Invasão à C&M Software prestadora de serviço do Banco Central permitiu movimentação de recursos de instituições financeiras ligadas ao banco; parte do dinheiro foi convertida em criptomoedas.
Um ataque hacker de grandes proporções ocorrido entre os dias 20 e 21 de junho de 2025 resultou no desvio de centenas de milhões de reais de contas de liquidação no Banco Central. A ofensiva criminosa foi possível a partir de uma invasão à infraestrutura da empresa C&M Software, que atua como intermediária tecnológica entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB).
Fontes do mercado estimam que o prejuízo possa chegar a R$ 1 bilhão, embora o Banco Central (BC) ainda não tenha divulgado o valor oficial. As investigações iniciais indicam que os criminosos utilizaram credenciais comprometidas para enviar ordens fraudulentas de movimentação de valores das chamadas “contas reservas” — usadas pelos bancos para liquidações no sistema do BC.
Como o ataque aconteceu
De acordo com a apuração da imprensa e fontes ligadas ao sistema financeiro, os hackers exploraram falhas na segurança da C&M Software, comprometendo servidores e enviando comandos maliciosos ao ambiente do SPB. A partir disso, conseguiram movimentar valores de instituições como BMP Money Plus, Banco Paulista e Credsystem, entre outras.
Parte significativa do dinheiro foi convertida rapidamente em USDT e Bitcoin, por meio de corretoras e intermediários com integração ao Pix, dificultando o rastreio e recuperação dos ativos.
A fintech SmartPay, uma das plataformas de câmbio que notou movimentações incomuns, chegou a bloquear algumas transações e conseguiu reverter valores para as instituições afetadas. Ainda assim, a maior parte do montante já havia sido movimentada e dispersada em carteiras digitais não identificadas.
Reações e consequências
O Banco Central confirmou o ataque na última segunda-feira (1º/07) e determinou imediatamente o desligamento das conexões entre as instituições financeiras e a C&M Software, como medida de contenção e segurança. O acesso só foi parcialmente reestabelecido, em horários restritos e sob monitoramento rigoroso.
Em nota, a C&M informou que está colaborando com as investigações da Polícia Federal e da Polícia Civil de São Paulo, além de ter reforçado seus controles internos, auditoria de sistemas e políticas antifraude. A empresa também afirmou que o incidente foi isolado e que nenhum dado de clientes finais foi comprometido.
Instituições financeiras impactadas
Entre as entidades prejudicadas, o BMP divulgou que possui garantias e reservas suficientes para cobrir o prejuízo sem afetar a operação nem seus correntistas. O Banco Paulista também foi citado como uma das instituições cujos sistemas Pix foram desativados preventivamente, embora tenha informado que não sofreu perdas diretas. A Credsystem ainda não se pronunciou oficialmente, mas é citada por veículos como uma das instituições impactadas pela movimentação fraudulenta.
Investigação em andamento
A Polícia Federal abriu um inquérito para investigar o caso, que será tratado como crime de alta complexidade e potencial ameaça à integridade do sistema financeiro. Também serão analisadas possíveis falhas de supervisão e segurança por parte da C&M, empresa com papel sensível na infraestrutura de pagamentos do país.
Especialistas do setor financeiro alertam que o episódio pode levar a mudanças regulatórias no modelo de prestação de serviços financeiros e Banking as a Service (BaaS), especialmente no que se refere à segurança cibernética e credenciamento de integradores ao ecossistema do BC.
O ataque à C&M Software expôs uma brecha crítica no elo entre tecnologia e regulação no setor financeiro brasileiro. Apesar de as perdas não afetarem diretamente os clientes finais, o episódio serve de alerta para a necessidade de reforço imediato em mecanismos de segurança digital e supervisão de empresas terceirizadas com acesso ao sistema financeiro nacional.
As investigações seguem em curso, e novas medidas do Banco Central e das autoridades policiais devem ser anunciadas nos próximos dias.
