TCU identifica “falha sistêmica” em sistema de pagamentos do governo invadido em abril

Em resposta a um requerimento feito pelo presidente da Câmara dos Deputados, Arthur Lira (PP-AL), o Tribunal de Contas da União (TCU) disse ter encontrado indícios de “falha sistêmica” no Sistema Integrado de Administração Financeira do Governo Federal (Siafi), sistema do governo federal utilizado para controle contábil e execução orçamentária.

Lira enviou o requerimento ao TCU após uma invasão do Siafi que resultou no desvio de R$ 14 milhões do Ministério da Gestão e Serviços Públicos e do Tribunal Superior Eleitoral (TSE).

“Existem indícios de falha sistêmica, consistindo na exploração de identidades do sistema Siafi que possui mais de oitenta mil usuários espalhados por mais de mil unidades gestoras”, diz um trecho da auditoria do TCU.

Apesar de identificar possíveis falhas, o TCU disse que “até o momento, não se têm indícios de condutas individuais impróprias” e que ainda “não iniciou fiscalização”, mas está “tratando o caso numa representação de autoria do Ministério Público que atua junto ao TCU, sob relatoria do ministro Vital do Rêgo.

O Siafi atua como ordenador de despesas - que autoriza o crédito -, e como gestor financeiro, que efetua a operação. As duas funções foram acessadas pelos invasores, em abril deste ano, que alteraram a conta do credor em contratos de prestadores de serviços existentes no sistema. 

Os invasores tentaram finalizar pagamentos a mais de 200 credores falsos e conseguiram acessar o Siafi utilizando o CPF e a senha do gov.br usada pelos gestores e ordenadores de despesas para utilizar a plataforma de pagamentos. 

De acordo com o TCU, “há a necessidade urgente de aprimoramento na segurança cibernética estatal, visto que o avanço da digitalização de documentos, procedimentos e processos na Administração Pública deve ser acompanhado de efetivo robustecimento da gestão de riscos e, consequentemente, das medidas destinadas a mapear os possíveis eventos desfavoráveis e suas respectivas probabilidades e impactos; e criar mecanismos para evitar a materialização de incidente”.