Ataque hacker à C&M Software provoca o maior roubo financeiro já registrado no Brasil

Um ataque cibernético contra a empresa C&M Software resultou no maior roubo já registrado no setor financeiro brasileiro, com prejuízo estimado em R$ 1 bilhão. A informação foi confirmada pelo Banco Central na manhã desta quarta-feira (2).

A ação comprometeu a infraestrutura da C&M, empresa especializada em soluções tecnológicas para instituições financeiras. Hackers exploraram uma vulnerabilidade nos sistemas da companhia, obtendo acesso não autorizado a contas de clientes e realizando transferências ilícitas.

O Banco Central determinou o desligamento imediato das plataformas operadas pela empresa, com o objetivo de conter a propagação do ataque. “A C&M Software, prestadora de serviços de tecnologia para instituições provedoras de contas transacionais que não possuem meios de conexão própria, comunicou ataque à sua infraestrutura tecnológica. O Banco Central determinou à C&M o desligamento do acesso das instituições às infraestruturas por ela operadas”, informou a autarquia em nota oficial.

Empresas atingidas

Seis instituições financeiras tiveram suas contas reservas acessadas de forma indevida. Entre elas, estão o Bradesco, a Credsystem e a BMP — empresa que oferece infraestrutura de Banking as a Service (BaaS). A BMP declarou que nenhum cliente foi diretamente afetado, e que mantém garantias para cobrir eventuais perdas.

As investigações seguem em andamento. O número de envolvidos e os detalhes sobre o percurso dos recursos desviados ainda não foram divulgados.

Métodos utilizados em ataques cibernéticos

O episódio reforça o uso recorrente de métodos avançados por grupos criminosos, entre eles:

Ataques à cadeia de suprimentos de software: comprometimento de fornecedores para inserção de código malicioso em atualizações distribuídas a clientes.

Exploração de vulnerabilidades: identificação e uso de falhas em sistemas e servidores.

Engenharia social e phishing: manipulação de funcionários por meio de e-mails falsos e links maliciosos.

Ameaças persistentes avançadas (APT): infiltrações prolongadas e discretas com foco em coleta de dados e fraude financeira.

Roubo de credenciais: obtenção de logins e senhas por vazamentos, malware ou ataques automatizados.

O que é Banking as a Service

Banking as a Service (BaaS) é um modelo que permite que empresas ofereçam produtos financeiros — como contas digitais, cartões e empréstimos — por meio de integração com plataformas especializadas, como a BMP. A prática ganhou força com o avanço da digitalização do setor bancário.

Segundo a BMP, a empresa atende mais de 80 fintechs, 125 fundos de investimento e diversas companhias de capital aberto. O incidente reforça a importância da segurança cibernética em ambientes com grande volume de operações e dados sensíveis.