PE 269203

entre os dias 24 e 25.1.2022, houve quantidade excessiva de consultas de chaves Pix a partir da Logbank que não geraram envio de ordem de pagamento ao DICT, indicando um possível uso irregular da infraestrutura, com potencial obtenção irregular e exposição de informações pessoais vinculadas a 2.112 chaves Pix de 2.082 titulares; - nas apurações realizadas pelo Banco Central do Brasil ─ BCB, verificou-se que: - o agente malicioso teria descoberto um usuário e senha válidos, possivelmente por meio de ataque de força bruta, e, com esses dados, conseguiu autenticar-se no aplicativo utilizado por instituição parceira da Logbank e realizar consultas de chaves Pix no DICT utilizando as interfaces e infraestruturas disponibilizadas pela Logbank; - as consultas foram realizadas de forma automatizada, haja vista o excessivo volume de requisições realizadas, indicando ausência ou falha da política de limitação de consulta, bem como brechas na implementação do aplicativo que permitiram o uso indevido da funcionalidade; - as informações retornadas pelo DICT para o participante e disponibilizadas ao parceiro estavam em desacordo com aquelas previstas no Regulamento do Pix, visto que dados sobre a conta transacional, o CPF e outras informações vinculadas às chaves não deveriam estar visíveis; - assim, foi possível apurar as seguintes deficiências que indicam que o aplicativo utilizado pela instituição parceira e as interfaces de programação de aplicações ─ APIs fornecidas pela Logbank estavam em desconformidade com aspectos de segurança obrigatórios descritos no Manual de Segurança do Pix e que o participante não mantinha mecanismos de segurança, no mínimo, iguais aos existentes do DICT a fim de prevenir ataques de leitura: o deficiências na implementação de mecanismos de autenticação forte dos aplicativos clientes de forma a garantir que os clientes das APIs sejam apenas os aplicativos da instituição e impedir ataques de man-in-the-middle; o deficiências na implementação de mecanismos de segurança que impeçam engenharia reversa, descompilação, manipulação de código, modificação de credenciais ou parâmetros de segurança, dentre outras técnicas que resultem na adulteração ou no comprometimento dos aplicativos clientes do participante; o deficiências nos procedimentos e nos controles com vistas a garantir que somente as informações mínimas necessárias ao funcionamento trafegassem pelos sistemas e aplicativos; e o deficiências no mecanismo de prevenção de ataque de leitura ao DICT, os quais devem ser, no mínimo, iguais aos mecanismos de prevenção detalhados no Manual Operacional do DICT.

Capitulação: - art. 84-A do Anexo à Resolução BCB nº 1, de 12 de agosto de 2020 (Regulamento do Pix); - Manual Operacional do Diretório de Identificadores de Contas Transacionais – DICT, versão 5.2, seção 13; - Manual de Segurança do Pix, versão 3.4, seção 6, itens 1, 3 e 5.