Swap sofre tentativa de invasão: nenhum centavo foi levado

A Swap, fintech brasileira especializada em BaaS (Banking as a Service, um modelo em que empresas terceirizam a infraestrutura bancária para oferecer serviços financeiros), sofreu uma tentativa de invasão nesta sexta-feira. Segundo a Finsiders, nenhum valor foi subtraído e a empresa acionou os participantes da plataforma e o Banco Central logo após o incidente.

O que é a Swap e por que isso importa

Antes de entrar nos detalhes do ataque, vale entender o que está em jogo aqui. A Swap é uma infraestrutura financeira que outras empresas usam para rodar seus produtos: cartões, contas digitais, transferências. Pensa nela como o encanamento por trás de vários serviços financeiros que você talvez use sem saber. Quando um sistema desses é alvejado, o risco em potencial não é só para a empresa, mas para toda a cadeia de parceiros que opera em cima dela.

A tentativa de invasão ocorreu nesta sexta-feira, de acordo com a Finsiders. O incidente foi contido antes que qualquer valor fosse transferido ou desviado, mas a situação foi grave o suficiente para acionar o protocolo de comunicação ao Banco Central, o que é exigido pela regulação brasileira para eventos de segurança em instituições do sistema financeiro.

Como funciona o acionamento do Banco Central

Quando uma fintech ou banco sofre um incidente de segurança, existe um rito obrigatório: notificar o Banco Central e os participantes afetados. Esse protocolo existe justamente para conter o efeito cascata, tipo avisar os vizinhos quando tem fumaça no prédio antes de o fogo se alastrar. A Swap seguiu esse caminho, o que indica que os sistemas de resposta a incidentes da empresa funcionaram conforme o esperado.

O BaaS é um modelo que cresceu muito nos últimos anos no Brasil, especialmente com a explosão das fintechs. Empresas que querem oferecer serviços financeiros sem ter licença de banco contratam infraestruturas como a da Swap. O modelo é eficiente e reduziu muito a barreira de entrada para novos serviços financeiros, mas concentra riscos: se a infraestrutura sofre, vários negócios podem ser afetados ao mesmo tempo.

Os detalhes que ainda faltam

Até o momento da publicação desta reportagem, não foram divulgados detalhes sobre o método do ataque, quantos participantes foram potencialmente expostos ou se houve acesso a dados pessoais de usuários. Isso importa bastante: mesmo sem dinheiro desviado, uma invasão pode comprometer informações sensíveis, como dados bancários ou documentos vinculados às contas.

A Swap não havia se pronunciado publicamente sobre o caso segundo as informações disponíveis na Finsiders. O Banco Central também não divulgou nota oficial até o fechamento desta matéria.

• ✓O incidente ocorreu nesta sexta-feira, segundo a Finsiders
  - Nenhum valor foi subtraído da plataforma
  - A Swap acionou participantes e o Banco Central após o evento
  - Detalhes sobre o método de ataque e eventual exposição de dados ainda não foram divulgados
  - O setor de BaaS no Brasil concentra infraestrutura de dezenas de fintechs e empresas de serviços financeiros

Ataques a fintechs estão longe de ser raridade

O setor financeiro digital no Brasil virou alvo frequente de tentativas de invasão. O crescimento das fintechs e o aumento no volume de transações via PIX ampliaram a superfície de ataque disponível para grupos criminosos. Em 2023 e em anos seguintes, o Banco Central reforçou as exigências de cibersegurança para instituições reguladas, mas a velocidade com que novas ameaças aparecem costuma desafiar qualquer regulação.

Num sistema onde uma única fintech de infraestrutura serve dezenas de empresas menores, um ataque bem-sucedido teria efeito dominó: poderia travar operações de cartão, bloquear transferências e expor dados de clientes de várias plataformas ao mesmo tempo. Por isso a contenção rápida, neste caso, é relevante.

O que você deve observar nos próximos dias

Se você usa algum serviço financeiro digital que opera via infraestrutura terceirizada, o conselho prático é simples: fique atento a comunicados das empresas que você usa e monitore se há movimentações estranhas nas suas contas. A Swap ainda não confirmou se dados de usuários foram acessados, e essa resposta pode levar alguns dias para vir.

O Banco Central tem prazo regulatório para receber relatórios de incidentes e pode solicitar informações adicionais. O acompanhamento da comunicação oficial da Swap nos próximos dias vai dizer muito sobre a extensão real do que aconteceu nesta sexta.

Leia também

Influencers que divulgarem apostas ilegais vão pagar a conta

Farm Rio à venda? Azzas contrata Morgan Stanley para avaliar saída

MEI pode ter limite ampliado para R$ 130 mil até 2028