Um ataque cibernético de grandes proporções expôs uma das principais vulnerabilidades da infraestrutura financeira brasileira e provocou o desvio de R$ 541 milhões por meio do Pix. O dinheiro saiu de contas de reserva mantidas pelo banco BMP durante cerca de duas horas e meia, em uma ação que atingiu uma empresa responsável por conectar instituições financeiras ao Banco Central.
O caso de 2025 é considerado um dos maiores ataques já registrados contra o Sistema Financeiro Nacional. A investigação da Polícia Civil de São Paulo identificou um funcionário da C&M Software, empresa que presta serviços de tecnologia para instituições financeiras, como possível peça-chave da operação. Segundo as autoridades, ele teria fornecido aos criminosos meios para acessar o ambiente utilizado nas transferências eletrônicas.
A dimensão do prejuízo pode, porém, ser maior. A polícia informou que os R$ 541 milhões correspondem ao valor desviado de uma instituição financeira, enquanto outras perdas ainda podem ser identificadas durante o avanço das investigações.
Funcionário teria facilitado acesso ao sistema
A apuração da Divisão de Combate a Crimes Cibernéticos apontou que um funcionário da C&M, responsável por intermediar transações via Pix entre a instituição vítima e o Banco Central, teria sido cooptado pelo grupo criminoso.
Com o acesso privilegiado, os invasores conseguiram realizar transferências em massa diretamente para outras instituições financeiras. As autoridades afirmam que foram utilizadas credenciais legítimas, o que dificultou a identificação imediata da atividade suspeita.
O caminho percorrido pelo dinheiro e informações relacionadas às credenciais utilizadas levaram os investigadores até João Nazareno Roque, operador de tecnologia apontado como envolvido no esquema. Ele foi localizado e preso em São Paulo.
Durante a operação, equipamentos eletrônicos foram apreendidos na residência do suspeito. Segundo a polícia, o material deverá contribuir para esclarecer como ocorreu a invasão e identificar outros integrantes da organização.
O investigado teria admitido que foi aliciado por terceiros e que auxiliou o grupo criminoso a entrar no sistema e efetuar as solicitações de transferências pelo Pix.
R$ 270 milhões foram bloqueados
Após rastrear parte do percurso dos valores, a Justiça determinou o bloqueio de R$ 270 milhões em uma conta que teria recebido uma parcela do dinheiro desviado.
Outra parte significativa dos recursos foi convertida em criptomoedas, estratégia que pode dificultar o rastreamento e a recuperação dos valores. Mesmo assim, mecanismos de segurança do sistema financeiro permitiram bloquear parte dos recursos.
O episódio chamou atenção justamente porque o Pix é utilizado em larga escala no país. Segundo os dados apresentados no caso, o sistema de pagamentos instantâneos alcança 76,4% da população brasileira, tornando sua infraestrutura um alvo de grande interesse para grupos especializados em crimes digitais.
C&M não tem vínculo com o Banco Central
Após o ataque, o Banco Central esclareceu que a C&M Software não é uma empresa terceirizada da autarquia e que seus representantes e funcionários não possuem vínculo contratual com o Banco Central.
A companhia atua como prestadora de serviços para instituições que mantêm contas transacionais. Na prática, empresas desse tipo funcionam como uma ponte tecnológica para permitir a comunicação entre instituições financeiras e a infraestrutura utilizada para operações do sistema de pagamentos.
Por isso, embora o ataque tenha atingido uma empresa conectada à infraestrutura bancária, o Banco Central afirmou que a C&M não integra seu quadro de fornecedores contratados.
Como os criminosos conseguiram realizar o ataque
As investigações apontam para uma combinação de vulnerabilidades. A primeira delas teria sido o comprometimento interno, com a cooptação de um funcionário que possuía acesso privilegiado a sistemas, senhas e certificados.
A partir dessas credenciais, os criminosos teriam conseguido utilizar acessos legítimos e manipular informações relacionadas a clientes da C&M, incluindo a instituição BMP Money Plus. Como as operações foram realizadas a partir de credenciais válidas, os mecanismos de segurança não identificaram imediatamente o comportamento como uma invasão.
Outro fator foi a própria importância da infraestrutura tecnológica utilizada pela empresa. Por funcionar como elo de conexão entre instituições financeiras e o Banco Central, uma invasão nesse ponto poderia produzir consequências em cadeia.
Diante da identificação do ataque, houve necessidade de bloqueio emergencial dos acessos, numa tentativa de impedir que novas transferências fossem realizadas.
