A reação do Banco Central após o “roubo do século”

Um sofisticado ataque cibernético contra uma empresa de infraestrutura bancária sacudiu o sistema financeiro vernáculo nesta semana. A C&M, uma provedora de serviços de Banking as a Service (BaaS) no Brasil, foi invadida por hackers que conseguiram acessar contas de suplente vinculadas ao Banco Medial (BC) e realizar transferências fraudulentas em grande graduação. Fontes ligadas à investigação estimam que o prejuízo pode conseguir cifras bilionárias, tornando esse o maior ataque hacker já registrado no setor financeiro do país.

A ofensiva afetou diretamente empresas que utilizam a estrutura da C&M para operar uma vez que instituições financeiras sem, de veste, serem bancos. Entre os atingidos estão a BMP Money Plus, o Bradesco e a Credsystem, todos com operações interligadas ao Sistema de Pagamentos Brasílico (SPB) por meio da plataforma da C&M.

Porquê funciona o BaaS — e por que o risco é sistêmico

O padrão BaaS permite que fintechs e empresas não bancárias ofereçam serviços uma vez que contas digitais, transferências e boletos. A estrutura tecnológica e a interface com o Banco Medial ficam a incumbência de empresas uma vez que a C&M. Isso significa que, embora o cliente final interaja com uma marca de frente, quem realiza a transação nos bastidores é a plataforma BaaS.

No núcleo desse ecossistema estão as contas de suplente, usadas para liquidações interbancárias e movimentações via SPB. Elas não são acessadas diretamente pelos usuários finais, mas têm nível de segurança ressaltado — ou deveriam ter. Justamente por isso, o ataque levanta sérias preocupações sobre os padrões de proteção cibernética adotados por intermediárias financeiras.

Resposta imediata do BC e apuração de responsabilidades

Mal identificou a invasão, o Banco Medial determinou o desligamento súbito da C&M de seus sistemas. A decisão visou proteger a integridade do SPB e moderar o risco de contaminação em outras operações. A C&M, agora fora do ar, está impossibilitada de movimentar recursos.

Apesar da seriedade do caso, o BC ainda não divulgou oficialmente o valor do prejuízo, limitando-se a declarar que “monitora a situação e apura responsabilidades”. A Polícia Federalista também está envolvida na investigação, diante da complicação e abrangência do ataque.

Fraude em graduação: fundos desviados foram parar em exchanges de criptoativos

Um dos pontos mais preocupantes da apuração é o fado dos recursos desviados. Secção significativa foi enviada para plataformas ligadas ao mercado de criptoativos, incluindo exchanges, gateways de pagamento e mesas OTC (over-the-counter). Os golpistas usaram o Pix para apressar a movimentação e buscaram transmutar os valores rapidamente em moedas digitais uma vez que USDT e bitcoin, dificultando o rastreamento e a recuperação dos fundos.

Especialistas em segurança afirmam que esse padrão de comportamento é típico de operações de “lavagem de numerário do dedo”, aproveitando brechas regulatórias e a fluidez das transferências instantâneas.

Enxovia de crédito em xeque

O incidente expõe uma fragilidade estrutural no padrão BaaS, que cresce rapidamente no Brasil, mas ainda carece de regulações mais rigorosas em termos de segurança e governança. O veste de que uma única empresa — a C&M — possa, por falhas de segurança, comprometer grandes instituições financeiras levanta a discussão sobre resiliência cibernética e responsabilidade compartilhada.

Se comprovadas falhas graves ou negligência, a C&M poderá tolerar sanções regulatórias severas, incluindo perda da autorização para operar no sistema do Banco Medial.

O que vem a seguir

Nos bastidores, a pressão é intensa. Instituições impactadas cobram esclarecimentos, e o mercado observa com atenção os desdobramentos. Além de possíveis perdas financeiras, o caso representa um duro golpe na crédito do ecossistema BaaS — uma das principais apostas para a inovação no sistema bancário brasílio.

A expectativa agora é de que o Banco Medial intensifique a fiscalização sobre empresas que atuam uma vez que intermediárias de infraestrutura financeira. O caso também deve reacender o debate sobre o uso de criptoativos em esquemas de fraude e a urgência de uma regulação mais robusta para transações digitais de subida volatilidade.