Guia de sobrevivência digital — Capítulo 13: o golpe do falso PIX por engano e a forma correta de devolução bancária

A consolidação do Sistema de Pagamentos Instantâneos (PIX) como o principal meio de transação financeira no Brasil trouxe eficiência operacional, mas também estimulou a engenharia social voltada à exploração de regras de compensação e estorno bancário. Entre as fraudes de maior incidência sobre usuários finais destaca-se o Golpe do Falso PIX por Engano, no qual estelionatários combinam a manipulação psicológica com o uso indevido do Mecanismo Especial de Devolução (MED), estabelecido pelo Banco Central para a mitigação de fraudes em arranjos de pagamento.

A mecânica do ataque desenvolve-se em duas variantes operacionais principais. Na primeira, o atacante utiliza credenciais bancárias comprometidas ou contas de “laranjas” para efetuar uma transferência espúria para a vítima, solicitando em seguida a “devolução” manual para uma chave PIX pertencente a um terceiro. Após a vítima efetuar a nova transação com recursos próprios, o titular da conta originária notifica a instituição financeira por fraude, acionando o MED e resultando no bloqueio e estorno do saldo inicial da conta da vítima. Na segunda variante, o atacante simula o agendamento de PIX ou envia comprovantes sintéticos adulterados via aplicativo de mensagem, induzindo a vítima a transferir valores sem a confirmação prévia no extrato autoritativo da instituição receptora.

Sob a perspectiva da educação digital e segurança transacional, a mitigação do risco de fraudes em pagamentos instantâneos exige a disseminação rigorosa do protocolo de devolução sistêmica. É imperativo instruir os usuários a jamais realizarem novas transações manuais com base em Chaves PIX fornecidas fora do ambiente bancário, adotando exclusivamente a funcionalidade nativa de devolução (Return Transaction) disponível no histórico de transações da aplicação. Esse procedimento garante o estorno no nível de infraestrutura de liquidação, preservando a rastreabilidade da criptografia de camada de enlace e a neutralização de vetores de extorsão e lavagem de capitais.

Ergonomia cognitiva e a Síndrome do Impostor no setor de tecnologia: mitigação da sobrecarga de demandas contínuas e valorização do mérito profissional

A dinâmica de trabalho contemporânea no ecossistema de Tecnologia da Informação e Cibersegurança é caracterizada por ciclos de desenvolvimento ágil e resposta contínua a incidentes. A ausência de intervalos de descompressão entre a conclusão de marcos operacionais (milestones) e o início de novos ciclos de entrega submete os profissionais a um estado de cobrança ininterrupta. Sob a perspectiva da ergonomia neurocognitiva e da psicologia organizacional, essa esteira contínua de demandas atua como um catalisador para o surgimento ou agravamento da Síndrome do Impostor, comprometendo a autoconfiança e a retenção de talentos nas organizações.

A gênese da Síndrome do Impostor em ambientes de alta densidade técnica decorre da dissonância entre a alta complexidade das tarefas executadas e o viés cognitivo de desvalorização do próprio mérito. Na ausência de ritos formais de encerramento e validação de entregas, o indivíduo tende a internalizar um padrão de atribuição causal disfuncional, creditando o êxito a fatores externos e temporários — como sorte ou circunstâncias favoráveis —, enquanto atribui eventuais falhas a limitações de competência pessoal. A exposição prolongada a esse ciclo semiótico gera ansiedade crônica, hipervigilância e redução progressiva da capacidade de inovação.

A mitigação desses passivos psicológicos e institucionais exige a reestruturação dos modelos de liderança e a implementação de práticas de gestão focadas na sustentabilidade humana. Torna-se imperativo que comitês executivos e gestores de engenharia instituam marcos claros de reconhecimento de conquistas, promovendo a avaliação retrospectiva das vitórias técnicas alcançadas antes da alocação de novos projetos. Paralelamente, os profissionais devem ser incentivados a exercer a desconexão digital efetiva durante os períodos de repouso, compreendendo que a restauração da capacidade analítica e a consolidação do conhecimento exigem períodos de repouso neurocognitivo e vivência familiar plena.

Resiliência cibernética em infraestruturas portuárias: mitigação de ataques ao sistema TOS e proteção do plano de estiva marítimo

A consolidação do comércio marítimo internacional e a introdução de navios porta-contêineres de ultra grande porte (ULCVs) exigiram a automação intensiva da gestão de pátios e cais de atracação nos portos globais. A orquestração das operações físicas nos terminais é executada por Sistemas de Operação de Terminais (TOS – Terminal Operating System), cuja arquitetura de software centraliza o rastreamento de cargas, o agendamento de portões e a elaboração do plano de estiva (Stowage Planning). Contudo, a integração desses ecossistemas a redes externas e a troca assíncrona de arquivos de dados via troca eletrônica de dados (EDI) expõem a infraestrutura portuária a severas ameaças de ataques físico-cibernéticos (Cyber-Physical Attacks).

A vulnerabilidade vetorial sobre os sistemas TOS decorre da manipulação de mensagens padronizadas da indústria marítima, em especial o formato EDIFACT BAPLIE, utilizado para transmitir o mapa de baías, posições e pesos dos contêineres alocados na estrutura da embarcação. Agentes maliciosos que obtenham acesso não autorizado às interfaces de comunicação do TOS podem injetar alterações nos atributos de peso bruto verificado (VGM – Verified Gross Mass) ou alterar o indicativo de cargas perigosas (IMDG Code). A manipulação estocástica do plano de estiva altera o cálculo do centro de gravidade e da altura metacêntrica da embarcação (GM), induzindo estresse estrutural no casco e aumentando a suscetibilidade a acidentes marítimos graves durante a navegação.

A preservação da continuidade operacional e a mitigação de ataques cibernéticos em infraestruturas portuárias exigem a implementação de um modelo de defesa em profundidade alinhado ao Código Internacional para Proteção de Navios e Instalações Portuárias (Código ISPS). Torna-se imperativo adotar mecanismos de cifragem de ponta a ponta e verificação de irrefutabilidade nos fluxos EDI, eliminando a aceitação de arquivos desprovidos de validação de origem. Adicionalmente, as redes de controle de automação de guindastes de cais (Ship-to-Shore Cranes) e pontes rolantes de pátio (RTGs) devem ser submetidas a uma microssegmentação rígida, combinada ao uso de sensores de checagem física de peso em tempo real no momento do içamento, neutralizando desvios lógicos antes do posicionamento definitivo da carga a bordo.

Sec Day Sucesu/PR – Conectividade e Cibersegurança

Em 12/08/2026, o Grupo Técnico de Cibersegurança do Grupo de Usuários CIO’s da Sucesu/PR, reuniu-se no Vale do Pinhão em Curitiba/PR, com transmissão ao vivo pelo Youtube, para a seguinte pauta:

O material das palestras pode ser acessado através do hiperlink nos títulos das formações (acima).

A íntegra do evento pode ser vista através do Youtube, no link https://youtu.be/jAlC5oKvd3A

Agradecemos a todos os participantes presenciais e remotos, aos membros do GU que transmitiram, ao Presidente da Sucesu/PR Sr. Fernando Misato e à Assessora Executiva Sra. Marise Pereira que viabilizou o evento.

Aos participantes que desejarem o Certificado de Participação, por gentileza enviem um e-mail com o assunto Certificado Sec Day para [email protected].

Epistemologia da segurança em APIs: modelagem de Ameaças, mitigação de BOLA/BFLA e formação de arquitetos de software

A consolidação de arquiteturas orientadas a serviços (SOA) e o ecossistema de microsserviços impulsionaram o uso de Interfaces de Programação de Aplicações (APIs RESTful e GraphQL) como a espinha dorsal da integração de sistemas digitais. Contudo, a evolução dos modelos pedagógicos de ensino em Engenharia de Software não acompanhou a velocidade dessa transição paradigmática, mantendo o foco do aprendizado na construção de rotas funcionais e na serialização de dados, em detrimento do endurecimento dos mecanismos lógicos de controle de acesso. Essa assimetria educacional reflete-se na alta prevalência de vulnerabilidades de autorização na camada de aplicação, com destaque para a Quebra de Autorização em Nível de Objeto (BOLA – Broken Object Level Authorization) e Quebra de Autorização em Nível de Função (BFLA – Broken Function Level Authorization).

A vulnerabilidade BOLA (classificada como a principal ameaça no OWASP API Security Top 10) manifesta-se quando a aplicação valida a autenticação do usuário via token (JWT/OAuth2), mas falha em verificar se a identidade autenticada possui autorização expressa para manipular o recurso específico solicitado via parâmetro de rota ou corpo da requisição. Sob a perspectiva da arquitetura de software, essa falha decorre da ausência de verificações de contexto no nível de código de domínio (Domain Logic), permitindo que atacantes executem enumeração de identificadores (IDOR) e acessem dados sensíveis de múltiplos usuários. Paralelamente, o BFLA ocorre quando endpoints administrativos ou de privilégios elevados não impõem restrições de escopo, permitindo que usuários com perfil ordinário invoquem métodos restritos diretamente na camada de API.

Nesse contexto, os frameworks educacionais e de mentoria em tecnologia devem reestruturar suas matrizes curriculares para integrar a Modelagem de Ameaças em APIs (API Threat Modeling) desde a fase conceitual. É imperativo capacitar estudantes e desenvolvedores no uso de arquiteturas de autorização centralizadas (ABAC/RBAC), na validação rigorosa de esquemas de entrada (Input Schema Validation), na limitação de taxa de requisições (Rate Limiting) e na auditoria contínua do tráfego de saída. Incorporar o ceticismo metodológico e a mentalidade defensiva no desenvolvimento de APIs é o pré-requisito fundamental para formar engenheiros e pesquisadores capazes de construir ecossistemas digitais seguros e escaláveis.