247 – O prejuízo causado pelo ataque hacker à C&amp;M Software, empresa que atua como intermediária de transações bancárias, pode ultrapassar a marca de R$ 1 bilhão, segundo revelou o delegado divisionário Paulo Eduardo Barbosa, da Delegacia de Crimes Cibernéticos (DCCiber) da Polícia Civil de São Paulo, em <a href="https://valor.globo.com/financas/noticia/2025/07/11/exclusivo-policia-diz-que-prejuizo-com-ataque-hacker-pode-superar-r-1-bilhao-e-que-mais-bancos-foram-afetados-1.ghtml">entrevista exclusiva</a> ao jornal Valor Econômico. O número representa um crescimento expressivo em relação aos R$ 800 milhões inicialmente estimados por fontes do setor.
“Inicialmente foram seis empresas afetadas pelo caso da C&amp;M, mas aos poucos mais instituições estão nos procurando. Tinha o valor de R$ 541 milhões da BMP, agora ontem outro banco nos procurou informando um prejuízo de mais R$ 104 milhões, e outro hoje com R$ 49 milhões. Então, pelas informações que estamos recebendo, com um cálculo preliminar, estimamos que pode passar de R$ 1 bilhão”, afirmou o delegado Barbosa.
De acordo com ele, os números podem ser ainda maiores devido à subnotificação. “Temos historicamente essa subnotificação mesmo, então algumas instituições ainda estão avaliando se vale denunciar”, comentou, lembrando que o receio de danos reputacionais pode levar alguns bancos a não comunicarem oficialmente os prejuízos.
<h3>Cooperação e desafios na investigação</h3>
O delegado informou que o Banco Central tem colaborado com as investigações, repassando informações úteis, mas ainda não designou um técnico dedicado ao caso, que se encontra em fase inicial. “Estamos na fase de calcular o prejuízo e tentar entender para onde o dinheiro foi desviado”, disse Barbosa.
Apesar da complexidade do esquema, a Polícia Civil, em parceria com o Ministério Público, conseguiu bloquear R$ 15 milhões que haviam sido convertidos em criptoativos. “Quando vai para cripto, ainda mais se estiver em uma carteira fria, é mais difícil recuperar. Mas se encontrarmos algo, se tiver sido usado para comprar propriedades, veículos, vamos pedir o bloqueio e o sequestro”, explicou.
<h3>Prisão de ex-funcionário foi decisiva</h3>
Um dos pontos-chave da apuração foi a prisão de João Nazareno Roque, ex-funcionário da C&amp;M, acusado de facilitar o ataque. “O importante foi termos conseguido pegar o fio da meada, prender o funcionário e conseguir acesso às duas máquinas que ele usou, isso nas primeiras 48 horas. Agora estamos no trabalho de extração das informações destes computadores”, revelou o delegado.
A prisão temporária de Roque, inicialmente de cinco dias, foi prorrogada e, posteriormente, convertida em prisão preventiva com aval do Ministério Público e da Justiça. O caso foi transferido para a 1ª Vara de Crimes Tributários, Organização Criminosa e Lavagem de Bens e Valores em São Paulo.
<h3>Estrutura do golpe e implicações</h3>
Segundo Barbosa, o golpe teria explorado vulnerabilidades de segurança na C&amp;M, empresa que atua sob autorização do Banco Central, embora não seja diretamente fiscalizada pela autarquia. “Foi um ataque que explorou a vulnerabilidade do sistema, usando uma empresa que é autorizada pelo BC, apesar de não ser fiscalizada por ele. A polícia não faz ‘manutenção preventiva’, não é nosso papel. A gente só entra depois que o problema acontece”, criticou o delegado.
Ele ainda mencionou que parte das fintechs utilizadas no esquema estariam em nome de “laranjas”, com os verdadeiros operadores residindo fora do Brasil. Ainda não há confirmação sobre ligações internacionais do grupo responsável, mas a DCCiber trabalha com a hipótese de que a maior parte dos envolvidos seja brasileira.
<h3>Próximos passos</h3>
A Polícia Civil espera ter avanços nas investigações já na próxima semana. O principal objetivo, segundo Barbosa, é identificar o grupo criminoso que teria cooptado o ex-funcionário da C&amp;M para viabilizar o ataque. A cooperação entre autoridades e o rápido acesso aos dispositivos usados no crime foram considerados decisivos para o avanço das apurações.
Enquanto isso, o número de vítimas segue crescendo, revelando falhas estruturais de segurança no setor financeiro e a urgência de mecanismos de fiscalização mais eficazes para intermediárias como a C&amp;M Software.

Redação Brasil 247

original

1250x600

610x380

1280x490

300x400

500x240

321x200

square

360x640

320x320

thumbnail

viewImage

Economia

Caso C&M: prejuízo com ataque hacker e fraude no Pix pode superar R$ 1 bilhão

Agência Brasil - O ataque hacker que levou ao desvio de milhões de reais que instituições financeiras mantinham depositados em contas do Banco Central (BC) não envolveu vazamento ou extração de dados de instituições financeiras e de clientes, informou nesta quinta-feira (3) a C&amp;M Software. Segundo a empresa, o ataque simulou transações em nome de bancos, sem o objetivo de invadir os sistemas da companhia, que presta serviços de tecnologia homologados pelo Banco Central (BC).
Na terça-feira (1º) à noite, criminosos usaram o login de instituições financeiras para roubarem dinheiro de contas que as instituições financeiras mantêm no BC para cumprirem exigências legais. O ataque só foi divulgado na quarta-feira (2).
Recursos de correntistas não foram afetados porque o ataque atingiu apenas a estrutura tecnológica da C&amp;M e as contas reservas no BC, que tiveram recursos desviados por Pix para corretoras de criptomoedas. A Empresa Brasil de Comunicação (EBC) confirmou que pelo menos R$ 400 milhões foram desviados.
A companhia esclareceu que o ataque foi executado por meio de uma simulação fraudulenta de integração, usando credenciais legítimas de um cliente para acessar os serviços como se fosse uma instituição financeira autorizada. A C&amp;M anunciou que está revendo a política de acessos externos e de APIs (ponte que permite que dois aplicativos conversem e compartilhem informações ou funcionalidades).
Segundo a empresa, haverá padrões mais elevados de homologação por parte dos clientes que acessam os sistemas da empresa, para diminuir os riscos compartilhados entre a prestadora de serviços tecnológicos e os bancos. A companhia contratou uma auditoria externa independente para avaliar, reforçar e certificar todos os controles de segurança, além de intensificar as revisões internas de governança e arquitetura.
<h3>Hipótese</h3>
A hipótese mais provável para o login de um terceiro que se passou por instituição financeira foi a não ativação de todos os protocolos de segurança. A C&amp;M informou que oferece um protocolo especial de conexão que inclui mais de uma instância de aprovação; controles de acesso por canal e horário; validação por múltiplos fatores; e controle total do piloto de reserva.
Apesar de todas as etapas, a C&amp;M informou que cada instituição financeira tem autonomia para configurar as etapas de controle, eliminando níveis de segurança por decisão operacional própria.
“A CMSW [outra sigla da C&amp;M Software] monitora o funcionamento técnico e os acessos, mas respeita a autonomia e governança de cada cliente sobre suas permissões internas. A responsabilidade pelo uso das credenciais é da instituição que as detém, assim como a utilização de todas as funcionalidades de segurança disponíveis no Corner [sistema de login]”, justificou a companhia.
<h3>Pix</h3>
Nesta manhã, o Banco Central restabeleceu as operações Pix da C&amp;M. O restabelecimento “sob regime de produção controlada” ocorreu pouco após o BC substituir a determinação para que a empresa suspendesse seus serviços integralmente, e em caráter cautelar, por uma suspensão parcial. De acordo com o BC, a decisão foi tomada depois que a C&amp;M comprovou ter adotado medidas para dificultar novos ataques a seus sistemas.
Ainda segundo o BC, as operações da C&amp;M poderão ser restabelecidas em dias úteis, das 6h30 às 18h30, “desde que haja anuência expressa da instituição participante do Pix e o robustecimento do monitoramento de fraudes e limites transacionais”.
<h3>Providências</h3>
A companhia não divulgou uma estimativa de valores devolvidos às instituições financeiras, mas informou que uma parte do dinheiro foi devolvida por meio do Mecanismo Especial de Devolução (MED). Esse mecanismo foi lançado em 2021 para ressarcir vítimas de fraude ou de erro operacional por instituições financeiras.
Segundo a C&amp;M, a taxa de devolução pelo MED foi superior à média do mercado porque a fraude foi identificada rapidamente. A empresa de tecnologia reiterou estar colaborando com a Polícia Federal, o Banco Central e a Polícia Civil de São Paulo.
A companhia esclareceu que não possui conta transnacional e que não movimenta valores próprios, apenas que atua como provedora de tecnologia homologada pelo Banco Central para conectar instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), que inclui o Pix.
A C&amp;M informou que o ataque não afetou os demais sistemas operacionais da companhia, porque as infraestruturas do SBP para cada tipo de operação funcionam em módulo separado, não tendo sido afetadas pelo incidente.

Bianca Penteado

Ataque hacker não envolveu extração de dados de clientes, diz empresa

Brasil

247 – Um ataque cibernético de grandes proporções expôs vulnerabilidades do sistema financeiro brasileiro e já vem sendo considerado, nos bastidores, como o “roubo do século”. O caso, revelado pelo Brazil Journal e detalhado em reportagem assinada por Fábio Matos no portal Metrópoles, teve como alvo a C&amp;M Software, empresa que interliga instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), incluindo o ambiente de liquidação do Pix.
Fundada em 1992, a C&amp;M é uma das principais fornecedoras de serviços de mensageria para bancos e fintechs que não possuem conexão direta com o Banco Central. A companhia confirmou que foi vítima de um ataque hacker e, segundo estimativas iniciais, o valor desviado pode ter chegado à cifra de R$ 1 bilhão. Ainda não há confirmação oficial sobre o montante exato, mas fontes indicam que os criminosos tiveram acesso a múltiplas contas e iniciaram transferências em cadeia por meio do sistema do Pix.
<h3>O que se sabe até agora</h3>
Entre as instituições mais atingidas está a BMP, provedora de soluções de banking as a service (BaaS), em operação desde 1999. Em nota, a empresa afirmou que o ataque afetou exclusivamente os recursos da sua conta de reserva no Banco Central, sem impacto sobre os clientes finais. “A instituição já adotou todas as medidas operacionais e legais cabíveis e conta com colaterais suficientes para cobrir integralmente o valor impactado, sem prejuízo à sua operação ou a seus parceiros comerciais”, declarou a BMP.
O Banco Central também se manifestou. Em nota oficial, informou que a C&amp;M comunicou o incidente e que, como medida de segurança, foi determinado o desligamento do acesso das instituições às infraestruturas operadas pela empresa. A autarquia ressaltou ainda que os sistemas próprios do BC seguem íntegros e não foram invadidos.
Segundo relatos iniciais, os hackers usaram credenciais legítimas de clientes da C&amp;M para acessar os sistemas de mensageria e efetuar transferências não autorizadas. A empresa reconheceu a violação: “A C&amp;M foi vítima direta da ação criminosa, que incluiu o uso indevido de credenciais de clientes para tentar acessar de forma fraudulenta seus sistemas e serviços”. A companhia disse que, por orientação jurídica e respeito ao sigilo das apurações, não comentará os detalhes do caso, mas garantiu que “todos os seus sistemas críticos seguem íntegros e operacionais” e que as medidas de segurança foram executadas conforme protocolo.
<h3>Investigação federal</h3>
A Polícia Federal já iniciou os procedimentos para investigar o ataque, ao lado da Polícia Civil de São Paulo, que inicialmente foi acionada pela própria C&amp;M. Com o envolvimento de múltiplas instituições financeiras e um possível rombo bilionário, a expectativa é de que a apuração ganhe escala nacional, com prioridade entre as ações de combate ao cibercrime.
A complexidade da fraude, que explorou um elo sensível entre instituições privadas e o Banco Central, reacende o debate sobre a segurança cibernética do sistema de pagamentos instantâneos brasileiro. A utilização do Pix como canal de execução das transferências torna a liquidez das operações extremamente veloz, o que pode dificultar a recuperação dos valores desviados.
Mesmo sem a divulgação oficial da lista completa das instituições afetadas, estimativas iniciais sugerem que bancos e fintechs impactados teriam sofrido prejuízos médios acima de R$ 50 milhões. Para analistas do setor financeiro, o incidente representa um alerta severo sobre os riscos da terceirização de infraestrutura crítica e a necessidade de mecanismos de detecção e bloqueio em tempo real, especialmente em um ambiente que opera 24 horas por dia.
Enquanto isso, a C&amp;M segue colaborando com as autoridades, e o caso avança como uma das maiores investigações de crime cibernético da história recente do país. A depender dos desdobramentos, poderá redefinir padrões de segurança no ecossistema financeiro nacional.

Agente da Polícia Federal e servidor da Controladoria-Geral da União

“Roubo do século” já está sendo investigado pela Polícia Federal

247 – Um simples Pix de R$ 18 milhões às quatro da manhã disparou o alarme que expôs o maior roubo já registrado na infraestrutura financeira brasileira. A operação, reconstruída em detalhes pelo Brazil Journal, mostra como hackers exploraram vulnerabilidades da C&amp;M Software — empresa que faz a “mensageria” entre 293 instituições e o Banco Central — para desviar cerca de R$ 800 milhões das chamadas contas-reserva.
Segundo o Brazil Journal, o ataque começou quando um executivo da BMP, plataforma de banking as a service, foi avisado de uma transferência não autorizada. Ao checar o back-office, descobriu que outros Pix indevidos haviam saído de sua conta reserva, somando R$ 400 milhões. “Nossa parte foi de R$ 400 milhões, mas já recuperamos R$ 130 milhões”, disse o fundador da BMP, Carlos Eduardo Benitez. “Nossos clientes estão 100% protegidos. Nenhuma conta de cliente foi afetada e nenhum dado foi vazado.”
<h3>Como o golpe atravessou o Sistema Brasileiro de Pagamentos</h3>
A C&amp;M — classificada pelo BC como Provedora de Serviços de Tecnologia da Informação (PSTI) — oferece APIs que permitem a fintechs se conectarem ao Sistema Brasileiro de Pagamentos (SBP) sem infraestrutura própria. Foi por essa “porta” que os criminosos, munidos de credenciais legítimas, iniciaram uma série de transferências em minutos, respeitando todos os critérios técnicos de segurança exigidos pelo BC.
“O que chegou foi uma ordem lícita, que partiu do participante do sistema, por meio de seu prestador. Era uma ordem que atendia todos os critérios de segurança do BC,” relatou uma fonte próxima à autoridade monetária ao Brazil Journal, comparando o episódio a “uma compra com chip e senha corretos num cartão de crédito”.
Para tentar conter novas fraudes, a própria C&amp;M desabilitou temporariamente o Pix das instituições afetadas e passou a trabalhar com o BC na identificação do ponto exato de falha. “O processo de segurança é dinâmico e contínuo de aprendizado… Há lições a serem extraídas desse episódio”, acrescentou a mesma fonte do Banco Central.
<h3>Conversão imediata em cripto: a rota de fuga</h3>
Depois de sacar os valores, os hackers correram para convertê-los em criptomoedas, sobretudo USDT e Bitcoin, usando provedores integrados ao Pix, mesas OTC e exchanges. Rocelo Lopes, CEO da SmartPay e criador da carteira Truther, percebeu atividade atípica às 0h18 de 30 de junho:
“Congelamos grandes somas e devolvemos às instituições envolvidas. Se o sistema tivesse mecanismos para analisar transações atípicas, esse problema não teria ocorrido… Nessa era de IA, você não ter uma AI que possa analisar isso é complicado.”
Apesar das retenções pontuais, parte do dinheiro continua circulando em blockchains, dificultando o rastreamento definitivo.
<h3>Risco sistêmico e credibilidade em xeque</h3>
A invasão expõe uma fragilidade estrutural justamente no elo onde a digitalização financeira avança mais rápido: as mensagerias que conectam bancos digitais, fintechs e cooperativas ao núcleo do BC. Ao contrário dos grandes bancos, que têm links diretos, as instituições menores dependem de PSTIs terceirizadas.
Para especialistas, a combinação de contas-reserva (onde se misturam fundos próprios e de clientes), liquidação instantânea via Pix e diversificação de agentes tecnológicos criou o ambiente perfeito para um ataque coordenado em larga escala. Se o montante não for recuperado, a BMP pode sofrer perda líquida próxima de R$ 300 milhões — metade de sua liquidez pré-incidente — e outras sete instituições também reportam prejuízos relevantes.
O Banco Central e a Polícia Federal seguem examinando logs e rastros em blockchain para medir o dano real e propor novos protocolos de detecção de anomalias em tempo real. Enquanto isso, o caso já é tratado como “o ataque cibernético mais sofisticado e caro da história do País”, deixando em aberto uma pergunta crucial: até que ponto as engrenagens digitais do sistema financeiro estão preparadas para golpes cada vez mais tecnológicos e velozes?

Ataque cibernético mais sofisticado da história do País coloca em xeque a credibilidade do sistema financeiro

247 – Um ataque hacker sem precedentes atingiu a C&amp;M Software, empresa autorizada e supervisionada pelo Banco Central do Brasil, resultando no roubo de cerca de R$ 1 bilhão do sistema financeiro nacional. As informações foram reveladas originalmente pelo site Brazil Journal e posteriormente detalhadas em reportagem do Cointelegraph Brasil.
A C&amp;M é responsável por operar soluções de mensageria que integram instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), incluindo TEDs, Pix, DDA e demais arranjos eletrônicos. O ataque ocorreu por meio do uso indevido de credenciais de clientes, permitindo o acesso não autorizado aos serviços da empresa. “A empresa é vítima direta da ação criminosa, que incluiu o uso indevido de credenciais de clientes para tentar acessar de forma fraudulenta seus sistemas e serviços”, afirmou a C&amp;M em nota enviada ao Valor Econômico. A empresa informou ainda que seus sistemas críticos seguem íntegros e operacionais e que está colaborando com as autoridades competentes, incluindo o Banco Central e a Polícia Civil de São Paulo.
Segundo o Banco Central do Brasil, o ataque se deu na infraestrutura da C&amp;M, e como medida de contenção, determinou o desligamento do acesso das instituições às infraestruturas operadas pela empresa. Em nota, a autarquia declarou que “as contas de reserva não foram acessadas”, embora parte significativa dos recursos tenha sido desviada por meio de instituições que utilizavam os serviços da C&amp;M.
<h3>Tentativa de conversão em criptomoedas</h3>
Logo após o roubo, os hackers iniciaram a transferência dos recursos para plataformas de criptomoedas integradas ao Pix, incluindo exchanges, gateways e mesas OTC. A movimentação tinha como objetivo a conversão dos valores em USDT e Bitcoin, duas das criptos mais utilizadas para movimentações transnacionais.
De acordo com o Cointelegraph Brasil, parte das transações foi detectada e bloqueada por operadores do setor. Rocelo Lopes, CEO da SmartPay e criador da carteira Truther, relatou ter identificado um comportamento anômalo às 00h18 do dia 30 de junho e, prontamente, elevou os filtros de segurança para conter possíveis fraudes. “Foram retidas grandes somas de dinheiro e, na mesma hora, foi feito o processo de devolução para as instituições envolvidas”, declarou Lopes. Ele afirmou ainda estar à disposição das autoridades para colaborar com as investigações.Apesar dos bloqueios pontuais, há indícios de que parte do montante foi efetivamente convertida em criptoativos. “Basta acompanhar os endereços e verificar o volume das empresas na tarde de ontem para saber para onde parte dos valores foi desviado”, disse uma fonte ao Cointelegraph, sem revelar os nomes das empresas envolvidas.
Segundo apurou o veículo, várias mesas de OTC se recusaram a processar transações associadas ao ataque e impediram o cadastro dos hackers em suas plataformas. Mesmo assim, o volume movimentado indica uma articulação complexa, provavelmente envolvendo diversos intermediários e contas simuladas.
<h3>Instituições afetadas e repercussão</h3>
O Brazil Journal informou que o ataque teria atingido seis instituições financeiras, incluindo BMP e Credsystem. Já a BMP confirmou que os recursos desviados estavam em sua conta de reserva no Banco Central e destacou que “nenhum cliente da BMP foi impactado ou teve seus recursos acessados”. A instituição também afirmou possuir colaterais suficientes para cobrir integralmente o valor impactado, mantendo sua operação normal e segura.
Fontes ligadas à Polícia Federal já consideram o episódio como o maior ataque hacker da história do sistema financeiro brasileiro. A PF e o Banco Central continuam investigando o caso para rastrear o destino final dos recursos e identificar os responsáveis.
O episódio evidencia fragilidades em serviços terceirizados críticos para o funcionamento do sistema financeiro nacional. Embora a C&amp;M Software não administre diretamente contas bancárias, seu papel na intermediação de mensagens financeiras a torna um elo vital entre o Banco Central e centenas de instituições financeiras que operam no Brasil.
O caso segue em investigação, com a expectativa de novas revelações nos próximos dias sobre a abrangência do ataque e as medidas de segurança que deverão ser adotadas para evitar novos incidentes de mesma natureza.

Entenda ataque hacker que atingiu empresa que integra bancos ao Pix e desviou R$ 1 bilhão do sistema financeiro

247 - O ataque hacker contra o sistema da empresa de software C&amp;M nessa terça-feira (1) pode ser o maior da história do sistema financeiro brasileiro. O prejuízo da instituição pode chegar a R$ 3 bilhões, de acordo com informações divulgadas nesta quarta-feira (2) pela <a href="https://economia.uol.com.br/colunas/mariana-barbosa/2025/07/02/ataque-hacker-a-cm-prejuizo-pode-ser-ainda-maior.htm">coluna de Mariana Barbosa</a>.
Empresa de software para o setor bancário registrada no Banco Central, a C&amp;M faz a comunicação entre instituições financeiras e o Sistema de Pagamentos Brasileiro (SPB). O principal cliente afetado foi a BMP, que fornece contas digitais e outros serviços financeiros para empresas ou instituições não bancárias oferecerem esses serviços ao cliente. 
A BMP disse que o ataque gerou dano à infraestrutura da C&amp;M, permitindo o acesso indevido à sua conta reserva e de mais outras cinco instituições financeiras. A empresa afirmou que nenhum cliente da BMP sofreu consequências ou teve seus recursos afetados. 
"As contas reserva são mantidas diretamente no Banco Central e utilizadas exclusivamente para liquidação interbancária — sem qualquer relação com as contas de clientes finais ou com os saldos mantidos dentro da BMP".

Tudo sobre c-m

Caso C&M: prejuízo com ataque hacker e fraude no Pix pode superar R$ 1 bilhão

Ataque hacker não envolveu extração de dados de clientes, diz empresa

“Roubo do século” já está sendo investigado pela Polícia Federal

Ataque cibernético mais sofisticado da história do País coloca em xeque a credibilidade do sistema financeiro

Entenda ataque hacker que atingiu empresa que integra bancos ao Pix e desviou R$ 1 bilhão do sistema financeiro

Prejuízo da C&M, empresa de software, pode chegar a R$ 3 bilhões após ataque hacker

Cortes da TV 247