El megaataque de $1B en Brasil: Así hackearon el sistema PIX

El megaataque de $1B en Brasil: Así hackearon el sistema PIX

En julio de 2025, el sistema financiero brasileño sufrió un ciberataque sin precedentes contra la plataforma de pagos instantáneos PIX, con pérdidas estimadas entre R$541 millones y R$1 mil millones (∼$108-200M). Esta operación sofisticada se convirtió en el mayor fraude digital en la historia financiera de Brasil y uno de los más significativos a nivel global.

Mecánica del Ataque

Los atacantes comprometieron sistemas de BMP, una institución conectada a la red PIX, mediante una operación en múltiples fases:

1. Acceso inicial: Obtenido presuntamente mediante colaboración interna o phishing de credenciales
2. Movimiento lateral: Explotación de vulnerabilidades en APIs para iniciar transacciones fraudulentas
3. Lavado de fondos: Distribución del dinero mediante 29 empresas ficticias y 79 cuentas personales

Detalles Técnicos

A diferencia de ataques tradicionales a SWIFT, este fraude aprovechó la característica de liquidación en tiempo real de PIX. Los hackers:

• Crearon identidades corporativas falsas con documentos robados
• Ejecutaron transacciones masivas en horarios de baja actividad
• Utilizaron cuentas testaferro con credenciales KYC falsificadas

Vulnerabilidades Sistémicas

El ataque expuso tres fallas críticas en sistemas de pago instantáneo:

1. Riesgo de finalidad: La liquidación inmediata no permite reversión de transacciones fraudulentas
2. Seguridad de APIs: Autenticación inadecuada entre instituciones financieras
3. Fallas en KYC: Verificación insuficiente de cuentas corporativas

Impacto Global

Expertos advierten que ataques similares podrían afectar sistemas como UPI en India o SEPA Instant en Europa. El Banco Central de Brasil formó un grupo de emergencia para reforzar PIX, implementando:

• Monitoreo de frecuencia transaccional
• Biometría conductual para acceso a APIs
• Verificación reforzada de cuentas empresariales

Este caso representa una alerta para que instituciones financieras worldwide reevalúen la seguridad de sus sistemas de pagos instantáneos antes de que los atacantes repliquen este modus operandi.