BC suspende três instituições do Pix após ataque cibernético

Fintechs Transfeera, Soffy e Nuoro Pay são desconectadas enquanto R$400 milhões são investigados

O Banco Central (BC) suspendeu cautelarmente, por até 60 dias, a participação das instituições financeiras Transfeera, Soffy e Nuoro Pay no sistema Pix. A medida segue investigação sobre o desvio de pelo menos R$ 400 milhões — e possivelmente até R$ 800 milhões ou mais — durante um ataque cibernético à provedora C&M Software.

A suspensão tem base no Artigo 95‑A da Resolução 30/2020, que regulamenta o Pix, permitindo ao BC retirar quaisquer participantes que representem risco ao funcionamento do arranjo de pagamentos. A decisão visa proteger a integridade do sistema enquanto as investigações seguem, apurando se essas instituições receberam indevidamente recursos desviados de contas‑reserva mantidas pelos bancos no BC.

A Transfeera, autorizada pelo BC e especializada em gestão financeira corporativa, confirmou que o Pix foi suspenso, mas que demais serviços permanecem operando normalmente. “Nossa instituição, tampouco nossos clientes, foram afetados pelo incidente … estamos colaborando com as autoridades para liberação da funcionalidade”. Já Soffy e Nuoro Pay, fintechs que atuam no Pix em parceria com outros bancos, não se pronunciaram até o fechamento da matéria.

Entenda o ataque

Na madrugada de terça, um sofisticado ataque do tipo “supply chain” atingiu a C&M Software, provedora de serviços de conexão ao Sistema de Pagamentos Brasileiro (SPB). Os hackers acessaram contas‑reserva de ao menos seis instituições, deslocando os fundos via Pix e convertendo-os em criptomoedas.

Estima‑se que o desvio tenha alcançado entre R$ 400 milhões e até R$ 1 bilhão, conforme variações nas apurações. Na quinta-feira (3), o BC autorizou a C&M a restaurar suas operações Pix, ainda sob controle e monitoramento da autarquia.

Na mesma data, a Polícia Civil de São Paulo prendeu um funcionário da C&M, identificado como João Nazareno Roque. Ele confessou ter recebido R$ 5.000 por fornecer senhas aos hackers e mais R$ 10.000 para desenvolver um acesso automatizado a sistemas internos.

Investigações em curso

A Polícia Federal, a Polícia Civil de SP e o próprio BC coordenam as investigações. Soffy e Nuoro Pay, por sua vez, permanecem sem se manifestar publicamente. Autoridades avaliam possíveis medidas adicionais, inclusive expansão de suspensões, caso o envolvimento de outras instituições seja comprovado.

Impactos e próximos passos

• Segurança do Pix: O episódio expõe vulnerabilidades no modelo de cadeia de terceiros, provocando debate sobre controles mais rígidos para parceiros do sistema instantâneo.
• Reforço técnico: Especialistas pedem revisão de protocolos de autenticação, monitoramento de transações e mecanismos de rastreabilidade, especialmente para transações que envolvem criptoativos.
• Recuperação de valores: Parte dos recursos foi bloqueada pela polícia, mas ainda não foi divulgado o total recuperado.

A despeito do incidente, o BC e fornecedores como a C&M reforçam que não houve vazamento de dados de clientes. Resta aos órgãos, entretanto, apurar totalmente a extensão da fraude e responsabilizar cada envolvido.

Gostou? Compartilhe com quem precisa saber: