Por Chiara Albanese, Daniele Lepido e Giles Turner.
Em 2008, ladrões roubaram US$ 700.000 do banco central da Rússia à moda antiga: se infiltraram em um centro de processamento, algemaram um guarda e fugiram com o dinheiro.
Hoje em dia, os ataques criminosos à instituição dão bem menos mão de obra – e são bem mais lucrativos. Ao longo do último ano, hackers levaram US$ 21 milhões de contas abertas junto ao Banco da Rússia.
Os roubos fizeram parte da onda de ataques cibernéticos em 2016 contra autoridades monetárias de Bangladesh a Varsóvia. Este ano tende a ser ainda pior.
“Para um banco central, a questão não é se, mas quando, será vítima de um ataque cibernético”, disse Giulio Coraggio, advogado especializado em segurança digital da DLA Piper, em Milão.
O coletivo de hackers Anonymous — conhecido pelo ativismo contra grandes corporações, forças de segurança e governos — fez dos bancos centrais seu alvo específico, de acordo com duas pessoas com conhecimento direto das atividades do grupo e que pediram anonimato.
Essas fontes não identificaram os bancos centrais na mira do coletivo, mas afirmaram que o grupo vem recrutando novos hackers e retomou ataques contra diversos bancos centrais em fevereiro.
No ano passado, o grupo atacou pelo menos oito bancos centrais, incluindo os de Holanda, Grécia e México, segundo as duas pessoas. Em uma nova tacada, o Anonymous também considera vender informações confidenciais que eventualmente conseguir, de acordo com um deles.
As ações de grupos de ativistas e hackers como o Anonymous “deveriam nos alertar para as fraquezas críticas dos sistemas financeiros globais”, disse Stefano Zanero, professor de segurança digital da universidade Politécnica de Milão.
Alvos
Um ataque cibernético bem sucedido contra o sistema bancário dos EUA é “um dos riscos mais significativos que nosso país enfrenta”, disse a presidente do Federal Reserve, Janet Yellen, em depoimento ao comitê de economia do Congresso em novembro.
Até hoje, o ataque mais notável contra um banco central resultou em uma perseguição que envolveu Interpol e FBI, no ano passado, para tentar solucionar uma investida contra o banco central de Bangladesh. Os hackers usaram o sistema de mensagens interbancárias conhecido como Swift para roubar US$ 81 milhões.
“O caso de Bangladesh no ano passado realmente colocou o foco nos sistemas de pagamento dos bancos centrais”, disse Adrian Nish, responsável por inteligência contra ameaças da BAE Systems. “O fato de os bancos centrais serem alvo desta maneira para obtenção de lucro se tornou uma preocupação maior desde Bangladesh.”
Em janeiro, segundo pesquisa da BAE Systems, a autoridade reguladora do setor financeiro da Polônia foi alvo de uma suspeita de ataque: hackers teriam se aproveitado de um website bastante utilizado. Neste exemplo, o ataque teria ocorrido a partir do website da Autoridade Polonesa de Supervisão Financeira (KNF), onde foram plantados códigos que serviriam malware a determinados usuários do website. O código malicioso selecionava instituições financeiras e diversas foram comprometidas simplesmente pelo fato de usuários navegarem pelo website da KNF.
No mês passado, a autoridade declarou que havia identificado tentativas externas de ataque a seu website e que estava em contato com representantes dos segmentos supervisionados.
Acredita-se que código similar foi instalado nos websites do Banco de la República Oriental del Uruguay, que é estatal, e da Comissão Nacional Bancária e de Valores do México no final de 2016, segundo análises das BAE Systems e da empresa americana de software Symantec.
O Banco de la República Oriental del Uruguay e a Comissão Nacional Bancária e de Valores do México não retornaram solicitações de comentários.
Percebendo fragilidades
“Os ataques cibernéticos se tornaram ataques militares”, disse Biagio De Marchis, diretor sênior da divisão de sistemas de informação e segurança da companhia italiana de defesa Leonardo, que presta serviços de segurança digital a instituições financeiras, grandes corporações e à Organização do Tratado do Atlântico Norte (Otan).
Em resposta, bancos centrais e agências relacionadas vêm tentando conter o número de ataques. Em junho, o Swift contratou a BAE Systems e a consultoria britânica de segurança digital NCC Group para tentar aprimorar suas defesas. A BAE desde então ajuda o Swift a analisar se é necessário alertar bancos sobre potenciais problemas.
O número de alertas devido a potenciais preocupações sobre segurança analisados pela BAE Systems está na casa de “dois dígitos”. Os problemas vão de crashes em sistemas devido a erros de atualização de software a intrusões em plataformas bancárias.
O Banco da Inglaterra está até adquirindo startups para ajudar no combate a ameaças online. O banco central britânico toca uma aceleradora, lançada em junho de 2016, e vai começar a trabalhar com a Anomali para “caçar e investigar dados de inteligência de segurança digital de modo altamente automatizado”, de acordo com um estudo de caso pelo Banco da Inglaterra publicado em fevereiro.
Segundo a consultora Limor Kessem, da IBM Security Systems, faz sentido os bancos centrais reforçarem a vigilância. Ela diz ter identificado diversos grupos que têm bancos como alvos e que o número deve disparar neste ano.
“Se a atividade de crimes cibernéticos em geral no setor for indicação”, disse Kessem, “os ataques aos bancos centrais também tendem a aumentar”.
Entre em contato conosco e assine nosso serviço Bloomberg Professional.