El objetivo del ciberataque fue la compañía C&M Software, especializada en servicios de tecnología para entidades financieras que no tienen sistemas propios para conectarse y operar cuentas o pagos, según señaló el Banco Central brasileño en una nota.
Una cuenta reserva es una cuenta especial que las instituciones financieras tienen en el Banco Central y que se usa para mover dinero entre bancos, sin estar relacionada con los clientes comunes.
Tras el ataque, el Banco Central brasileño ordenó a C&M "desconectar el acceso de las instituciones a las infraestructuras que opera", sin ofrecer más detalles.
Por su parte, C&M se declaró "víctima directa de la acción criminal", que incluyó el uso no autorizado de los datos de acceso de clientes "para intentar entrar de manera fraudulenta en sus sistemas y servicios".
La firma aseguró que, pese al ataque, "sus sistemas críticos siguen íntegros y en operación".
Uno de los clientes de C&M afectados es BMP, que permite que empresas de sectores tan diferentes como el textil o de alimentación ofrezcan a sus clientes servicios financieros solo disponibles en los bancos, además de ofrecer infraestructura para bancos digitales.
BMP admitió en una nota a los medios que el ciberataque a C&M "permitió el acceso indebido a cuentas de reserva de seis instituciones", entre ellas la propia BMP.
En el caso de BMP, "el ataque exclusivamente fondos depositados en su cuenta de reserva en el Banco Central", según detalló en una nota.
"La institución cuenta con garantías suficientes para cubrir íntegramente el monto afectado, sin perjuicio para su operación ni para sus socios comerciales", garantizó al tiempo que reforzó que "ningún cliente" suyo fue impactado por el incidente.
Ni BMP ni el Banco Central especificaron qué cantidad de dinero fue robada de esas cuentas de reserva, pero según medios, el desfalco asciende por lo menos a 400 millones de reales (cerca de 75 millones de dólares).