Ataque hacker recorde ameaça credibilidade do sistema financeiro brasileiro
Invasão sofisticada à PSTI C&M expõe fragilidade em elos críticos do PIX e drena até R$ 1 bilhão, levantando alerta sobre a segurança do SPB
Nos dias 30 de junho e 1º de julho de 2025, um ataque cibernético atingiu a C&M Software — provedora de infraestrutura que conecta cerca de 293 instituições ao Sistema de Pagamentos Brasileiro (SPB), incluindo o Pix. Com credenciais válidas de clientes, hackers desviaram entre R$ 800 milhões e R$ 1 bilhão de contas-reserva mantidas no Banco Central, antes da interrupção do acesso pelo BC.
Como ocorreu o golpe
A invasão não explorou falhas técnicas no SPB, mas se aproveitou do uso de credenciais legítimas de instituições usando a PSTI. Assim que as transações foram detectadas, a C&M desativou o serviço para os clientes afetados e o Banco Central ordenou o desligamento, interrompendo o Pix temporariamente para dezenas de fintechs e bancos. A polícia foi acionada; a Polícia Civil de São Paulo e a PF investigam o caso.
Impactos e perdas
- A BMP, um dos principais bancos conectados, perdeu R$ 400 milhões — recuperando cerca de R$ 160 milhões posteriormente, afirma seu CEO. Outras instituições, como Banco Paulista e Credsystem, também confirmaram prejuízos significativos.
- O SPB manteve sua integridade técnica, e clientes finais não foram afetados, pois os recursos desviados provinham apenas das contas-reserva no BC.
Fragilidade sistêmica exposta
O episódio deixa claro que a arquitetura do SPB depende de PSTIs que podem ampliar a superfície de ataque. Usar uma prestadora terceirizada com acesso direto a contas de liquidação representa um risco estrutural e exige revisão profunda na política de gerenciamento de credenciais e governança dos acessos.
Reações e lições
- O Banco Central permitiu a retomada moderada dos serviços da C&M, com controles reforçados e auditoria independente.
- Especialistas defendem adoção urgente de inteligência artificial para monitoramento em tempo real, restrição dinâmica de limites transacionais e estímulo à diversificação das PSTIs.
- A confiança no ecosistema Pix e no SPB sofreu impacto, aumentando pressão por regulamentação mais rígida e fiscalização proativa.
Por que isso importa
- Confiança abalada: a perda massiva pode abalar a credibilidade do sistema financeiro nacional, mesmo que clientes individuais não tenham sido diretamente afetados.
- Risco sistêmico real: um único provedor idealizou o maior ataque hacker da história brasileira ao SPB.
- Fardo regulatório: o escândalo pressiona autoridades a revisar regras, fortalecer o compliance e responsabilizar prestadores críticos.
Conclusão
O ataque à C&M Software foi uma demonstração cruel de fragilidade estrutural — não técnica, mas de governança. O episódio exige reforma urgente: segurança de credenciais, limites inteligentes, detecção precoce e maior supervisão das PSTIs. O Brasil precisa reforçar seu arquétipo de inovação financeira com blindagem tecnológica. O sistema pode ter resistido — mas o episódio acende sinal vermelho de vulnerabilidade sistêmica.
