MAIOR ATAQUE HACKER DO PAÍS ENVOLVEU 29 INSTITUIÇÕES E R$ 541 MILHÕES DESVIADOS

Ataque hacker via Pix chega a R$ 541 milhões e envolve 29 empresas

A Polícia Civil de São Paulo apura o envolvimento de 29 empresas que receberam transferências milionárias por meio do Pix durante um ataque hacker considerado o maior já registrado contra instituições financeiras no país.

Segundo os investigadores, os nomes dessas empresas constam em um relatório enviado pela BMP, instituição de pagamento diretamente prejudicada pela ação criminosa. O documento está sendo analisado para esclarecer se essas companhias atuaram como laranjas — emprestando contas para encobrir os verdadeiros beneficiários —, se participaram ativamente da fraude ou se apenas tiveram suas contas usadas sem conhecimento prévio do golpe.

As apurações indicam que o ataque teve início por meio da empresa de tecnologia C&M Software, que presta serviços de intermediação de operações Pix entre bancos e o Banco Central. Segundo a investigação, criminosos conseguiram acessar os sistemas da C&M e realizaram, de forma automatizada, 166 transferências bancárias durante a madrugada. O valor total desviado é estimado em R$ 541 milhões.

Fontes ligadas à investigação informaram que cerca de R$ 270 milhões já foram bloqueados judicialmente em contas consideradas suspeitas — o que representa aproximadamente metade do montante transferido. O trabalho policial agora se concentra em identificar os destinatários finais do dinheiro e tentar recuperar os recursos restantes.

Alusão ao sistema Pix, com usuário simulando transferência. Foto: Reprodução

Na última quinta-feira, a Polícia prendeu João Nazareno Roque, de 48 anos, operador de tecnologia da C&M Software. Em depoimento, ele confessou ter fornecido seu login e senha de acesso aos sistemas da empresa em troca de R$ 15 mil. O contato com os criminosos, segundo ele, teria ocorrido em março, na saída de um bar, quando foi abordado por um homem interessado em conhecer os sistemas internos da companhia.

Durante o cumprimento de mandado de busca, os policiais apreenderam na residência de Roque diversos equipamentos eletrônicos, como notebooks e dispositivos de armazenamento de dados, que agora passam por perícia. Após audiência de custódia, a Justiça decidiu manter sua prisão.

A atuação da Polícia Civil tem sido considerada ágil, já que, em menos de 48 horas, os agentes conseguiram identificar um dos colaboradores internos envolvidos e recuperar parte significativa do valor desviado.

Com as investigações avançando, o foco agora é entender como os sistemas de segurança da C&M foram violados e se houve falha humana, técnica ou negligência nos protocolos internos. Também está sendo apurada a possível responsabilidade das 29 instituições financeiras que receberam as transferências, o que pode levar à adoção de novas medidas judiciais, como bloqueio de valores e quebra de sigilo bancário.

A C&M Software informou que seus serviços já foram restabelecidos com autorização do Banco Central, mas de forma controlada, com reforço dos mecanismos de segurança e auditorias externas. O episódio reacende a preocupação com a vulnerabilidade cibernética do sistema financeiro nacional, especialmente nas operações que envolvem grandes volumes de dinheiro por meio do Pix.

Carlos Benitez, CEO da BMP, afirmou em entrevista ao site Neofeed que R$ 160 milhões já foram recuperados do montante desviado. A empresa garante que nenhum cliente sofreu prejuízo e que possui colaterais suficientes para cobrir os valores perdidos. Antes do ataque, a BMP mantinha uma liquidez aproximada de R$ 600 milhões.

O golpe foi identificado a partir de um alerta sobre uma transferência suspeita de R$ 18 milhões, recebido por Benitez às 4h da segunda-feira (30). Às 7h, as transações foram interrompidas, e a empresa iniciou uma investigação interna para avaliar o impacto do incidente.

Por:José Carlos