Ataque digital derruba infraestrutura de empresa financeira e causa rombo de R$ 800 milhões

A dimensão do golpe surpreendeu o mercado: estima-se que o rombo possa chegar a R$ 1 bilhão, valor sem precedentes para uma prestadora de serviços financeiros desse porte. O caso acende alerta em bancos, fintechs e órgãos reguladores sobre os riscos de uma invasão cibernética bem-sucedida.

LEIA MAIS:

• Clientes de bancos ficam sem acesso ao Pix após ataque hacker
• Bybit enfrenta o maior ataque hacker da história cripto: lições de resiliência e segurança digital
• Segurança digital: 7 ameaças ao seu Windows e o que fazer para evitá-las

C&M Software: Como o ataque digital aconteceu

Invasão e uso de credenciais indevidas

Segundo informações da própria C&M Software, o ataque incluiu o “uso indevido de credenciais de clientes” para acessar contas-reserva de seis instituições financeiras. Essas contas são mantidas no Banco Central e são usadas exclusivamente para liquidação interbancária.

Fontes de mercado apontam que o ataque foi executado de forma coordenada, explorando brechas na infraestrutura tecnológica da prestadora de serviços. Ainda não há confirmação de como as credenciais foram obtidas, mas especialistas apontam falhas em processos de autenticação e gestão de acesso.

Seis instituições impactadas

O golpe envolveu pelo menos seis instituições financeiras, entre elas a fintech BMP e a Credsystem. Ambas confirmaram que suas contas-reserva foram alvo, mas garantiram que nenhum cliente teve valores ou dados acessados.

A BMP, por exemplo, declarou ter adotado medidas legais e operacionais para cobrir integralmente o valor envolvido, sem impacto na operação. Já a Credsystem informou que o Pix ficou temporariamente fora do ar por determinação do Banco Central.

Estrutura do SPB e conexão com o Pix

O que faz a C&M Software

A C&M atua como intermediária entre bancos, fintechs e o Banco Central, fornecendo tecnologia para operações de pagamentos instantâneos, como o Pix, e para transações interbancárias do SPB.

Instituições menores, que não possuem infraestrutura própria de conexão, dependem de empresas como a C&M para realizar essas operações. Por isso, uma brecha na camada de interligação pode abrir caminho para fraudes de grande escala.

Determinação do Banco Central

Diante da gravidade, o Banco Central determinou o desligamento do acesso das instituições afetadas às infraestruturas operadas pela C&M. A decisão, segundo comunicado oficial, visa preservar a integridade do sistema de pagamentos.

O BC confirmou que o ataque ocorreu, mas não divulgou valores. Até o momento, não há indícios de que contas correntes ou poupanças de clientes tenham sido impactadas diretamente.

Esquema sofisticado e movimentação em cripto

Estratégia de anonimato

Fontes do setor apontam que os valores desviados foram rapidamente convertidos em criptoativos, como bitcoin e tether. A prática é comum em grandes ataques cibernéticos: ao migrar valores para carteiras de criptomoedas, os criminosos dificultam o rastreio e aceleram a movimentação de grandes somas.

O CEO da SmartPay, Rocelo Lopes, relatou que sua plataforma, responsável pela carteira de auto custódia Truther, detectou movimentações atípicas logo nos primeiros minutos da segunda-feira, 30. A empresa reforçou filtros de validação e reteve valores suspeitos, devolvendo-os para as instituições envolvidas.

Cripto sob vigilância

O gerente de segurança cibernética da ISH Tecnologia, Paulo Trindade, reforça que operações com ativos virtuais são um desafio extra para investigadores. O anonimato e a velocidade das transações em blockchain tornam o rastreamento mais complexo, exigindo colaboração entre empresas, exchanges e órgãos de segurança.

Impacto para as instituições afetadas

BMP e Credsystem se pronunciam

A fintech BMP assegurou que tem recursos para cobrir integralmente o impacto, preservando a segurança de parceiros e clientes. A Credsystem, por sua vez, disse que o impacto direto se limitou ao Pix, mas reafirmou o compromisso com a continuidade da operação.

Outras instituições financeiras envolvidas ainda não divulgaram notas oficiais. Fontes do mercado indicam que algumas podem não ter a mesma robustez para absorver prejuízos sem impacto operacional.

Clima de incerteza

Especialistas de cibersegurança afirmam que o ataque é um “alerta severo” para o setor financeiro. “Informações disponíveis até agora indicam um esquema criminoso bem elaborado. A segurança digital precisa estar na pauta de conselhos e nos planos de continuidade de negócios”, alerta Paulo Suzart, consultor de compliance.

Risco sistêmico: há ameaça para o mercado?

Contenção de danos

Segundo o Banco Central, o sistema financeiro permanece íntegro. Não houve impacto direto em contas de clientes, o que evitou uma crise de confiança maior.

A decisão de isolar o acesso da C&M e obrigar instituições a buscarem alternativas de conexão foi crucial para conter o dano sistêmico. Mesmo assim, o incidente gera insegurança e deve acelerar discussões sobre resiliência digital no setor.

Exemplo para bancos e fintechs

O caso expõe uma vulnerabilidade importante: mesmo instituições que terceirizam serviços de tecnologia precisam ter protocolos rígidos de gestão de fornecedores. “Terceirizar não significa abrir mão de responsabilidades de segurança”, alerta Suzart.

Investigação em curso

Quem está apurando

As investigações estão sendo conduzidas pelo Banco Central, Polícia Civil de São Paulo e Polícia Federal. A expectativa é que novas informações sobre o modus operandi dos criminosos venham à tona nas próximas semanas.

Por ora, não se sabe se houve colaboração interna para a obtenção de credenciais ou se os sistemas foram invadidos por phishing ou falhas de configuração.

Dificuldade de rastrear criptoativos

Mesmo que parte dos valores tenha sido recuperada pela SmartPay, especialistas acreditam que a maior parte dos recursos já esteja pulverizada em carteiras digitais anônimas. Sem uma trilha rastreável, a chance de recuperação integral é remota.

Como se proteger de ataques assim?

Medidas de prevenção

Para instituições financeiras, o caso reforça a importância de auditorias contínuas, testes de vulnerabilidade e revisão de políticas de acesso. É essencial investir em soluções de autenticação forte, monitoramento de transações em tempo real e capacitação de equipes.

Para o consumidor, o risco é menor, mas o incidente serve de lembrete: ative camadas extras de segurança em aplicativos bancários e desconfie de links e mensagens que solicitam dados pessoais.

O papel da regulação

Especialistas pedem que o Banco Central e a CVM avancem na regulamentação de criptoativos e de serviços de auto custódia, para reduzir brechas exploradas por grupos criminosos.

O futuro da C&M Software

Reputação em xeque

Mesmo com nota oficial garantindo que todos os protocolos de segurança foram seguidos, a C&M Software terá que reconstruir a confiança do mercado. O incidente pode levar clientes a migrarem para outras plataformas ou a buscarem soluções internas.

Aprendizados para o setor

Bancos e fintechs devem reforçar planos de contingência, investir em parcerias sólidas de cibersegurança e rever contratos com prestadores de serviços críticos. Casos como este provam que um elo fraco pode expor toda a cadeia.

O ataque à C&M Software é um marco na história recente da segurança digital no Brasil. Com um rombo estimado em até R$ 1 bilhão, o episódio deixa claro que proteger credenciais, reforçar autenticações e monitorar transações devem ser prioridades permanentes.

Para bancos, fintechs e clientes, fica o alerta: segurança cibernética não é mais opcional, é essencial para garantir a confiança de todos os envolvidos. Continue acompanhando nossos conteúdos para entender como o mercado reage a ataques como este e saiba como proteger seus dados e recursos financeiros. Compartilhe esta informação para que mais pessoas fiquem atentas!