Um ataque hacker de grandes proporções atingiu, nesta terça-feira (1º/7), a empresa C&M Software, prestadora de serviços de conexão entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB), abalando o coração do sistema financeiro nacional e acendendo um alerta vermelho sobre a segurança digital das operações com Pix e outros serviços bancários instantâneos.
O caso, já considerado um dos maiores ataques cibernéticos da história recente do país, está sendo tratado como prioridade por autoridades. A Polícia Federal (PF) vai instaurar um inquérito para investigar o ataque, que pode ter causado um prejuízo total de até R$ 1 bilhão, segundo informações apuradas pela coluna com fontes ligadas ao caso e pelo site Brazil Journal.
Fundada em 1992, a C&M é responsável pela mensageria que interliga bancos e fintechs ao SPB, operando como intermediária para instituições que não possuem conexão direta com o Banco Central (BC). Sua estrutura é estratégica para o funcionamento do ecossistema de pagamentos instantâneos, incluindo o Pix, e o ataque evidenciou justamente a fragilidade desse elo crítico da cadeia bancária.
De acordo com relatos iniciais, os criminosos conseguiram acessar indevidamente os sistemas da C&M utilizando credenciais de clientes, o que permitiu movimentações financeiras fraudulentas. Estima-se que ao menos R$ 400 milhões tenham sido desviados de contas de instituições financeiras conectadas à empresa, entre elas a BMP, uma provedora de serviços bancários digitais, que no ano passado registrou uma receita bruta de R$ 804 milhões e lucro líquido de R$ 231 milhões.
O Banco Central confirmou o ataque e determinou o desligamento das conexões da C&M com as instituições afetadas como medida preventiva. Em nota, a autoridade monetária informou que a empresa comunicou formalmente o incidente e que as providências de contenção foram adotadas.
A C&M, por sua vez, confirmou que foi “vítima direta da ação criminosa” e disse que “todos os sistemas críticos seguem íntegros e operacionais”. A empresa afirmou estar colaborando com o Banco Central, a Polícia Civil de São Paulo e agora também com a Polícia Federal.
Já a BMP esclareceu que o ataque se concentrou exclusivamente na conta reserva que a instituição mantém no Banco Central e garantiu que nenhum cliente foi impactado. A empresa afirmou ainda ter colaterais suficientes para cobrir os valores desviados, sem prejuízo às suas operações ou aos seus parceiros comerciais.
Embora os nomes de todas as instituições atingidas ainda não tenham sido revelados, fontes apontam que cada banco ou fintech ligada à C&M pode ter registrado perdas médias superiores a R$ 50 milhões. O episódio escancarou a dependência do sistema financeiro de prestadoras terceirizadas e colocou o Banco Central sob pressão para revisar protocolos de segurança das conexões indiretas ao SPB.
Considerado por especialistas como “o roubo do século” no setor bancário brasileiro, o caso reacende o debate sobre os riscos cibernéticos envolvendo o ambiente do Pix e as responsabilidades das empresas intermediárias que operam nas engrenagens do sistema.
