Suspensão Revertida pelo Banco Central
O Banco Central (BC) decidiu reverter a suspensão cautelar imposta à S3 Bank, uma fintech que atua no modelo de “banking as a service”. Essa decisão permite que a instituição retome o acesso ao sistema do Pix, uma plataforma que revolucionou as transferências financeiras no Brasil.
A suspensão havia sido estabelecida após um ataque hacker que está sendo considerado o maior já registrado contra o sistema financeiro do país, com desvios estimados em pelo menos R$ 541 milhões. A C&M Software, empresa responsável pela mensageria entre instituições financeiras no Sistema de Pagamentos Brasileiro (SPB), foi a principal alvo do ataque, que afetou a operação do Pix, conhecido por sua agilidade e eficiência.
Investigação em Curso e Prisões
Na última semana, a Polícia Civil de São Paulo prendeu João Nazareno Roque, um funcionário de TI da C&M, que confessou ter facilitado o acesso dos hackers ao sistema da empresa. Segundo informações da polícia, Nazareno admitiu ter fornecido acesso aos criminosos por meio de sua própria máquina, permitindo que realizassem transferências eletrônicas em massa, totalizando cerca de R$ 541 milhões.
Leia também: O sistema de pagamento instantâneo Pix Automático será disponibilizado ao público no mês de junho do ano de 2025.
Fontes do mercado financeiro inicialmente estimaram que o ataque poderia ter movimentado valores entre R$ 1 bilhão e R$ 3 bilhões. Relatos posteriores indicaram que os hackers desviaram entre R$ 400 milhões e R$ 800 milhões. O impacto financeiro do ataque é alarmante, com pelo menos 79 indivíduos supostamente se beneficiando, sendo que quatro deles receberam mais de R$ 100 milhões.
Resposta das Fintechs Envolvidas
No que diz respeito à S3 Bank, até o fechamento deste artigo, a instituição não havia se pronunciado sobre a reversão da suspensão. O Banco Central, por sua vez, não fez declarações oficiais sobre o assunto.
Entretanto, outras cinco fintechs continuam com suas operações suspensas: Voluti Gestão Financeira, Brasil Cash, Transfeera, Nuoro Pay e Soffy. Investigações indicam que algumas dessas contas receberam parte do montante desviado pelos criminosos. O BC afirmou que possui a autoridade necessária para suspender a participação de qualquer instituição no Pix que comprometa a segurança e a operação do sistema de pagamentos.
Leia também: O sistema de pagamento instantâneo Pix Automático será disponibilizado ao público no mês de junho do ano de 2025.
Notas das Instituições Financeiras
A Transfeera, uma das instituições afetadas, informou que suas operações continuam normalmente, exceto pelos serviços do Pix. A empresa afirmou estar colaborando com as autoridades para a liberação do serviço de pagamento instantâneo.
Por sua parte, a Nuoro Pay destacou que está em conformidade com as normas do BC e está colaborando com as investigações. A empresa espera restabelecer suas operações o mais rápido possível.
Já a Soffy ressaltou que tomou medidas rápidas e responsáveis, bloqueando imediatamente a conta relacionada ao incidente e notificando o cliente parceiro. A empresa enfatizou a seriedade com que aborda a segurança e a conformidade, reafirmando sua confiança nas investigações.
A Polícia Civil revelou que cerca de R$ 270 milhões desviados foram direcionados a uma conta da Soffy, o que acende ainda mais a luz amarela sobre a segurança das operações financeiras digitais no país.
Como Ocorreu o Golpe
O ataque à C&M Software foi realizado por meio de uma técnica chamada “Supply Chain”, onde hackers comprometem uma empresa para acessar os dados financeiros de seus clientes. Esse tipo de ataque exige um planejamento meticuloso, frequentemente levando meses para ser executado. Avaliações preliminares indicam que os criminosos já estavam infiltrados no sistema da C&M por um tempo considerável antes de realizarem o ataque.
Pelo menos seis instituições financeiras foram impactadas, resultando em desvios de recursos e interrupções temporárias nas operações via Pix. O montante divulgado pela Polícia Civil, de R$ 541 milhões, refere-se ao prejuízo de uma das instituições afetadas, a BMP. Investigações adicionais pela Polícia Federal estão em andamento para esclarecer a extensão total do ataque e identificar todos os envolvidos.