O sistema de administração financeira do governo federal (Siafi) foi invadido no início deste mês. As informações obtidas até o momento indicam que os agentes dessa operação podem ter emitido ordens bancários e desviado recursos da União.
A divulgação do incidente foi reportada por uma reportagem da Folha de São Paulo. Conforme a publicação, a Polícia Federal já abriu inquérito para investigar o caso desde que a invasão foi identificada, em 5 de abril, e está rastreando os suspeitos com auxílio da Agência Brasileira de Inteligência (Abin).
Como explica o site do Tesouro Nacional, responsável pela administração do Siafi, o sistema é utilizado para o “registro, acompanhamento e controle da execução orçamentária, financeira e patrimonial do Governo”. Resumidamente, esse software permite realizar a programação financeira do Governo Federal exigida pela Lei Orçamentária Anual (LOA).
Até o momento, as investigações indicam que os invasores do sistema conseguiram acesso utilizando o CPF e senha gov.br de gestores e ordenadores de despesas, que utilizam suas contas para fazer movimentações financeiras.
A suspeita é que eles tenham coletados os dados desses profissionais utilizando phishing, uma prática que utiliza links maliciosos para obter dados confidenciais, por exemplo.
Uma das especulações é que os criminosos podem ter tentado coletar os dados por meses até conseguirem um número considerável de senhas para iniciarem a invasão.
Outra possibilidade é que os invasores tenham utilizado o mecanismo do sistema que permite desabilitar e recriar o acesso a partir do CPF do usuário.
À reportagem, o Tesouro Nacional diz que o ataque não causou prejuízos à integridade do sistema. O órgão também disse que já implementou medidas adicionais de segurança para autenticar os acessos ao sistema e operá-lo, além de autorizar pagamentos.
Após o caso ter sido identificado, o Tesouro comunicou aos gestores e ordenadores de despesa que o acesso ao sistema passaria a ser feito via certificado digital. Depois disso, o governo identificou novas tentativas de invasão utilizando certificados digitais emitidos por empresas privadas, que teriam sido criados em nove de servidores públicos habilitados pelo sistema.
Com isso, o órgão estabeleceu que os certificados digitais deverão ser emitidos pela Serpro, empresa pública que é responsável pela parte tecnológica do Siafi.
O Ministério da Gestão e Inovação se pronunciou sobre o incidente afirmando que ele não se configura como uma “falha de segurança do gov.br, mas sim uma utilização indevida de credenciais obtidas de modo irregular”.
FIQUE POR DENTRO!
