Municípios
O Banco Central determinou, de forma cautelar, a suspensão de mais três instituições financeiras do sistema Pix, após o ataque cibernético que resultou no desvio de pelo menos R$ 530 milhões das contas reservas de bancos. Foram desconectadas do sistema a Voluti Gestão Financeira, a Brasil Cash e o S3 Bank. As medidas se somam à suspensão já aplicada à Transfeera, Soffy e Nuoro Pay, totalizando seis instituições investigadas.
A decisão tem base no Artigo 95-A da Resolução nº 30/2020 do próprio Banco Central, que autoriza a exclusão temporária de participantes do Pix caso haja indícios de conduta que comprometa o funcionamento seguro do sistema. A suspensão tem duração inicial de 60 dias e pode ser prorrogada.
Segundo o BC, o objetivo é proteger a integridade do sistema de pagamentos instantâneos enquanto prosseguem as investigações sobre o ataque à empresa C&M Software, responsável por conectar instituições ao Sistema de Pagamentos Brasileiro (SPB).
O ataque aconteceu na noite da última terça-feira (1º), quando criminosos invadiram os sistemas da C&M Software e desviaram recursos das contas reservas que os bancos mantêm junto ao BC. O dinheiro foi transferido via Pix e convertido rapidamente em criptomoedas para dificultar o rastreamento.
Apesar de não executar diretamente operações financeiras, a C&M faz a ponte entre bancos e o SPB. Na quinta-feira (3), o Banco Central autorizou a retomada das operações de Pix pela C&M, após medidas de segurança e averiguações técnicas.
Prisão e confissão
As investigações são conduzidas pela Polícia Federal, Polícia Civil de São Paulo e o próprio Banco Central. Nesta sexta-feira (4), a Polícia Civil prendeu um funcionário da C&M suspeito de facilitar o ataque. Segundo a investigação, o colaborador recebeu R$ 15 mil para fornecer senhas e criar acessos para os hackers.
Ele confessou ter repassado o login da empresa por R$ 5 mil e, posteriormente, recebido mais R$ 10 mil para montar um sistema que permitiu o acesso remoto aos criminosos. A C&M afirma que, apesar da violação, nenhum dado de cliente foi vazado.
Das instituições suspensas, apenas a Transfeera se manifestou até o momento. Em nota, a empresa afirmou que seus clientes não foram afetados e que está colaborando com as autoridades para restabelecer o serviço de Pix. Ela também destacou que os demais serviços continuam operando normalmente.
Já Soffy e Nuoro Pay, fintechs que operam o Pix por meio de parcerias com outras instituições, não se pronunciaram. As recém-suspensas Voluti, Brasil Cash e S3 Bank também foram procuradas, mas ainda não emitiram comunicado público.
O Banco Central reforça que a medida é preventiva e necessária para preservar a estabilidade e a segurança do sistema financeiro diante de um dos maiores ataques cibernéticos já registrados contra a estrutura do Pix.
