Pubblicato il · Brasile
Brasile: una password venduta per 2.700 dollari e centinaia di milioni spariti dalle banche
A fine giugno 2025 dei criminali hanno usato l'accesso di C&M Software, l'azienda che collega diverse banche brasiliane al sistema di pagamenti istantanei PIX, per ordinare bonifici fraudolenti. Non hanno trovato un buco nel software: un dipendente del reparto informatico aveva venduto nome utente e password per circa 2.700 dollari.
In 30 secondi
- Un dipendente informatico di C&M Software ha venduto le sue credenziali per circa 2.700 dollari.
- Con quell'accesso i criminali hanno ordinato bonifici dai conti di riserva di diverse banche: centinaia di milioni di real.
- La lezione: nessuno deve poter aprire da solo nuovi accessi. Le operazioni delicate le approvano due persone.
- Quando
- Fine giugno 2025
- Chi
- C&M Software, collegata al sistema PIX, Brasile
- Da dove sono entrati
- Credenziali vendute da un dipendente
- Quanto
- Oltre 540 milioni di real per la polizia, 800 milioni per altre fonti
Cosa è successo
C&M Software è un'azienda brasiliana che collega diverse istituzioni finanziarie al PIX, il sistema di pagamenti istantanei della Banca centrale del Brasile. A fine giugno 2025 i criminali hanno usato il suo accesso per entrare nei conti di riserva di alcune istituzioni e ordinare bonifici fraudolenti.
Sulle cifre le fonti non coincidono. La polizia, citata dall'Associated Press, parla di oltre 540 milioni di real presi ad almeno un'istituzione, e probabilmente di più da altre. Altre fonti parlano di circa 800 milioni di real, intorno ai 140 milioni di dollari.
Da dove sono entrati
Qui la via d'ingresso è dichiarata. Secondo la polizia e la stampa brasiliana, un dipendente del reparto informatico di C&M è stato avvicinato in un bar e ha venduto il suo nome utente e la sua password per circa 2.700 dollari, pagati in due volte in contanti.
Poi, su istruzione dei criminali, ha creato altri account nel sistema e ha attivato l'accesso da remoto. È stato arrestato pochi giorni dopo.
Perché riguarda anche una piccola azienda
Nessun programma è stato violato: il punto debole era una persona con troppo potere da sola. Poteva consegnare il suo accesso, creare nuove utenze e aprire l'accesso da remoto, e nessun altro doveva approvare.
In una piccola azienda succede lo stesso con chi ha le password di tutto: il tecnico esterno, il socio che gestisce la banca online, l'amministratore del sito.
Cosa controllare oggi nella tua azienda
- Le operazioni delicate, come nuovi utenti, accesso da remoto e bonifici grandi, le approvano due persone, non una.
- L'accesso da remoto resta spento quando non serve, e ogni volta che si accende resta scritto chi e quando.
- Attiva avvisi automatici per i movimenti fuori dal normale sul conto e nei programmi importanti.
- Nessuno ha più permessi di quelli che usa davvero: rivedi l'elenco ogni tre mesi.