Ataque Hacker ao Ecossistema do Pix: O Que o Caso da C&M Revela Sobre Riscos Sistêmicos e Governança no Setor Financeiro

O Brasil assistiu, em julho de 2025, a um dos maiores ataques cibernéticos da história do sistema financeiro nacional. Em poucas horas, hackers conseguiram desviar cerca de R$ 800 milhões de contas mantidas no Banco Central, explorando vulnerabilidades na conexão entre instituições financeiras e o sistema de pagamentos instantâneos Pix. Mais do que um episódio isolado, o caso escancarou fragilidades estruturais e reacendeu o debate sobre gestão de riscos, governança e o papel da tecnologia no setor financeiro.

Neste artigo, analisamos o incidente em profundidade e refletimos sobre os aprendizados que ele oferece para bancos, fintechs, instituições de pagamento e gestores de compliance.

O Que Aconteceu: Entendendo o Caso C&M Software

A C&M Software, uma empresa que presta serviços de tecnologia a instituições financeiras, foi invadida por hackers. Seu papel dentro do ecossistema do Pix é técnico, mas fundamental: ela atua como ponte de conexão entre pequenas e médias instituições e o Banco Central, permitindo que essas organizações realizem transferências, inclusive via Pix.

O ataque aconteceu na madrugada do dia 30 de junho. Utilizando credenciais legítimas — supostamente obtidas por meio de engenharia social ou exploração de vulnerabilidades — os criminosos acessaram as contas de liquidação de pelo menos seis instituições financeiras e executaram transferências fraudulentas via Pix diretamente das contas que essas empresas mantêm no Banco Central.

O alvo não foram os sistemas do BC ou as contas de clientes finais, mas sim as contas de reserva das instituições participantes, usadas para liquidar operações financeiras.

Prejuízo estimado: Mais de R$ 800 milhões, com a possibilidade de o montante superar R$ 1 bilhão, segundo fontes do mercado. Parte dos valores foi recuperada, graças à atuação rápida de corretoras de criptomoedas que identificaram movimentações suspeitas e bloquearam recursos antes que fossem convertidos e lavados.

O Elo Mais Fraco da Cadeia: O Desafio da Governança de Terceiros

Embora o sistema central do Pix tenha se mantido seguro, o ataque expôs uma fragilidade conhecida, mas frequentemente negligenciada: a segurança de terceiros críticos.

Bancos tradicionais com infraestrutura robusta conectam-se diretamente ao Banco Central. Já fintechs e instituições menores, por questões de custo e tecnologia, recorrem a empresas como a C&M para viabilizar sua participação no sistema financeiro. Isso cria uma dependência estrutural e transfere o risco de segurança para prestadores externos.

O episódio evidencia a necessidade de revisar:

✔ Protocolos de segurança exigidos de provedores de tecnologia (PSTIs);
✔ Controles de acesso e autenticação no relacionamento entre instituições e seus intermediários;
✔ Monitoramento contínuo de transações atípicas, especialmente fora do horário comercial;
✔ Planos de contingência para interrupções e incidentes de segurança cibernética.

Opinião dos especialistas MAF: “Esse Caso É Um Sinal de Alerta Para o Setor”

Para os especialistas da MAF, o episódio da C&M deve ser interpretado como muito mais do que uma falha pontual:

“Estamos falando de um caso emblemático que revela um ponto cego recorrente no setor financeiro: a ilusão de que, ao terceirizar tecnologia, se transfere também a responsabilidade pela segurança. Não se transfere. A governança de terceiros precisa estar no centro das discussões de risco, e isso inclui auditorias independentes, requisitos de segurança mínimos e planos de resposta bem estruturados.“

Destacam que o incidente revela a importância de as instituições mapearem seus ecossistemas de tecnologia e exigirem de parceiros o mesmo padrão de segurança que adotariam internamente.

“Outro aspecto crítico é o monitoramento em tempo real. Vemos que os hackers atuaram em horários de menor vigilância, madrugada, o que sugere a ausência de filtros ou barreiras adequadas para volumes fora do padrão. Segurança cibernética não pode dormir.“

Impactos e Tendências: O Que Vem Pela Frente

O ataque à C&M certamente trará consequências regulatórias e operacionais para o mercado:

Reforço nas exigências de segurança para provedores de tecnologia e instituições financeiras, incluindo protocolos de autenticação mais robustos e monitoramento automatizado de transações;
Aumento do escrutínio sobre o uso de criptoativos, especialmente como meio de escoamento e lavagem de dinheiro em fraudes digitais;
Maior atenção à cultura de segurança, incluindo a participação da alta liderança no debate sobre risco cibernético e a priorização de investimentos em prevenção;
Possível reconfiguração do mercado de PSTIs, com bancos e fintechs reconsiderando o grau de dependência de terceiros para acessar o sistema financeiro.

Lições Para o Setor e Para a Alta Gestão

Este episódio deixa um recado claro: a cadeia de segurança do sistema financeiro é tão forte quanto seu elo mais fraco. Em um ambiente cada vez mais digital e integrado, a gestão de riscos precisa ser expandida além dos muros da organização, contemplando parceiros, fornecedores e toda a infraestrutura que suporta as operações.

Para a alta gestão, fica o alerta: segurança cibernética não é uma pauta técnica ou isolada. É uma questão estratégica, com impacto direto na reputação, na continuidade do negócio e na confiança dos clientes.

Como enfatizam os especialistas:

“O Pix trouxe inovação e eficiência sem precedentes, mas também impôs um novo nível de responsabilidade. Se queremos colher os benefícios dessa transformação, precisamos investir, de forma proporcional, em segurança, governança e maturidade nos processos.“

Conclusão: Não É Só Um Caso de Hacker, É Um Caso de Governança

O ataque à C&M não expôs apenas vulnerabilidades técnicas, mas fragilidades de governança que exigem atenção urgente. Para além do debate técnico, é essencial que conselhos de administração, comitês de risco e lideranças do setor financeiro internalizem o aprendizado desse caso e adotem medidas concretas para fortalecer o ecossistema.

O sistema financeiro brasileiro é robusto, mas precisa estar em constante evolução para se proteger de ameaças cada vez mais sofisticadas.

Gostou do conteúdo? A MAF Consultoria apoia empresas do setor financeiro no fortalecimento de suas práticas de governança, riscos e compliance. Fale conosco e descubra como podemos ajudar sua organização a se proteger e evoluir com segurança.