Polícia prende suspeito de facilitar desvio de até R$ 800 milhões via PIX. Funcionário vendeu senha que deu acesso ao sistema financeiro do BC
Ataque hacker expõe falhas em cadeia de segurança financeira
A Polícia Civil de São Paulo prendeu nesta quinta-feira (3) João Nazareno Roque, suspeito de facilitar um megagolpe hacker que atingiu o sistema PIX. Ele trabalhava na C&M Software, empresa que conecta fintechs e bancos pequenos ao Banco Central. O ataque, que desviou ao menos R$ 800 milhões, usou credenciais legítimas fornecidas pelo próprio funcionário.
Roque admitiu ter vendido sua senha por R$ 5 mil e, depois, criado um sistema para continuar os desvios por mais R$ 10 mil. A ação envolveu engenharia social, sem necessidade de invasão técnica aos sistemas da empresa. Segundo o Deic, o suspeito trocava de celular a cada 15 dias para evitar rastreio. Policiais prenderam o suspeito na zona norte de São Paulo e registraram a ação em vídeo. O caso foi classificado como o maior golpe hacker contra instituições financeiras do Brasil.
Sistema invadido e valores desviados
O ataque foi do tipo “supply chain”, no qual hackers exploram falhas em prestadores terceirizados de serviços essenciais. No caso, a C&M Software atuava como ponte entre bancos menores e os sistemas do Banco Central, inclusive o PIX. Com acesso privilegiado, os criminosos movimentaram R$ 541 milhões de uma única instituição, a BMP. Os hackers afetaram ao menos oito instituições no total, incluindo a Credsystem e o Banco Paulista.
A operação durou poucas horas e utilizou contas de reserva mantidas no Banco Central. Essas contas funcionam como uma conta corrente das instituições financeiras junto ao BC. Uma das contas receptoras foi bloqueada com R$ 270 milhões, e outros R$ 15 milhões foram congelados em criptomoedas. Apesar da gravidade, o Banco Central afirmou que ninguém comprometeu seus sistemas e que o PIX continuou funcionando normalmente.
Consequências e resposta das autoridades
Logo após detectar o ataque, o Banco Central suspendeu o acesso da C&M aos seus sistemas. Após as verificações, o Banco Central reverteu parcialmente a suspensão na quinta-feira (3). A C&M Software afirmou colaborar com as investigações e reforçou que a causa foi o uso indevido de credenciais, não uma falha técnica. A empresa declarou que continua operando normalmente e reforçou medidas de segurança.
Especialistas avaliam que o caso pode acelerar mudanças na regulação da segurança digital no setor financeiro. O episódio também reforça a importância do controle de acessos internos e da formação ética de profissionais com privilégios técnicos. A Polícia Civil segue apurando o envolvimento de outros suspeitos e coopera com o Ministério Público e a Polícia Federal para rastrear os valores desviados. O caso acende alerta para riscos sistêmicos na era dos pagamentos digitais.
