Hackers desviam até R$ 1 bilhão em ataque a empresa ligada ao Pix: entenda o caso

Um ataque hacker de proporções históricas abalou o sistema financeiro brasileiro na noite de 1º de julho de 2025, quando cibercriminosos invadiram a infraestrutura da C&M Software, empresa que conecta instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), incluindo o Pix. O incidente, que resultou em um prejuízo estimado entre R$ 800 milhões e R$ 1 bilhão, comprometeu contas reservas de ao menos seis instituições, como BMP, Credsystem e Banco Paulista. A ação criminosa levou o Banco Central a suspender temporariamente o acesso da C&M ao SPB, enquanto a Polícia Federal e a Polícia Civil de São Paulo investigam o caso. A prisão de um suspeito, funcionário terceirizado da empresa, trouxe novos detalhes sobre a operação, considerada o maior ataque cibernético da história do Brasil. A seguir, entenda como o ataque ocorreu, suas consequências e as medidas tomadas pelas autoridades.

O caso ganhou notoriedade pela sofisticação dos hackers, que exploraram credenciais de clientes para acessar contas reservas mantidas no Banco Central. Essas contas, usadas exclusivamente para transações interbancárias, não envolveram recursos de clientes finais, garantindo que correntistas não fossem diretamente afetados. A C&M Software, fundada em 1992, atua como intermediária tecnológica, permitindo que instituições sem infraestrutura própria se conectem ao SPB. A gravidade do incidente levantou debates sobre a segurança cibernética no setor financeiro.

Siga o Mix Vale no Google e veja nossas notícias primeiro

A dimensão do ataque, apelidado por especialistas como “roubo do século”, reflete a vulnerabilidade de sistemas terceirizados. Fontes do mercado indicam que os criminosos agiram durante meses, preparando o golpe, que envolveu transferências fraudulentas para contas laranjas e tentativas de lavagem de dinheiro com criptomoedas. A seguir, alguns pontos-chave do incidente:

• Prejuízo estimado: Entre R$ 800 milhões e R$ 1 bilhão, com R$ 500 milhões desviados de uma única instituição.
• Instituições afetadas: Pelo menos seis, incluindo BMP, Credsystem e Banco Paulista.
• Resposta imediata: Banco Central determinou o desligamento da C&M do SPB e abriu investigações.
• Prisão de suspeito: Funcionário terceirizado da C&M foi detido em São Paulo.

Alvo do ataque: como a C&M Software foi comprometida

A C&M Software, com mais de três décadas de atuação, é especializada em soluções de mensageria, garantindo a comunicação segura entre bancos, fintechs e o Banco Central. No ataque, os hackers utilizaram credenciais roubadas para acessar o sistema, explorando uma vulnerabilidade que permitiu transferências fraudulentas. Kamal Zogheib, diretor comercial da empresa, afirmou que os sistemas críticos permaneceram intactos, mas o incidente comprometeu contas reservas de clientes.

O método utilizado, conhecido como “supply chain attack”, visa atingir uma empresa para comprometer seus clientes. No caso, a C&M foi a porta de entrada para acessar contas mantidas no Banco Central, usadas para liquidar operações do Pix. A empresa nega falhas em sua tecnologia, mas especialistas apontam que o roubo de credenciais sugere fragilidades em processos de autenticação.

A preparação do ataque, segundo fontes do setor, durou meses. Os criminosos monitoraram o sistema, identificando padrões de transações e explorando brechas. A movimentação atípica detectada na deep web nas semanas anteriores ao ataque indica que os hackers buscaram contas laranjas para facilitar o desvio.

Instituições afetadas e resposta dos bancos

Entre as instituições impactadas, a BMP foi a primeira a admitir publicamente o prejuízo. Em comunicado, a empresa, que atua no modelo de “banking as a service”, esclareceu que o ataque atingiu apenas sua conta reserva, sem comprometer recursos de clientes. A BMP informou que possui colaterais suficientes para cobrir as perdas e já adotou medidas legais e operacionais.

O Banco Paulista, outro afetado, reportou uma interrupção temporária no serviço de Pix devido à falha da C&M. A instituição reforçou que não houve movimentações indevidas de dados sensíveis. A Credsystem, focada em soluções financeiras para o varejo, também enfrentou problemas, com seu serviço de Pix temporariamente suspenso por ordem do Banco Central.

Outras três instituições, cujos nomes não foram oficialmente divulgados, também sofreram perdas. Estimativas iniciais apontam que cada uma registrou prejuízos superiores a R$ 50 milhões. Apesar do impacto financeiro, todas as empresas reiteraram que os recursos de correntistas permaneceram seguros.

Ação do Banco Central e investigações

Logo após a detecção do ataque, o Banco Central agiu rapidamente, determinando a suspensão do acesso da C&M ao SPB. A medida, implementada na manhã de 2 de julho, visou conter novas transferências fraudulentas. Na quinta-feira, 3 de julho, a autarquia substituiu a suspensão total por uma parcial, permitindo que a C&M restabelecesse as operações do Pix sob regime de produção controlada.

O Banco Central esclareceu que nenhum de seus sistemas foi comprometido, e o Pix continuou funcionando normalmente para usuários de outras instituições. A autarquia também abriu uma apuração interna para avaliar a extensão do incidente e identificar possíveis falhas regulatórias.

A Polícia Federal, sob comando do diretor-geral Andrei Rodrigues, instaurou um inquérito para investigar o caso. A Polícia Civil de São Paulo, por sua vez, prendeu João Nazareno Roque, funcionário terceirizado da C&M, suspeito de facilitar o acesso dos hackers. Roque, detido na manhã de 4 de julho, confessou ter permitido o uso de sua máquina, embora as circunstâncias de sua participação ainda estejam sob análise.

Tentativas de lavagem de dinheiro

Parte dos recursos desviados foi transferida para contas laranjas, com os criminosos tentando converter os valores em criptomoedas, como Bitcoin e Tether (USDT). A BMP informou que uma plataforma de negociação detectou transações suspeitas e bloqueou parte das operações, permitindo a recuperação de alguns fundos. Rocelo Lopes, especialista em criptoativos, destacou que os hackers agiram com planejamento, enviando pequenas quantias para mesas OTC (over-the-counter) para dificultar o rastreamento.

A movimentação na deep web, observada por empresas de cibersegurança, revelou um aumento na busca por contas laranjas e criptoativos nas semanas anteriores ao ataque. Victor Solla Jorge, advogado especializado em criptomoedas, explicou que transferências via Pix ou TED deixam rastros bancários, o que pode facilitar a identificação dos envolvidos, especialmente se as plataformas de negociação negligenciarem verificações de identidade.

Fragilidades expostas no sistema financeiro

O incidente levantou preocupações sobre a segurança de sistemas terceirizados no setor financeiro. Ronaldo Lemos, colunista e especialista em tecnologia, apontou que o ataque pode ter envolvido técnicas de engenharia social, como o roubo de credenciais, expondo fragilidades no sistema de autenticação brasileiro. Hiago Kin, presidente do Instituto Brasileiro de Resposta a Incidentes Cibernéticos, comparou o caso à série “La Casa de Papel”, destacando a audácia dos criminosos, mas reforçando que apenas contas interbancárias foram afetadas.

A dependência de intermediários como a C&M para conectar instituições menores ao SPB foi outro ponto criticado. Grandes bancos, como Bradesco e XP, que também são clientes da C&M, afirmaram não terem sido impactados, já que possuem infraestrutura própria para acessar o sistema do Banco Central.

Alguns fatores que contribuíram para a vulnerabilidade:

• Autenticação frágil: Credenciais roubadas sugerem falhas em processos de verificação.
• Falta de redundância: Sistemas terceirizados carecem de camadas adicionais de segurança.
• Planejamento prolongado: Hackers monitoraram a C&M por meses, explorando brechas.
• Deep web: Movimentação atípica indicou preparativos para lavagem de dinheiro.

Medidas de contenção e recuperação

Após a suspensão inicial, a C&M Software trabalhou com o Banco Central para restabelecer suas operações. A empresa implementou protocolos de segurança adicionais, incluindo auditorias em seus sistemas. O Banco Central, por sua vez, anunciou que revisará os requisitos para empresas homologadas no SPB, visando fortalecer a proteção contra ataques cibernéticos.

A BMP e outras instituições afetadas iniciaram processos internos para avaliar os danos e reforçar suas defesas. A recuperação de parte dos fundos, bloqueados em plataformas de criptomoedas, trouxe alívio, mas o prejuízo total ainda está sendo calculado. Especialistas estimam que a investigação completa pode levar meses, dado o volume de transações fraudulentas.

Perfil do suspeito e próximos passos

João Nazareno Roque, o suspeito preso, trabalhava na C&M há três anos como funcionário terceirizado. Sua prisão, conduzida pelo Departamento Estadual de Investigações Criminais (Deic) em São Paulo, foi um marco na investigação. Roque alegou que sua máquina foi usada pelos hackers, mas não esclareceu se agiu intencionalmente ou foi vítima de manipulação.

A Polícia Federal planeja rastrear as transações fraudulentas, focando nas contas laranjas e nas plataformas de criptomoedas envolvidas. A colaboração entre a PF, a Polícia Civil e o Banco Central será essencial para identificar outros possíveis envolvidos e recuperar os valores desviados.

Lições do maior ataque cibernético do Brasil

O ataque à C&M Software expôs a necessidade de investimentos em cibersegurança no setor financeiro. A sofisticação dos criminosos, que combinaram roubo de credenciais, planejamento prolongado e tentativas de lavagem de dinheiro, destaca a evolução das ameaças digitais. Instituições financeiras menores, que dependem de terceiros para acessar o SPB, enfrentam desafios adicionais para garantir a proteção de seus sistemas.

O caso também reforçou a importância de auditorias regulares e autenticação multifator. Pedro Diógenes, especialista em segurança da informação, destacou que a padronização de ordens de pagamento, embora essencial para o Pix, pode ser explorada se não houver camadas robustas de segurança. A revisão das políticas de homologação do Banco Central será um passo crucial para evitar incidentes semelhantes.

O que esperar das investigações

As autoridades agora concentram esforços em mapear a rede de contas laranjas e identificar os líderes do ataque. A análise de transações na blockchain, usada para rastrear criptomoedas, pode oferecer pistas sobre o destino dos fundos. A C&M Software, sob escrutínio, comprometeu-se a colaborar com as investigações, mas enfrenta questionamentos sobre sua capacidade de prevenir futuros ataques.

O Banco Central, por sua vez, mantém a confiança no Pix, reforçando que o sistema segue seguro para a população. A normalização das operações da C&M, sob supervisão, indica um retorno gradual à estabilidade, mas o impacto financeiro e reputacional do incidente permanecerá em debate.