Ataque hacker: PF rastreia rombo que drenou bilhões via Pix em minutos

A principal hipótese é de que criminosos tenham explorado brechas de segurança em sistemas de mensageria entre instituições financeiras e o Banco Central, usando credenciais legítimas de clientes da C&M, empresa que atua como intermediária na integração de bancos menores ao Sistema de Pagamentos Brasileiro (SPB).O foco da apuração está em compreender como essas credenciais foram obtidas e como o ataque foi executado com tamanha rapidez. Em poucos minutos, os invasores conseguiram movimentar valores expressivos via Pix a partir das chamadas “contas reserva”, que funcionam como cofres digitais de liquidação entre instituições financeiras.

Apenas da empresa BMP, especializada em soluções de banking as a service, foram desviados R$ 400 milhões. O prejuízo total estimado já ultrapassa R$ 800 milhões, podendo chegar a cifras superiores a R$ 3 bilhões.

A Polícia Federal também investiga se há envolvimento de organizações criminosas especializadas em fraudes digitais, além de tentar rastrear os recursos transferidos, que foram pulverizados em dezenas de transações quase simultâneas. O uso do Pix como instrumento de fuga rápida dificulta a recuperação dos valores, o que torna o rastreamento um dos principais desafios da investigação.

As autoridades estudam, ainda, a necessidade de revisão dos protocolos de segurança adotados por Provedores de Serviços de Tecnologia da Informação (PSTIs), como a C&M. Esses provedores fazem a ponte entre fintechs e o Banco Central, permitindo a realização de operações como Pix e TED. Apesar de a arquitetura do Banco Central não ter sido diretamente invadida, o caso expôs fragilidades no ecossistema que sustenta a digitalização dos pagamentos no país.