Polícia rastreia 29 empresas em golpe hacker que desviou R$ 541 milhões via PIX

Um ataque cibernético de proporções históricas abalou o sistema financeiro brasileiro na madrugada de 30 de junho de 2025, quando hackers desviaram R$ 541 milhões do banco BMP Sociedade de Crédito LTDA, em São Paulo, por meio de 166 transações via PIX. A ação, facilitada por um funcionário da C&M Software, João Nazareno Roque, que vendeu sua senha por R$ 15 mil, comprometeu contas reserva de ao menos seis instituições financeiras. A Polícia Civil, em conjunto com a Polícia Federal, investiga 29 empresas que receberam os valores, enquanto o Banco Central monitora os desdobramentos. O caso, considerado o maior roubo digital do país, expõe vulnerabilidades na infraestrutura de terceiros e levanta debates sobre segurança digital no setor financeiro.

A operação criminosa, segundo as autoridades, foi meticulosamente planejada. O golpe começou com a obtenção de credenciais de acesso através de técnicas de engenharia social, explorando a confiança de um operador de TI. As transferências ocorreram em menos de cinco horas, entre 2h03 e 7h04, e os valores foram fragmentados para dificultar o rastreamento. A rapidez e a sofisticação do ataque chamaram a atenção de especialistas, que alertam para os riscos de depender de intermediários tecnológicos no sistema financeiro.

Siga o Mix Vale no Google e veja nossas notícias primeiro

• Pontos principais do ataque:
  • 166 transações PIX realizadas em menos de cinco horas.
  • R$ 541 milhões desviados, com valores entre R$ 200 mil e R$ 271 milhões.
  • 29 empresas identificadas como receptoras dos valores.
  • Funcionário da C&M Software confessou envolvimento por R$ 15 mil.
  • R$ 270 milhões bloqueados em uma empresa de pagamentos.

O impacto do ataque vai além dos números. A confiança no Sistema de Pagamentos Brasileiro (SPB), que inclui o PIX, foi abalada, embora as autoridades reforcem que os sistemas do Banco Central não foram diretamente comprometidos. A C&M Software, empresa que atua como ponte tecnológica para instituições financeiras menores, foi temporariamente desconectada do ambiente do Banco Central, afetando operações de PIX de seus clientes.

A falha humana que abriu a brecha

João Nazareno Roque, operador de TI da C&M Software, tornou-se a peça central do esquema ao ceder suas credenciais de acesso. Abordado em março de 2025 na saída de um bar em São Paulo, ele foi cooptado por criminosos que ofereceram R$ 15 mil em dinheiro vivo, entregue por um motoboy. Em depoimento, Roque revelou que se comunicava com os hackers por celular, trocando o aparelho a cada 15 dias para evitar rastreamento. Sua prisão, no bairro City Jaraguá, na Zona Norte da capital, marcou o primeiro avanço significativo da investigação.

A facilidade com que o funcionário foi manipulado evidencia a vulnerabilidade de fatores humanos na segurança cibernética. Técnicas de engenharia social, como as usadas neste caso, exploram confiança e negligência, dispensando falhas tecnológicas complexas. A C&M Software, em nota, destacou que o incidente não resultou de problemas em seus sistemas, mas sim do uso indevido de credenciais. A empresa reforçou que mantém todos os seus serviços operacionais e colabora com as autoridades.

O caso de Roque não é isolado. Especialistas apontam que ataques baseados em engenharia social têm crescido no Brasil, especialmente contra o setor financeiro. A sofisticação dos criminosos, que planejam meses de aproximação e cooptam insiders, exige que empresas invistam não apenas em tecnologia, mas também em treinamento de funcionários.

A trilha do dinheiro

A investigação da Polícia Civil foca agora nas 29 empresas que receberam os R$ 541 milhões desviados. As transferências, que variaram de R$ 200 mil a R$ 271 milhões, foram fragmentadas em inúmeras contas de pessoas físicas e jurídicas, configurando, segundo os advogados do banco BMP, um esquema de lavagem de dinheiro. O objetivo era dificultar o rastreamento dos valores, muitos dos quais foram convertidos em criptoativos para garantir anonimato.

• Detalhes das transações:
  • 69 operações menores, de R$ 1 milhão a R$ 10 milhões, bloqueadas.
  • Uma empresa de pagamentos reteve R$ 270 milhões do total desviado.
  • Valores foram pulverizados em contas de laranjas e criptoativos.
  • Transferências ocorreram em horário não comercial, entre 2h03 e 7h04.

O bloqueio de R$ 270 milhões foi um alívio parcial para o banco BMP, que informou ter garantias suficientes para cobrir o prejuízo sem impactar seus clientes. No entanto, a recuperação do restante dos valores depende da identificação dos beneficiários finais. A Polícia Federal, em parceria com o Ministério Público, formou uma força-tarefa para analisar aparelhos eletrônicos apreendidos na casa de Roque e rastrear as contas envolvidas. A suspeita é que o grupo criminoso opere majoritariamente em São Paulo, dado o modus operandi da abordagem inicial.

A conversão de parte do dinheiro em criptoativos complica a investigação. Embora transações via PIX e TED deixem rastros bancários, as criptomoedas oferecem maior anonimato. Especialistas em cibersegurança sugerem que exchanges de criptoativos que não cumprem normas rigorosas de identificação de clientes podem enfrentar responsabilização civil e penal, caso sejam usadas no esquema.

O papel da C&M Software no sistema financeiro

Fundada em 1999, a C&M Software é uma das principais provedoras de serviços de tecnologia da informação para o setor financeiro brasileiro. Homologada pelo Banco Central desde 2001, a empresa conecta instituições menores ao Sistema de Pagamentos Brasileiro, incluindo o ambiente de liquidação do PIX. Sua infraestrutura permite que bancos e fintechs, como o BMP, realizem operações interbancárias sem a necessidade de conexões diretas com o Banco Central.

• Serviços prestados pela C&M:
  • Conectividade com o Banco Central via Rede do Sistema Financeiro Nacional (RFSN).
  • Mensageria para operações no Sistema de Pagamentos Brasileiro.
  • Suporte a transações PIX para mais de 23 instituições financeiras.
  • Soluções de software para bancos, cooperativas e fintechs.

O ataque expôs a dependência de instituições financeiras menores de provedores terceirizados como a C&M. Embora a empresa tenha retomado parcialmente suas operações em 3 de julho, sob regime de produção controlada, a suspensão temporária de seus serviços causou instabilidade em transações PIX de seus clientes. O Banco Central substituiu a suspensão total por uma parcial, exigindo monitoramento reforçado e limites transacionais.

A relevância da C&M no ecossistema financeiro amplifica a gravidade do incidente. Especialistas destacam que falhas em provedores terceirizados podem gerar riscos sistêmicos, mesmo que os sistemas do Banco Central permaneçam intactos. A empresa, por sua vez, enfatiza que sua infraestrutura de segurança foi eficaz na identificação do acesso indevido, mas a confiança do mercado foi abalada.

Reações e próximos passos

A cúpula da Polícia Civil, em coletiva no dia 5 de julho, classificou o ataque como o maior roubo digital da história do Brasil. O delegado Paulo Barbosa, do Departamento Estadual de Investigações Criminais (DEIC), evitou confirmar o valor exato do prejuízo, mas reconheceu sua magnitude. A investigação agora se concentra em identificar outros envolvidos, incluindo os líderes do grupo criminoso e os beneficiários das transferências.

O Banco Central, por sua vez, mantém silêncio sobre os detalhes do incidente, limitando-se a confirmar o ataque e as medidas tomadas. A suspensão parcial das operações da C&M e o reforço no monitoramento indicam uma tentativa de conter danos sem paralisar o sistema financeiro. Reguladores, como o Conselho Monetário Nacional, devem intensificar o debate sobre os riscos da digitalização bancária, especialmente em relação a terceiros.

• Medidas em andamento:
  • Força-tarefa entre Polícia Federal, Polícia Civil e Ministério Público.
  • Análise de celulares e computadores apreendidos com João Nazareno Roque.
  • Rastreamento de contas suspeitas e ativos financeiros.
  • Discussões regulatórias sobre segurança em provedores terceirizados.

O banco BMP, principal vítima do ataque, reiterou que nenhum cliente foi afetado, já que o desvio ocorreu em contas reserva destinadas à liquidação interbancária. A instituição informou que as operações foram normalizadas em 3 de julho, com o uso de um provedor reserva para transações PIX. Outras instituições afetadas, como Credsystem e Banco Paulista, também negaram impactos diretos aos clientes.

Lições de um ataque histórico

A sofisticação do ataque, combinada com a simplicidade da falha inicial, destaca a necessidade de controles mais rigorosos no setor financeiro. A dependência de provedores terceirizados, como a C&M Software, exige revisões urgentes nas políticas de gestão de riscos e na segurança de credenciais. O caso também reforça a importância de treinamentos contra técnicas de engenharia social, que continuam sendo uma das principais portas de entrada para crimes cibernéticos.

A investigação em curso deve trazer mais clareza sobre a extensão do prejuízo e os responsáveis pelo ataque. Enquanto isso, o setor financeiro enfrenta o desafio de restaurar a confiança em um sistema que, embora robusto, revelou fragilidades inesperadas. O desvio de R$ 541 milhões, com potencial de ser ainda maior, marca um ponto de inflexão na história da cibersegurança no Brasil.