O início de julho de 2025 ficou marcado por um evento que chamou a atenção de todo o setor financeiro brasileiro: um ataque hacker sem precedentes resultou no maior assalto já registrado no país. O alvo foi uma empresa de tecnologia especializada em soluções para o sistema financeiro, que teve sua infraestrutura comprometida por hackers, levando a um prejuízo estimado em R$ 1 bilhão. A informação foi confirmada na manhã desta quarta-feira (2/7) pelo Banco Central.
A ação criminosa expôs vulnerabilidades em sistemas de empresas que atuam como intermediárias entre instituições financeiras e o Banco Central. O episódio acendeu o alerta sobre a importância da segurança digital em ambientes que movimentam grandes volumes de dados e recursos financeiros, especialmente diante do avanço dos pagamentos instantâneos e da digitalização dos serviços bancários.
Como ocorreu o ataque hacker?
O ataque cibernético teve como alvo a C&M Software, companhia fundada em 1999 e reconhecida por fornecer infraestrutura tecnológica para bancos, cooperativas de crédito e outras entidades do setor. A invasão aconteceu por meio de uma brecha nos sistemas da empresa, permitindo que os criminosos acessassem contas de clientes e transferissem valores de forma ilícita.
Segundo informações confirmadas pelo Banco Central, a C&M Software foi responsável por comunicar o incidente às autoridades competentes. Em resposta, o órgão regulador determinou o desligamento imediato do acesso das instituições financeiras às plataformas operadas pela empresa, buscando conter o avanço do ataque hacker e evitar novos prejuízos.
“A C&M Software, prestadora de serviços de tecnologia para instituições provedoras de contas transacionais que não possuem meios de conexão própria, comunicou ataque à sua infraestrutura tecnológica. O Banco Central determinou à C&M o desligamento do acesso das instituições às infraestruturas por ela operadas”, relatou o Banco Central em nota.
Como ataques hackers de alto impacto geralmente ocorrem:
- Ataques à cadeia de suprimentos de software:
- Hackers comprometem um fornecedor de software, inserindo código malicioso nos produtos antes que sejam distribuídos aos clientes.
- Quando os clientes (que podem ser bancos, grandes empresas, etc.) instalam ou atualizam o software, o malware é executado em suas redes, dando aos criminosos acesso inicial.
- Exploração de vulnerabilidades em sistemas:
- Criminosos procuram por falhas de segurança (vulnerabilidades) em softwares, sistemas operacionais ou aplicativos web.
- Uma vez encontrada uma vulnerabilidade, eles a exploram para obter acesso não autorizado aos sistemas. Isso pode incluir injeção de SQL, cross-site scripting (XSS), ou falhas em configurações de servidores e firewalls.
- Engenharia social e phishing:
- Atacantes manipulam funcionários para que revelem informações confidenciais ou executem ações que comprometam a segurança.
- Isso pode ser feito por e-mails de phishing que imitam comunicações legítimas, levando as vítimas a clicar em links maliciosos ou baixar arquivos infectados.
- Malware avançado (APTs – Advanced Persistent Threats):
- Grupos de hackers utilizam técnicas sofisticadas e persistentes para infiltrar-se em redes-alvo.
- Eles podem permanecer indetectáveis por longos períodos, mapeando a rede, escalando privilégios e exfiltrando dados valiosos ou realizando operações financeiras fraudulentas.
- Comprometimento de credenciais:
- Roubo de nomes de usuário e senhas, seja por meio de vazamentos de dados anteriores (onde as pessoas reutilizam senhas), keyloggers, ou ataques de força bruta.
- Com credenciais válidas, os atacantes podem acessar sistemas como se fossem usuários legítimos.
Quais empresas foram impactadas pelo ataque hacker?
O ataque hacker afetou a infraestrutura da C&M, possibilitando o acesso não autorizado a contas reservas pertencentes a seis instituições financeiras. Entre as afetadas estão a BMP — especializada em serviços de Banking as a Service (BaaS) —, o Bradesco e a Credsystem. Fundada também em 1999, a BMP consolidou-se como uma das pioneiras em soluções financeiras digitais no Brasil, atendendo fintechs, fundos de investimento e empresas de diversos setores.
Apesar do impacto financeiro, informações divulgadas indicam que os clientes da BMP não sofreram perdas diretas, já que a instituição mantém garantias suficientes para cobrir eventuais prejuízos. O número exato de pessoas envolvidas no crime ainda não foi divulgado, e as investigações seguem em andamento para identificar os responsáveis e recuperar os valores desviados.
O que é Banking as a Service?
O conceito de Banking as a Service (BaaS) ganhou relevância nos últimos anos ao permitir que empresas de diferentes segmentos ofereçam serviços financeiros sem a necessidade de se tornarem bancos tradicionais. Por meio de plataformas como a da BMP, companhias podem disponibilizar contas digitais, cartões, empréstimos e outros produtos diretamente aos seus clientes.
- Integração facilitada: O BaaS conecta bancos, fintechs e empresas de tecnologia, promovendo a inovação no setor financeiro.
- Expansão de serviços: Varejistas, startups e até empresas listadas na bolsa passaram a oferecer soluções financeiras personalizadas.
- Segurança em foco: O crescimento do BaaS também exige investimentos robustos em proteção de dados e prevenção a fraudes.
De acordo com informações da própria BMP, a empresa atende atualmente mais de 80 fintechs, 125 fundos de investimento em direitos creditórios (FIDCs) e securitizadoras, além de atuar junto a grandes varejistas e companhias de capital aberto. Esse ecossistema diversificado reforça a importância de mecanismos de segurança eficientes para evitar incidentes como o ocorrido em julho de 2025.
Quais lições o setor financeiro pode tirar desse episódio?
O ataque hacker à C&M Software evidenciou a necessidade de constante atualização das práticas de segurança digital no ambiente financeiro. Instituições que dependem de terceiros para operar suas plataformas devem reforçar a fiscalização e a adoção de protocolos rigorosos de proteção contra ameaças virtuais.
- Revisão periódica de sistemas e políticas de segurança.
- Investimento em tecnologias de detecção e resposta a incidentes.
- Capacitação de equipes para identificar e mitigar riscos cibernéticos.
- Transparência na comunicação com clientes e órgãos reguladores.
O caso também destaca a importância da colaboração entre empresas, autoridades e especialistas em segurança para fortalecer o ecossistema financeiro brasileiro. A digitalização dos serviços traz benefícios, mas exige vigilância constante para proteger dados e recursos dos usuários.
Com a evolução das ameaças digitais, episódios como o do início de julho de 2025 servem como alerta para que todo o setor financeiro invista em soluções inovadoras e mantenha a confiança dos clientes em um ambiente cada vez mais conectado.
