Entenda quem comandava a fraude bilionária por trás do golpe do PIX

Um desvio estimado em mais de R$ 540 milhões abalou a confiança de usuários e expôs uma série de vulnerabilidades no sistema que é hoje uma das principais formas de transação bancária do país.

O golpe teve como figura central João Nazareno Roque, de 48 anos, profissional de tecnologia da informação que atuava na empresa C&M Software, especializada na intermediação entre instituições financeiras e o sistema Pix.

Roque foi preso pela Polícia Civil de São Paulo, acusado de vender acesso privilegiado a hackers, facilitando a invasão e o desvio de valores.

Leia mais:

Criminosos usam o nome da Netflix para aplicar novo golpe; entenda como funciona

Como o ataque foi executado

Elo frágil: C&M Software e o vazamento de credenciais

A empresa C&M Software, pouco conhecida do grande público, é peça fundamental no funcionamento do Pix: ela oferece sistemas que conectam fintechs e bancos de menor porte à infraestrutura do Banco Central.

Foi justamente essa posição estratégica que tornou a empresa alvo dos cibercriminosos. Segundo as investigações, hackers obtiveram credenciais de acesso vazadas de clientes da C&M.

Com essas informações, conseguiram simular transações legítimas, movimentando grandes somas entre contas em nome de terceiros.

Venda de acesso: o papel de João Nazareno Roque

Roque, que estava em início de carreira na área de TI, confessou ter vendido acesso ao sistema da empresa por R$ 15 mil. Embora o valor recebido por ele seja irrisório frente ao montante desviado, seu papel foi determinante para que os hackers obtivessem o acesso necessário ao sistema.

Com as credenciais, os criminosos operaram transferências entre contas reservas de fintechs — recursos que funcionam como garantias financeiras para transações — drenando rapidamente o capital disponível.

Impacto direto no sistema financeiro

Fintechs e instituições menores no centro da crise

O golpe não afetou os grandes bancos brasileiros diretamente. Em vez disso, instituições financeiras menores e fintechs, que utilizam intermediárias como a C&M Software, foram as mais atingidas.

Sem a robustez financeira dos grandes bancos, muitas delas tiveram operações suspensas temporariamente pelo Banco Central. Entre as consequências imediatas estão:

• Congelamento de transações Pix em algumas fintechs;
• Suspensão cautelar de credenciamentos da C&M;
• Desconfiança de investidores e usuários de contas digitais.

Respostas das autoridades e medidas de contenção

Ação rápida da Polícia Civil e da Polícia Federal

A Polícia Civil do Estado de São Paulo, em conjunto com a Polícia Federal, foi responsável pela identificação e prisão de João Nazareno Roque. O objetivo agora é rastrear a rede de cibercriminosos envolvidos no esquema, que pode ter ramificações internacionais. As autoridades investigam:

• A origem do vazamento de credenciais;
• O destino dos recursos desviados;
• A existência de outros cúmplices internos nas empresas afetadas.

Medidas adotadas pelas empresas e pelo Banco Central

A C&M Software anunciou mudanças emergenciais em sua infraestrutura de segurança. Entre as ações imediatas:

• Revogação e renovação de todas as credenciais ativas;
• Auditoria externa independente;
• Criação de protocolos de dupla autenticação para qualquer acesso de parceiros.

Já o Banco Central do Brasil determinou a suspensão de todas as operações Pix intermediadas pela C&M até a completa apuração do caso.

A autarquia também reforçou que nenhuma falha foi identificada em sua própria infraestrutura, apontando que o ataque se concentrou nos sistemas privados de empresas terceiras.

O que isso significa para os usuários do Pix?

Sistema Pix continua seguro?

Apesar da gravidade do golpe, especialistas em segurança digital destacam que o sistema Pix, em si, não foi violado. O que ocorreu foi uma invasão em uma empresa intermediária, que possuía acesso legítimo à rede. No entanto, o episódio acende o alerta sobre a dependência de terceiros para a segurança de transações digitais.

Riscos para o consumidor final

Embora o golpe tenha mirado contas reservas e infraestrutura de fintechs, o consumidor final pode ser afetado indiretamente:

• Instabilidade temporária em alguns aplicativos de bancos menores;
• Suspensão de saques ou transferências;
• Dificuldade em acessar serviços vinculados ao Pix.

Autoridades recomendam atenção redobrada com golpes que possam surgir como consequência, como falsas mensagens de “reembolso Pix” ou links suspeitos enviados por e-mail e WhatsApp.

Perfil de João Nazareno Roque: o “homem-chave”

Início de carreira e brecha interna

João Nazareno Roque, de 48 anos, havia ingressado recentemente na área de tecnologia. Segundo colegas, demonstrava conhecimento técnico, mas tinha acesso limitado aos sistemas mais sensíveis.

Ainda assim, conseguiu driblar protocolos internos da empresa e vender credenciais que deveriam estar protegidas.

A investigação sugere que Roque foi cooptado por criminosos externos, e há indícios de que esse tipo de cooptação esteja crescendo entre profissionais de empresas de TI terceirizadas, dada a pressão por salários baixos e contratos temporários.

Prejuízos e tentativas de recuperação dos valores

Mais de R$ 540 milhões em jogo

As estimativas iniciais do prejuízo superam R$ 540 milhões, valor que pode aumentar conforme novas movimentações sejam rastreadas. Grande parte do dinheiro foi transferida para contas laranja ou criptomoedas, dificultando o rastreamento.

A Polícia Federal está usando inteligência artificial e cooperação internacional para tentar bloquear e recuperar parte desses valores.

Consequências para o mercado financeiro

Credibilidade abalada e regulação em pauta

O episódio reacende o debate sobre regulação de empresas intermediárias no sistema financeiro brasileiro. Apesar do avanço tecnológico do Pix, há uma lacuna quando se trata da supervisão de empresas que atuam como pontes entre bancos e o Banco Central.

Espera-se que o Banco Central anuncie nos próximos meses novas diretrizes para:

• Certificação obrigatória de segurança digital para terceirizadas;
• Monitoramento contínuo de transações sensíveis;
• Regras de compliance para prestadores de serviço conectados ao Pix.

Conclusão: um alerta para o futuro digital do Brasil

A fraude bilionária no Pix mostra como brechas humanas e técnicas podem ser exploradas em sistemas complexos. O golpe não apenas abala a confiança do público nas soluções digitais, mas também impõe um desafio urgente às autoridades: fortalecer os pontos vulneráveis sem frear a inovação.

A lição que fica é clara: segurança digital não é opcional. O caso João Nazareno Roque será lembrado como um divisor de águas na forma como o Brasil lida com crimes cibernéticos e proteção de sistemas financeiros.

Imagem: chingyunsong / shutterstock.com – Edição: Seu Crédito Digital