Ataque hacker à C&M Software desviou milhões via Pix, dados de clientes não foram expostos
Falha foi restrita às contas reservas no Banco Central; empresa reforça segurança e retoma operações
Na noite de 1º de julho de 2025, um ataque cibernético atingiu a C&M Software — responsável por conectar bancos ao Sistema de Pagamentos Brasileiro. Os criminosos simularam transações com credenciais legítimas e desviaram recursos das contas reservas no BC, totalizando ao menos R$ 400 milhões. A empresa afirmou que dados de correntistas e clientes não foram extraídos.
Incidente e prejuízos
O ataque não visou extrair informações pessoais, mas se concentrou nas contas reservas mantidas pelas instituições financeiras no Banco Central para cumprimento de exigências legais. Segundo a C&M, os sistemas dos correntistas não foram afetados — o foco foi na infraestrutura da empresa, o que confirma a ausência de vazamento de dados sensíveis.
Operações controladas com aval do BC
Na manhã de 3 de julho, o Banco Central autorizou o restabelecimento das operações Pix da C&M no chamado “regime de produção controlada”, com funcionamento limitado a dias úteis, entre 6h30 e 18h30, desde que as instituições participantes concordassem e os parâmetros de monitoramento fossem reforçados.
Medidas de segurança adotadas
A C&M anunciou a implementação de padrões mais rigorosos para acesso externo e APIs, com múltiplos fatores de autenticação, controle por canal e horário, além de auditoria externa independente. A empresa admitiu que permitia certa autonomia às instituições na configuração desses controles, o que pode ter facilitado o golpe.
Risco sistêmico e hipótese de falha
Especialistas apontam que o principal vector do ataque foi o uso de credenciais válidas em momento inoportuno, possivelmente por falhas de configuração ou ausência de autenticação robusta. A autonomia excessiva das instituições sobre seus métodos de segurança também contribuiu para as brechas.
Reações e responsabilização
A C&M terceirizou parte dos prejuízos através do Mecanismo Especial de Devolução (MED), mecanismo instituído pelo BC para ressarcir vítimas de fraudes no Pix — com valores devolvidos acima da média de mercado. A empresa mantém colaboração com a Polícia Federal, Polícia Civil de São Paulo e o Banco Central na apuração do caso.
1 comentário em “Ataque hacker à C&M Software desviou milhões via Pix, dados de clientes não foram expostos”