A Polícia Federal (PF) iniciou uma investigação sobre um ataque hacker à empresa C&M Software, especializada em soluções tecnológicas para instituições financeiras brasileiras. O caso ganhou destaque nacional após a confirmação de que os criminosos conseguiram desviar valores de contas reservas bancárias mantidas no Banco Central (BC).

O ataque ocorreu na terça-feira (1º) e ainda não há estimativas oficiais sobre o montante desviado. Segundo as primeiras informações, os clientes finais dos bancos não foram diretamente afetados, mas a ação comprometeu infraestrutura crítica usada na intermediação de operações financeiras. As informações são da Agência Brasil.

Como ataque foi realizado

De acordo com informações preliminares, os invasores utilizaram credenciais vazadas de clientes da C&M Software, como logins e senhas, para obter acesso não autorizado aos sistemas da empresa. Essas credenciais permitiram acesso às contas reservas — valores depositados pelas instituições financeiras no Banco Central como exigência legal de liquidez e estabilidade monetária.

Em nota oficial, o BC explicou que a empresa “comunicou ataque à sua infraestrutura tecnológica” e, como medida preventiva, determinou o desligamento do acesso das instituições às infraestruturas operadas pela C&M.

“A C&M Software, prestadora de serviços de tecnologia para instituições provedoras de contas transacionais que não possuem meios de conexão própria, comunicou ataque à sua infraestrutura tecnológica. O Banco Central determinou à C&M o desligamento do acesso das instituições às infraestruturas por ela operadas”, declarou o Banco Central.

C&M Software atua no coração do sistema financeiro

Com atuação focada no desenvolvimento de soluções para pagamentos instantâneos, a C&M Software é uma peça-chave no funcionamento do Sistema de Pagamentos Brasileiro (SPB). A empresa é responsável por intermediar a troca de informações entre diversas instituições bancárias e financeiras do país.

Embora o SPB inclua o ambiente do Pix, o Banco Central informou que não há registros de desvios nessa modalidade. No entanto, por precaução, alguns bancos relataram interrupções temporárias em suas operações de Pix na manhã da quarta-feira (2), após o desligamento emergencial da estrutura operada pela C&M.

Empresa afirma ter contido danos e reforça segurança

Em comunicado oficial, a C&M Software informou que foi “vítima direta” do ataque e que houve “uso indevido de credenciais de clientes” para tentativas de acesso fraudulento aos seus sistemas.

“Por orientação jurídica e em respeito ao sigilo das apurações, a C&M não comentará detalhes do processo, mas reforça que todos os seus sistemas críticos seguem íntegros e operacionais e que as medidas previstas nos protocolos de segurança foram integralmente executadas”, afirmou a empresa.

A C&M destacou ainda que está colaborando ativamente com as autoridades, incluindo a Polícia Federal, o Banco Central e a Polícia Civil de São Paulo, no andamento das investigações.

Segurança cibernética em xeque no setor financeiro

O episódio acende um alerta sobre a vulnerabilidade de prestadoras terceirizadas que operam em nome de instituições financeiras dentro do sistema bancário nacional. Embora os bancos mantenham protocolos rigorosos de segurança, ataques a intermediárias como a C&M podem abrir brechas capazes de comprometer operações sensíveis.

Especialistas em segurança digital vêm alertando sobre o aumento do uso de credenciais vazadas para invasões em sistemas corporativos. Esse tipo de ataque, baseado em engenharia social e fraudes de autenticação, exige respostas rápidas e estratégias mais robustas de autenticação multifator (MFA).

Próximos passos da investigação

A Polícia Federal segue com a apuração dos fatos, tentando identificar a origem do ataque e o destino dos valores desviados. Fontes ligadas à investigação não descartam a possibilidade de atuação de grupos especializados em crimes cibernéticos internacionais.

Por enquanto, não há informações públicas sobre o número de instituições financeiras impactadas ou o prejuízo total gerado. A expectativa é de que os próximos dias tragam mais detalhes à tona, especialmente após a análise dos registros de acesso aos sistemas invadidos.