam “algumas exigências previstas em relação a mecanismos de prevenção a ataques de leitura.” O órgão citou ainda “exigências para implementação segura de APIs.”

As APIs (Interfaces de Programação de Aplicações) são um conjunto de instruções e padrões estabelecidos por um software, para conexão e interação entre plataformas. São uma espécie de ponte para conectar aplicações.

* Com informações do Portal UOL