O maior ataque hacker do Brasil já desviou R$ 800 milhões — e o Pix pode nunca mais ser o mesmo

• Criminosos desviaram ao menos R$ 800 milhões usando credenciais reais de acesso à C&M Software, prestadora do sistema Pix.
• O Banco Central desligou temporariamente seis instituições financeiras do sistema de pagamentos.
• O técnico de TI confessou o envolvimento e afirmou que alguém o aliciou para repassar os logins; as autoridades continuam as investigações.

O Banco Central suspendeu a operação de seis instituições financeiras após um golpe bilionário atingir o sistema Pix. O ataque envolveu o uso de credenciais verdadeiras para desviar valores que, segundo apurações, chegam a R$ 800 milhões. Assim, a fraude começou com a empresa de tecnologia C&M Software, que faz a ponte entre bancos e o Sistema de Pagamentos Brasileiro (SPB).

Nesse sentido, o escândalo causou forte reação do BC, que tenta conter os danos. Além disso, a Polícia Civil já prendeu um suspeito envolvido no vazamento dos dados. As investigações seguem com apoio da Polícia Federal.

Técnica de engenharia social driblou sistemas

Ao contrário do que se imagina em ataques desse porte, os criminosos não invadiram diretamente os sistemas da C&M. Em vez disso, usaram logins legítimos obtidos com engenharia social, uma forma de manipular pessoas para que compartilhem suas informações. A estratégia evitou alertas automáticos e dificultou a identificação imediata da fraude.

Ademais, com acesso válido, os criminosos realizaram transações via Pix e converteram os valores em criptomoedas, o que dificultou o rastreamento. A C&M revelou que os golpistas simularam a atuação de clientes verdadeiros para fazer as transferências.

Desse modo, esse cenário levanta uma preocupação séria: mesmo sistemas considerados seguros podem falhar quando há fragilidade humana nos processos internos.

Funcionário repassou credenciais e foi preso

A Polícia Civil identificou João Nazareno Roque, técnico terceirizado da C&M, como peça-chave no esquema. Ele teria cedido seu acesso aos criminosos, permitindo que eles atuassem diretamente nos sistemas da empresa. Policiais prenderam o suspeito em sua casa, em São Paulo, e ele confessou que terceiros o aliciaram.

Além disso, de acordo com a investigação, João não apenas entregou seu login, como também auxiliou na execução das transferências. Ele sabia que o golpe envolveria valores altíssimos, mas mesmo assim colaborou.

A prisão foi realizada pela Divisão de Crimes Cibernéticos (DCCiber) com base em informações repassadas pela própria empresa. Portanto, as autoridades acreditam que mais pessoas estejam envolvidas no esquema.

BC age rápido e suspende operações no Pix

Com a confirmação da fraude, o Banco Central agiu imediatamente. Seis instituições financeiras tiveram suas operações suspensas. As novas suspensões incluem a Voluti, a Brasil Cash e a S3 Bank. Já haviam sido bloqueadas anteriormente a Transfeera, a Soffy e a Nuoro Pay.

Sendo assim, essas empresas estão sendo investigadas para apurar se agiram com dolo ou foram apenas meios utilizados pelos criminosos. A suspensão tem validade inicial de até 60 dias e está prevista na Resolução nº 30 do próprio BC.

Para evitar pânico, o Banco Central afirmou que o Pix segue funcionando normalmente para clientes de instituições que não foram afetadas. Em suma, o objetivo da medida é preservar a integridade do sistema como um todo.

Prejuízo pode passar de R$ 1 bilhão

Embora o valor divulgado inicialmente seja de R$ 800 milhões, fontes do mercado já apontam que o rombo pode chegar a R$ 1 bilhão. A Justiça autorizou o bloqueio de R$ 270 milhões em contas usadas para o desvio. A expectativa é que novos bloqueios ocorram nos próximos dias.

Ademais, a C&M informou que contratou uma auditoria externa para revisar seus protocolos de segurança. Além disso, está colaborando com as autoridades e reforçando os controles internos para impedir novos episódios.

Por fim, esse caso não apenas provocou um abalo na confiança do sistema financeiro digital, como também reacendeu debates sobre a fragilidade de sistemas dependentes de pessoas mal treinadas ou mal intencionadas.