C&M retoma operações do Pix após ataque hacker com aval do BC

A retomada dos serviços, porém, ocorre sob regras rigorosas e monitoramento reforçado para garantir a integridade do ecossistema bancário.

Leia mais: Pix 2025: novas regras exigem validação do CPF na Receita

Retomada controlada após paralisação cautelar

O funcionamento do Pix pela C&M havia sido suspenso integralmente pelo BC como medida cautelar na terça-feira (1º), logo após o ataque ser reportado. Nesta quinta-feira, o BC decidiu flexibilizar a suspensão para um regime parcial, permitindo à empresa retomar operações em horário comercial — das 6h30 às 18h30 em dias úteis — desde que cada instituição participante do Pix dê sua anuência formal e que os controles internos e limites transacionais sejam rigorosamente monitorados.

Segundo o Banco Central, a decisão foi possível após a C&M comprovar a adoção de medidas robustas para mitigar novos ataques cibernéticos.

Empresa reforça protocolos e reafirma integridade

Em nota divulgada nesta manhã, a C&M Software classificou o incidente como “uma ação criminosa” e assegurou que, desde o início, tem colaborado com as investigações conduzidas pelas autoridades competentes. A companhia enfatizou que todos os seus sistemas críticos continuam íntegros e operacionais, apesar do episódio.

“Todas as medidas previstas em nossos protocolos de segurança foram imediatamente adotadas, incluindo o reforço de controles internos, auditorias independentes e comunicação direta com os clientes afetados”, destacou a empresa no comunicado.

A companhia também manifestou confiança em sua atuação e criticou “ilações ou tentativas externas de antecipar julgamentos” sobre sua responsabilidade no ataque.

Como ocorreu o ataque hacker

O ciberataque à infraestrutura tecnológica da C&M ocorreu na madrugada de terça-feira. Segundo a própria empresa, os criminosos exploraram credenciais de clientes — logins e senhas que já circulavam em vazamentos anteriores — para invadir os sistemas da companhia e realizar transferências irregulares a partir das contas reservas das instituições financeiras no Banco Central.

As chamadas contas reservas são depósitos que bancos e outras instituições mantêm no BC para cumprir exigências legais de liquidez e garantias, e não estão diretamente ligadas às transações instantâneas do Pix feitas pelos usuários finais.

Logo após ser informado do ataque pela própria C&M, o BC determinou a suspensão imediata do acesso da empresa ao sistema, evitando um impacto maior na infraestrutura nacional de pagamentos.

O papel da C&M no ecossistema financeiro

A C&M Software é uma provedora especializada em soluções para operações do Sistema de Pagamentos Brasileiro (SPB), incluindo o ambiente do Pix. Na prática, a empresa gerencia a troca de informações entre dezenas de instituições participantes do sistema, sendo um elo importante para o bom funcionamento das transferências instantâneas.

Apesar da gravidade do ataque, não houve relato de desvio direto de valores movimentados via Pix pelos usuários. Os desvios ficaram restritos às contas reservas das instituições, que representam outro nível do sistema financeiro.

Repercussão e medidas para o futuro

O episódio reacendeu o debate sobre a vulnerabilidade de provedores terceirizados no setor bancário e a necessidade de reforçar a segurança cibernética em um cenário cada vez mais digitalizado. Especialistas alertam para o risco do chamado credential stuffing, técnica em que criminosos testam credenciais já vazadas em outros ataques para acessar sistemas críticos.

O BC e a C&M se comprometeram a revisar rotinas, aumentar o monitoramento de fraudes e implantar novos limites operacionais para reduzir o risco de episódios semelhantes.

Confiabilidade em jogo

Para analistas do mercado financeiro, o incidente é um alerta vermelho sobre a interdependência das instituições e provedores no ecossistema do SPB e do Pix. A rápida resposta do BC e a postura colaborativa da C&M são consideradas positivas, mas não eliminam o impacto reputacional para a empresa e para o sistema como um todo.

A manutenção da confiança dos clientes e do público em geral dependerá, agora, de transparência e eficácia na implementação das correções prometidas.