Banco Central suspende mais três instituições financeiras do Pix após ataque cibernético

O Banco Central (BC) determinou a suspensão cautelar do Pix para mais três instituições financeiras suspeitas de terem recebido recursos desviados após o ataque cibernético à C&M Software. As empresas Voluti Gestão Financeira, Brasil Cash e S3 Bank se unem a Transfeera, Soffy e Nuoro Pay, elevando para seis o total de fintechs afetadas pela medida prevista no Artigo 95-A da Resolução 30, que regula o Pix.

A ação do BC, válida por até 60 dias, tem por objetivo preservar a integridade do sistema de pagamentos instantâneos enquanto as investigações sobre o desvio — estimado entre R$ 400 milhões e R$ 1 bilhão — são concluídas.

Na noite de terça-feira (1º), hackers acessaram as reservas bancárias mantidas junto ao BC através da C&M Software, usando credenciais legítimas possivelmente obtidas via engenharia social, e transferiram o dinheiro por Pix para contas intermediárias, convertendo-o em criptomoedas. Entre as vítimas estava a fintech BMP, que teve R$ 541 milhões desviados.

Transfeera — a única das seis empresas autorizada diretamente pelo BC — comunicou que continuará operando normalmente, exceto pelas transações via Pix, e afirmou que não houve impacto aos clientes, além de colaborar com as investigações. Nuoro Pay e Soffy também disseram acompanhar o processo, mas não se manifestaram publicamente até o momento.

O incidente, considerado o maior golpe digital já registrado no sistema financeiro brasileiro, mobilizou o Banco Central, a Polícia Federal e a Polícia Civil de São Paulo em uma força-tarefa contra fraudes em pagamentos instantâneos. Um funcionário da C&M foi preso por facilitar o acesso dos hackers aos sistemas, confessando ter recebido R$ 15 mil pelo serviço.

A medida do BC prevê ainda que, ao final do prazo, as empresas terão oportunidade de regularizar a situação ou sofrer sanções adicionais. O Pix segue funcionando normalmente para os demais usuários do sistema.