O Banco Central (BC) adotou uma medida emergencial nesta sexta-feira ao suspender temporariamente do Pix três fintechs suspeitas de terem recebido valores desviados durante o recente ataque cibernético contra a provedora de tecnologia C&M Software.
Fintechs do Pix: Instituições isoladas
As empresas Transfeera, Soffy e Nuoro Pay foram desconectadas do sistema Pix como ação cautelar, segundo determinação com validade de até 60 dias – prazo previsto no Artigo 95‑A da Resolução 30/2020, que regula o Pix.
A Transfeera divulgou nota afirmando que a medida atinge exclusivamente o serviço de pagamentos instantâneos, enquanto suas demais operações permanecem ativas. A companhia também ressaltou que nem ela, nem seus clientes, sofreram prejuízos diretos no incidente e que colabora com as investigações. Além dela, as fintechs Soffy e Nuoro Pay ainda não se pronunciaram oficialmente após o ocorrido.
Contexto do ataque
O incidente teve origem em um ataque cometido na noite de terça-feira, 1º de julho, contra a C&M Software — empresa que fornece infraestrutura tecnológica para conexão ao Sistema de Pagamentos Brasileiro (SPB) e ao Pix. Hackers acessaram contas-reserva mantidas pelas instituições financeiras no BC e transferiram montantes expressivos via Pix, convertendo grande parte desses valores em criptomoedas, o que dificultou o rastreamento.
Até o momento, confirmou-se o desvio de ao menos R$ 400 milhões, conforme estimativas da Empresa Brasil de Comunicação. As autoridades, incluindo Polícia Civil de São Paulo e Polícia Federal, estão investigando o caso.
Participação de colaboradores
Na quinta-feira, 3 de julho, um funcionário da C&M Software foi preso após confessar que repassou senhas de acesso aos hackers em troca de R$ 15 mil — sendo R$ 5 mil pela senha e R$ 10 mil para facilitar a invasão. A ação possibilitou o desvio massivo de recursos das contas de reserva.
Próximos passos
O BC decidiu pela suspensão cautelar do acesso ao Pix para garantir a integridade do sistema e evitar novos riscos, segundo artigo que embasa a regulamentação do arranjo de pagamentos. Agora, cabe ao Banco Central, em parceria com as forças policiais, apurar se houve dolo, negligência ou falha de controle interno por parte das fintechs suspensas. Caso se confirme alguma irregularidade, o prazo de 60 dias pode ser estendido, ou essas instituições podem sofrer penalidades definitivas.
