O Maior Ataque Cibernético da História do Sistema Financeiro Brasileiro: O Caso C&M Software e o Impacto no Banco Central

Na primeira semana de julho de 2025, o Brasil foi surpreendido por um dos maiores ataques cibernéticos já registrados na história das instituições financeiras do País. A empresa C&M Software, responsável por intermediar a comunicação entre instituições financeiras e o Banco Central do Brasil (BC), foi alvo de uma ação criminosa sofisticada que resultou no desvio de quase R$ 1 bilhão de contas de reserva, de diversas instituições financeiras.

Antes de mais nada quem é a C&M Software? A C&M Software é uma empresa brasileira de tecnologia da informação, fundada em 1999. Ela atua como prestadora de serviços de conectividade entre instituições financeiras de pequeno e médio porte, e o Sistema de Pagamentos Brasileiro (SPB), incluindo o Pix. Com sede em Barueri (SP), a empresa é homologada pelo Banco Central e atende mais de 20 instituições, como bancos, cooperativas e fintechs.

Agora voltando para o ocorrido. O ataque foi identificado no dia 1º de julho de 2025. Criminosos utilizaram credenciais indevidas de clientes para acessar os sistemas da C&M. A ação permitiu o acesso às contas de reserva de pelo menos oito instituições financeiras, que são contas mantidas diretamente no Banco Central para liquidação de operações interbancárias. Segundo especialistas, o ataque foi altamente sofisticado e explorou brechas de segurança nos sistemas da C&M, além de possíveis falhas nos controles internos das instituições afetadas. A suspeita é de que os criminosos tenham utilizado engenharia social e credenciais comprometidas para burlar os sistemas de autenticação. O que apareceu de especialista para este caso foi realmente incrível. Seguimos...

O valor desviado inicialmente foi estimado em R$ 800 milhões, mas investigações apontam que o montante pode ter ultrapassado R$ 1 bilhão (até o momento que escrevi este artigo), tornando-se o maior ataque cibernético já registrado no âmbito do Banco Central. Entre os bancos impactados estão o Banco Paulista, a BMP, a Credsystem e outras instituições de menor porte. O ataque comprometeu temporariamente o acesso dessas instituições ao sistema Pix, afetando a liquidez e a operação de pagamentos instantâneos. O Banco Central, ao ser notificado, desligou imediatamente as conexões da C&M com o sistema Pix, como medida de contenção. Isso causou a interrupção temporária do Pix para os clientes das instituições conectadas via C&M. Além disso, o BC exigiu auditorias independentes, reforço nos controles internos e a implementação de novos mecanismos de segurança. Após essas medidas, o BC autorizou a retomada parcial das operações da empresa, sob regime de produção controlada.

A Polícia Federal instaurou inquérito para investigar o ataque. Há indícios de que parte dos valores desviados foi convertida em criptomoedas, dificultando o rastreamento. A C&M colabora com as investigações e afirma que seus sistemas críticos permanecem íntegros. Apesar da gravidade do ataque, nenhum cliente final foi diretamente afetado. As instituições garantiram que os recursos desviados estavam nas contas de reserva e que possuem reservas suficientes para cobrir os prejuízos.

O episódio acendeu um alerta vermelho no setor financeiro. Instituições estão revisando seus protocolos de segurança, ampliando investimentos em segurança, autenticação multifator e monitoramento de fraudes. Tenso !!!!

O ataque à C&M Software representa um marco na história da segurança cibernética brasileira. Ele expôs vulnerabilidades críticas em um elo essencial da infraestrutura financeira e reforçou a necessidade de resiliência digital, em todos os níveis do sistema bancário. Embora o sistema Pix em si não tenha sido comprometido, o incidente mostra que a cadeia de confiança é tão forte quanto seu elo mais fraco. Mas o mais importante foi que a resposta rápida do Banco Central e a colaboração entre instituições, foram fundamentais para conter os danos e restaurar a operação.

Seguimos....

Artigo publicado no linkedin no LINK