Caso ocorreu em um instituição financeira que chegou a 7ª no ranking nacional.
Durante o ITGX SecureIT 2016, evento que discutiu os principais aspectos do mercado de segurança corporativa, foram apresentados diversos casos de falhas de segurança que resultaram perdas para as companhias, e também soluções que podem ser utilizadas para evitar e mitigar riscos. Francisco Figuino, ex-CIO de diversos bancos, apresentou o caso de fraude financeira sofrida por um banco que chegou a ser o 7° colocado no ranking das maiores instituições financeiras do país com 100 mil clientes, 73 agências e quatro escritórios no exterior.
Ele explica que o Banco Central exigia que os controladores dos bancos não tivessem contas correntes descobertas e o banco montou um modelo com contas de outros bancos que podiam ser acionadas para cobrir o saldo dos controladores. Quem executava as transações era o DBA de extrema confiança da instituição.
“Só que o DBA de confiança, encarregado da função há mais de 20 anos, descobriu que tinha acesso não só às contas dos controladores, mas também a de todos os 100 mil clientes e passou a tirar 1 centavo da conta de cada um. No final de cada mês conseguia obter cerca de R$ 50 mil, num período em que o real tinha praticamente paridade com o dólar”, conta Figuino.
Cresce 546% o número de fraudes nos caixas eletrônicos dos EUA
A fraude foi descoberta quando Figuino assumiu o comando da área de tecnologia e promoveu um rodízio entre os ocupantes dos principais cargos. Quando um outro DBA foi fechar o mês a conta não fechou e a auditoria de sistemas foi acionada e foi comprovada a fraude que já ocorria há anos.
“O DBA foi demitido, mas não por justa causa, pois a instituição seria obrigada ao pagamento retroativo a todos os correntistas mas principalmente porque não há como mensurar a perda de confiança. A lição nesse caso é que esses privilégios de acesso sejam sempre auditados. Hoje as regras de compliance dificultam a fraude, mas o risco sempre pode existir”, afirmou Figuino.
Na sequência da apresentação do case, Eduardo Paixão, especialista de prevenção à fraude da ITGX, apresentou a solução de segurança de banco de dados da Fortinet, o FortiBD. Ele explicou que o diferencial é o fato de ser um appliance que pode ser usado pelas áreas de compliance de forma totalmente transparente a ponto que nem do DBA percebe que está sendo auditado.
“O produto gera relatórios em menos de duas horas já no primeiro dia, apontando a vulnerabilidade dos bancos de dados que podem ser Oracle, Sybase, MySQL, Sybase IQ, SQL Server, entre outros. Atende também a requisitos de PCI e Sox com templates prontos. E permite a implementação de políticas de controle orientadas, além de DAM – Databasse Activity Monitoring, para monitoramento em tempo real de usuários-chave”, enumerou Figuino.
