Para Luiza Dias, presidente da GlobalSign Brasil, a raiz do problema está no controle de identidades. “Não existe segurança cibernética sem um controle de identidades. Raramente a gente fala de ataques supertecnológicos, com o envolvimento de inteligência artificial. A constância continua mostrando que a gente está patinando no ‘arroz com feijão’, no básico, que são os controles das identidades”, afirmou.

Ela compara certificados digitais a crachás. “Se eu construo um crachá na minha casa, basta uma pessoa mal-intencionada ter a mesma impressora que eu, que ele vai passar nos padrões de segurança. É o que a gente vê todos os dias: identidades fracas, baseadas em certificados autoassinados. A gente construiu muralhas tecnológicas do lado de fora, mas deixou a porta principal aberta”, disse.

O fator humano também pesa. “Não vi nenhum caso desses expressivos que tenha uma fraude, que tenha um crime envolvido com altos montantes, que não tenha tido alguém em algum momento facilitando”, disse Dastis.

O perito em crimes digitais Wanderson Castilho reforça que a repetição de falhas é ainda mais preocupante. “Nós devemos pensar assim: as fintechs normalmente usam sempre as mesmas plataformas, não os mesmos nomes, mas as mesmas construções. Ou seja, se foi encontrada uma vulnerabilidade na questão de desvio interno, encontrou uma e encontrou em todas”, disse.

Castilho disse que nos últimos quatro meses atuou em casos de ataques hackers de pelo menos 20 fintechs. Segundo ele, muitas vezes a segurança implementada é mínima. “Tinha senhas superfáceis e ainda sem trocar, e mais de dez pessoas tinham a mesma senha. Não tinha registro de IPs, nem logs de acesso. Era uma coisa muito assustadora”, disse. Ele lembra ainda que facções criminosas já exploram essa vulnerabilidade.