Operação Golpe do USB: Como Dispositivos com Keylogger Roubaram R$500 Mi de Bancos

Um ousado golpe cibernético contra instituições financeiras brasileiras expôs vulnerabilidades críticas nos protocolos de segurança física de dispositivos, com criminosos roubando cerca de R$500 milhões usando pendrives infectados com malware. A operação, batizada de 'Golpe do USB' por investigadores, representa uma perigosa combinação de engenharia social e exploração de endpoints.

A cadeia de ataque começou quando os criminosos obtiveram acesso físico a agências bancárias, plantando estrategicamente pendrives modificados com keyloggers e cavalos de troia de acesso remoto (RATs). Quando funcionários conectavam esses dispositivos - provavelmente acreditando serem periféricos legítimos - o malware se instalava silenciosamente, capturando credenciais de login e códigos de autorização de transações.

Análise técnica revela que os USBs continham um payload em múltiplos estágios:

1. Um keylogger capturando todas as digitações, incluindo PINs de segurança
2. Um screen scraper gravando processos de verificação de transações
3. Um módulo RAT estabelecendo conexões persistentes de comando e controle
4. Ferramentas de roubo de credenciais direcionadas ao sistema PIX

Os ataques foram cronometrados para coincidir com horários de pico de transações, usando credenciais roubadas para iniciar transferências fraudulentas tanto no sistema bancário tradicional quanto no PIX. O Banco Central precisou suspender temporariamente o acesso ao PIX de algumas fintechs durante os esforços de contenção.

Especialistas destacam três lições críticas:

1. Ameaças por dispositivos físicos continuam subestimadas no setor financeiro
2. Políticas de controle de portas USB precisam de revisão urgente
3. Sistemas de autenticação multifator devem evoluir além das vulnerabilidades a keyloggers

O caso levou o regulador bancário brasileiro a emitir novas diretrizes sobre gerenciamento de dispositivos endpoints, incluindo desabilitação obrigatória de portas USB e requisitos de autenticação por hardware. Ataques similares poderiam atingir qualquer indústria que dependa de controles de acesso físico, tornando este caso relevante para profissionais de cibersegurança globais.