Um ataque hacker de grandes proporções ocorrido entre 20 e 21 de junho de 2025 resultou no desvio de centenas de milhões de reais de contas de liquidação no Banco Central (BC). A ofensiva criminosa explorou vulnerabilidades na infraestrutura da C&M Software, empresa que atua como intermediária tecnológica entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB).
Estimativas de mercado apontam que o prejuízo pode alcançar R$ 1 bilhão, embora o Banco Central ainda não tenha divulgado o valor oficial. As investigações preliminares indicam que os criminosos utilizaram credenciais comprometidas para emitir ordens fraudulentas de movimentação de valores das “contas reservas”, utilizadas pelos bancos para liquidações no sistema do BC.
Como o Ataque Ocorreu
De acordo com apurações da imprensa e fontes ligadas ao sistema financeiro, os hackers exploraram falhas de segurança da C&M Software, comprometendo servidores e enviando comandos maliciosos ao ambiente do SPB. Com isso, conseguiram movimentar valores de instituições como BMP Money Plus, Banco Paulista e Credsystem, entre outras.
Uma parte significativa do dinheiro desviado foi rapidamente convertida para criptomoedas como USDT e Bitcoin, utilizando corretoras e intermediários com integração ao Pix. Essa conversão dificulta o rastreamento e a recuperação dos ativos. A fintech SmartPay foi uma das plataformas que identificou movimentações atípicas, bloqueando algumas transações e revertendo valores para instituições afetadas, mas a maior parte do montante já havia sido dispersada em carteiras digitais não identificadas.
Reações e Consequências do Incidente
O Banco Central confirmou o ataque na última segunda-feira, 1º de julho, e prontamente determinou o desligamento das conexões entre as instituições financeiras e a C&M Software como medida de contenção. O acesso foi restabelecido apenas parcialmente, com horários limitados e sob monitoramento rigoroso.
Em comunicado, a C&M Software informou que está cooperando com as investigações da Polícia Federal e da Polícia Civil de São Paulo. A empresa também afirmou ter reforçado seus controles internos, auditoria de sistemas e políticas antifraude, destacando que o incidente foi isolado e que dados de clientes finais não foram comprometidos.
Entre as instituições financeiras citadas, o BMP Money Plus divulgou possuir garantias e reservas suficientes para cobrir o prejuízo sem impactar suas operações ou correntistas. O Banco Paulista, que teve seus sistemas Pix desativados preventivamente, informou não ter sofrido perdas diretas. A Credsystem ainda não se manifestou oficialmente.
Investigação e Futuras Medidas
A Polícia Federal abriu um inquérito para investigar o caso, tratado como crime de alta complexidade e potencial ameaça à integridade do sistema financeiro nacional. As investigações também analisarão possíveis falhas de supervisão e segurança por parte da C&M Software, dada sua função crítica na infraestrutura de pagamentos do país.
Especialistas do setor financeiro alertam que o episódio pode levar a mudanças regulatórias no modelo de prestação de serviços financeiros e Banking as a Service (BaaS), especialmente no que tange à segurança cibernética e ao credenciamento de integradores no ecossistema do Banco Central.
O ataque à C&M Software expôs uma brecha crítica na interconexão entre tecnologia e regulação no setor financeiro brasileiro. Embora as perdas não atinjam diretamente os clientes finais, o incidente serve como um alerta urgente para a necessidade de reforço imediato nos mecanismos de segurança digital e na supervisão de empresas terceirizadas com acesso ao sistema financeiro nacional. As investigações estão em andamento, e novas medidas das autoridades devem ser anunciadas nos próximos dias.