noticias

Venda de Senhas e Ordens Falsas: Como um Funcionário Abriu a Porta para o Maior Ataque Hacker do Brasil

A Traição que Custou Milhões

No dia 1º de julho de 2025, o sistema financeiro brasileiro foi abalado por um ataque cibernético sem precedentes. A C&M Software, empresa que atua como ponte entre bancos menores e o Sistema de Pagamentos Brasileiro (SPB), incluindo o PIX, foi alvo de hackers que desviaram pelo menos R$ 800 milhões de contas reservas, segundo estimativas da TV Globo. O pivô da história? João Nazareno Roque, um desenvolvedor júnior de 48 anos que trabalhava há três anos na empresa. Preso pela Polícia Civil de São Paulo na quinta-feira, 3 de julho, Roque confessou ter vendido sua senha de acesso por R$ 5 mil e, posteriormente, executado comandos maliciosos por mais R$ 10 mil, abrindo as portas para o golpe.

O prejuízo foi colossal. Só a BMP, uma das instituições afetadas, perdeu R$ 541 milhões de sua conta reserva mantida no Banco Central. Ao menos outras cinco instituições financeiras foram impactadas, embora seus nomes não tenham sido divulgados. E o mais chocante? Tudo começou com uma abordagem em um bar, onde Roque foi cooptado por técnicas de engenharia social – um lembrete de que, na era da tecnologia, o elo mais fraco ainda é o humano.

Como Tudo Aconteceu: A Cronologia do Golpe

Segundo o depoimento de Roque à Polícia Civil, a trama começou em março de 2025, quando ele foi abordado por um homem que já sabia de seu papel na C&M Software. Uma semana depois, veio a oferta: R$ 5 mil pela senha de acesso ao sistema. Quinze dias mais tarde, o mesmo criminoso ofereceu R$ 10 mil para que Roque executasse comandos específicos na plataforma. Esses comandos, realizados em maio, permitiram que os hackers emitissem ordens falsas de transferência via PIX, se passando pela BMP.

“Eles se passavam pela empresa vítima, dizendo: ‘Olha, estou determinando uma transferência PIX para outras empresas’”, explicou o delegado Renato Topan, da Divisão de Crimes Cibernéticos (DCCIBER). As transações, realizadas em menos de duas horas na madrugada de 30 de junho, foram tão rápidas que passaram despercebidas até que o volume atípico de movimentações acendesse o alerta. Parte do dinheiro foi convertida em Bitcoin e USDT (Tether), criptomoedas usadas para dificultar o rastreamento, segundo a fintech SmartPay, que bloqueou algumas operações após detectar atividades suspeitas.

A Polícia Civil já bloqueou R$ 270 milhões em uma conta usada para receber os valores desviados, mas o valor total do golpe pode chegar a R$ 1 bilhão, segundo especialistas. Roque afirmou ter se comunicado com quatro criminosos por aplicativos de mensagens, mas só viu o rosto do primeiro, que o abordou pessoalmente. “Eram vozes de jovens”, disse ele, sem identificar os demais envolvidos. A investigação segue para rastrear o restante da quadrilha e recuperar o dinheiro.

Engenharia Social: O Calcanhar de Aquiles do Sistema

A C&M Software foi categórica ao afirmar que o ataque não explorou falhas em sua tecnologia, mas sim o compartilhamento indevido de credenciais. “As evidências apontam que o incidente decorreu do uso de técnicas de engenharia social, e não de falhas nos sistemas da empresa”, declarou a companhia em nota. Traduzindo: os hackers não precisaram invadir servidores ou quebrar criptografias sofisticadas – bastou convencer um funcionário a entregar a chave do cofre.

Esse tipo de ataque, conhecido como spear-phishing, envolve mensagens ou abordagens personalizadas para enganar vítimas. No caso de Roque, a abordagem foi presencial, mas especialistas como Hiago Kin, presidente do Instituto Brasileiro de Resposta a Incidentes Cibernéticos, alertam que esse método pode incluir e-mails ou mensagens falsas que parecem legítimas. O resultado? Acesso administrativo a sistemas sensíveis, como as contas reservas usadas por bancos para liquidar transações no PIX. Essas contas, mantidas no Banco Central, não são acessíveis a clientes comuns, o que explica por que pessoas físicas não foram diretamente afetadas.

O ataque é classificado como um supply chain attack (ataque à cadeia de suprimentos), onde criminosos exploram a confiança entre empresas e seus parceiros para se infiltrar no sistema financeiro. A C&M, que conecta 23 instituições financeiras ao SPB, é um elo crítico nessa cadeia. Sua importância é tamanha que, em 2020, ela atuou como consultora na criação do PIX e, mais tarde, colaborou com o FedNow, o “PIX americano”.

As Pistas que Levaram à Descoberta

O golpe só veio à tona por causa de pistas sutis. Segundo a SmartPay, os criminosos usaram contas de clientes antigos, já sinalizadas como suspeitas, para comprar criptomoedas. Além disso, houve uma mudança incomum: esses clientes, que normalmente negociavam USDT, passaram a comprar Bitcoin, levantando um “sinal amarelo”. O horário das transações – entre 4h30 e 7h da manhã de 30 de junho – também chamou a atenção, assim como o volume massivo de transferências em um curto espaço de tempo.

A BMP, uma das vítimas, só percebeu o problema quando um banco parceiro questionou uma transferência de R$ 18 milhões feita às 4h da manhã. A partir daí, o Banco Central agiu rápido, suspendendo o acesso da C&M ao SPB e interrompendo temporariamente as operações PIX de 23 instituições financeiras. Na quinta-feira, 3 de julho, a suspensão foi ajustada para permitir transferências em dias úteis entre 6h30 e 18h30, enquanto a C&M reforçava seus protocolos de segurança.

O Impacto: Um Alerta para o Sistema Financeiro

O ataque à C&M Software não comprometeu diretamente o PIX ou os sistemas do Banco Central, que continuaram intactos. Ainda assim, o incidente expôs uma verdade incômoda: a dependência de empresas terceirizadas como a C&M cria pontos vulneráveis no ecossistema financeiro. Kleber Carriello, engenheiro da Netscout Brasil, chamou o ataque de “um ponto de inflexão” para o setor, exigindo uma revisão urgente nas políticas de segurança e gestão de terceiros.

A C&M, por sua vez, informou que adotou “todas as medidas técnicas e legais cabíveis” e contratou auditorias independentes para reforçar seus sistemas. O diretor comercial, Kamal Zogheib, garantiu que os sistemas críticos da empresa permanecem operacionais, e a companhia colabora com a Polícia Civil e a Polícia Federal nas investigações. Mesmo assim, o mercado financeiro sentiu o golpe: bancos e fintechs agora correm para blindar suas infraestruturas, e o Banco Central estuda novas exigências de compliance e segurança cibernética.

E Se o Próximo Ataque For Ainda Pior?

Esse caso levanta uma questão perturbadora: se um funcionário pode ser comprado por R$ 15 mil, o que impede ataques ainda mais sofisticados? A conversão de parte do dinheiro em criptomoedas, como Bitcoin e USDT, mostra como os criminosos estão usando tecnologias modernas para lavar dinheiro, dificultando o rastreamento. Especialistas como Micaella Ribeiro, da IAM Brasil, apontam que o ataque envolveu “múltiplos agentes” em um “ecossistema criminoso estruturado”, sugerindo uma operação bem planejada.

O incidente também joga luz sobre a fragilidade da gestão de acessos. Empresas como a C&M precisam garantir que credenciais sensíveis sejam protegidas por autenticação multifator, monitoramento em tempo real e treinamentos contra engenharia social. Caso contrário, o PIX – que revolucionou os pagamentos no Brasil – pode se tornar uma porta aberta para cibercriminosos. E, enquanto o Banco Central insiste que o sistema é seguro, o ataque à C&M é um lembrete de que nenhuma tecnologia é à prova de falhas humanas.

Conclusão: O PIX É Seguro? Depende de Quem Segura a Senha

O ataque à C&M Software é um marco na história da cibersegurança brasileira. Com um prejuízo estimado entre R$ 800 milhões e R$ 1 bilhão, ele expôs as vulnerabilidades de um sistema financeiro que depende de terceiros para funcionar. João Nazareno Roque, o desenvolvedor que trocou sua senha por R$ 15 mil, é apenas a ponta do iceberg – atrás dele, há uma rede de criminosos que ainda está sendo investigada. Enquanto isso, o Banco Central, bancos e fintechs correm contra o tempo para reforçar suas defesas.

E você, leitor, o que acha? O PIX é realmente tão seguro quanto dizem, ou estamos a uma senha vendida de outro rombo bilionário? Deixe seu comentário e bora discutir como proteger o sistema que mudou a forma como o Brasil lida com dinheiro.

Dúvida? Então veja mais em: https://pixbugtech.com/linksuteis