Pix sofre novo baque: BC bloqueia três instituições financeiras

A decisão do BC amplia a lista de fintechs afastadas do Pix por suposta relação com o desvio de recursos das contas reservas dos bancos mantidas na autoridade monetária. Até agora, estima-se que o golpe tenha movimentado pelo menos R$ 530 milhões em transferências instantâneas, posteriormente convertidas em criptomoedas.

Leia mais: Ataque hacker em SP: empresas recebem PIX milionários

Mais três participantes fora do ar

As novas empresas suspensas pelo Banco Central são a Voluti Gestão Financeira, a Brasil Cash e a S3 Bank. Elas se juntam à Transfeera, Soffy e Nuoro Pay, que já haviam sido desconectadas do sistema logo após a detecção do ataque.

A suspensão é uma medida preventiva prevista no Artigo 95-A da Resolução nº 30/2020, que permite à autarquia afastar, por até 60 dias, qualquer participante do Pix cuja conduta represente risco ao funcionamento do sistema.

Segundo nota do BC, a prioridade é proteger a integridade e a confiança no arranjo de pagamentos enquanto as investigações avançam.

O que dizem as instituições afetadas

A Transfeera, uma das primeiras a ser suspensa, se manifestou por meio de comunicado, esclarecendo que sua própria estrutura e seus clientes não foram impactados pelo incidente e que a empresa colabora com as autoridades para retomar sua participação no Pix o quanto antes.

Já as fintechs Soffy e Nuoro Pay, que não são participantes diretas do Pix, mas atuam por meio de parcerias com bancos, não se pronunciaram publicamente sobre a desconexão. As recém-suspensas Voluti, Brasil Cash e S3 Bank também não responderam aos pedidos de comentário feitos pela imprensa.

Como ocorreu o ataque

A ofensiva contra o sistema foi desencadeada na noite de terça-feira (1º) e teve como vetor a provedora de tecnologia C&M Software, que presta serviços para diversas instituições financeiras, conectando-as ao Sistema de Pagamentos Brasileiro (SPB), operado pelo BC.

Os criminosos conseguiram acesso aos sistemas da empresa por meio de um funcionário cooptado, que, segundo a Polícia Civil de São Paulo, recebeu R$ 15 mil para ceder suas credenciais de acesso e criar um mecanismo para os hackers invadirem a rede. Ele foi preso na sexta-feira e confessou participação.

Apesar do desvio dos recursos, a C&M afirmou que nenhum dado de clientes finais foi comprometido.

Investigação em andamento

O caso é investigado em conjunto pelo Banco Central, pela Polícia Federal e pela Polícia Civil paulista. Até o momento, as autoridades apuram se as seis instituições suspensas têm vínculo direto com o esquema ou se apenas foram usadas como canais para o escoamento dos valores desviados.

Na quinta-feira (3), o BC já havia autorizado a C&M a retomar suas operações com Pix, indicando que a empresa reforçou suas defesas cibernéticas e não oferece mais risco imediato ao sistema.

Impactos e riscos para o sistema financeiro

O episódio levanta questionamentos sobre a robustez dos mecanismos de segurança das empresas que prestam serviços no ecossistema financeiro e expõe o risco sistêmico de ataques direcionados a provedores de tecnologia que integram múltiplas instituições.

Para especialistas, ainda que o Pix em si seja considerado seguro, a cadeia de participantes e terceiros envolvidos em sua operação pode conter pontos vulneráveis que exigem maior fiscalização e investimentos em cibersegurança.

O Banco Central reforçou que continua monitorando o caso de perto e que não há risco para os usuários finais do Pix, já que os valores desviados vieram das contas reservas dos bancos, não diretamente das contas de clientes.

Com informações de: Agência Brasil