https://finsidersbrasil.com.br/reportagem-exclusiva-fintechs – 28/07/2026.
Por Amanda Menezes
Caso que desviou cerca de R$ 800 milhões expôs vulnerabilidades, acelerou novas regras e elevou investimentos em proteção contra fraudes.
Segurança digital e combate a fraudes | Imagem: ChatGPT/OpenAI.
Desde o ataque à C&M Software, há cerca de um ano, o Banco Central (BC) colocou em marcha um conjunto de novas regras tanto para as instituições reguladas quanto para empresas de tecnologia que conectam bancos e fintechs ao Sistema de Pagamentos Brasileiro (SPB) e ao Sistema de Pagamentos Instantâneos (SPI). O episódio, no qual foram desviados cerca de R$ 800 milhões, se tornou o maior já registrado contra o sistema financeiro brasileiro. Desde então, especialistas avaliam que o setor elevou o nível de segurança, embora ainda não esteja imune a novos ataques.
A C&M Software atua como uma espécie de ponte entre instituições financeiras e o BC, especialmente para aquelas que não têm conexão própria com as infraestruturas do SPB. À época, a empresa era classificada como Provedora de Serviços de Tecnologia da Informação (PSTI). Como mostrou reportagem recente do Finsiders Brasil, a C&M e outros players desse mercado solicitaram descredenciamento junto ao BC, após o endurecimento das regras.
Como ocorreu o ataque
Embora o episódio seja conhecido como “ataque hacker”, a estratégia foi mais sofisticada. Os criminosos recrutaram um funcionário da C&M para obter credenciais de acesso. Em vez de “quebrar” a segurança, usaram uma porta que, a princípio, era legítima. O alvo não eram as contas correntes dos clientes finais, mas as contas-reserva das instituições financeiras no BC. Os criminosos desviaram mais de R$ 800 milhões via Pix. Empresas como a BMP também foram afetadas.
Alan Thomaz/Campos Thomaz Advogados | Imagem: divulgação.
Segundo Andrei Rodrigues, diretor-geral da Polícia Federal (PF), durante o evento “Febraban SEC”, em março deste ano, a PF identificou toda a cadeia criminosa, prendeu 25 pessoas e recuperou mais de R$ 500 milhões. A corporação não informou dados atualizados porque a investigação segue em andamento.
“O ataque à C&M expôs que a empresa prestava serviço de tecnologia a instituições financeiras sem ser ela própria regulada pelo BC, o que permitiu a um elo não diretamente supervisionado comprometer contas de reserva de várias instituições ao mesmo tempo”, diz Alan Campos Thomaz, sócio do escritório Campos Thomaz Advogados.
Para a Finscale, companhia que ajuda negócios tradicionais e startups a monetizarem serviços financeiros, o episódio revelou fragilidades que ainda não haviam sido testadas em escala real no Brasil. Desde então, o sistema financeiro avançou em governança tecnológica e regras de conformidade.
“A maior mudança prática foi a elevação substantiva das exigências de governança, controles internos e gestão de riscos para todos PSTIs”, afirma Letícia Moschioni, sócia-fundadora da Finscale.
Ataques se repetiram
A C&M não foi a única. Menos de dois meses depois, criminosos atacaram o ambiente Pix da Sinqia (hoje Evertec), que conecta instituições ao sistema de pagamentos. A empresa informou posteriormente que o episódio ocorreu por meio da exploração de credenciais legítimas de fornecedores de TI. Cerca de R$ 710 milhões em transações B2B não autorizadas passaram pelo ambiente Pix da Sinqia, atingindo principalmente o banco HSBC e a fintech Artta.
Outros casos, como o da FictorPay, também influenciaram esse processo. A empresa utilizava a empresa de tecnologia Diletta para desenvolver seu aplicativo e a camada tecnológica que fazia a comunicação com a Celcoin, instituição autorizada a operar o Pix em seu nome. A FictorPay teve recursos desviados após a invasão da Diletta.
Letícia Moschioni/Finscale | Imagem: divulgação.
Nem mesmo bancos de maior porte ou ligados ao governo ficaram imunes. Neste ano, o Banco do Nordeste (BNB) suspendeu temporariamente o Pix após identificar um incidente de segurança em uma conta-bolsão de uma empresa terceirizada. Em março, o BTG também identificou atividade suspeita relacionada ao Pix e suspendeu temporariamente as operações.
Com exceção do BTG, os casos revelam uma mudança de paradigma. Os ataques não ocorrem apenas por meio de fraudes contra o cliente final ou em endpoints isolados. Eles também exploram vulnerabilidades na infraestrutura crítica de provedores. Segundo especialistas, a cadeia de fornecedores continua sendo o ponto de maior risco porque concentra acessos privilegiados com menos supervisão do que as instituições reguladas.
Regras ficaram mais rígidas
Após os ataques de 2025, o BC voltou sua atenção para os PSTIs. O episódio levou à publicação da Resolução BCB nº 498/2025, que estabelece regras de credenciamento e governança para essas empresas, e da Resolução BCB nº 547/2026, que endureceu ainda mais as exigências.
“Essa resolução trata de requisitos de governança e de capital para todos aqueles que trabalham com tecnologia da informação, ainda que fora de conglomerado financeiro, por exemplo, de um grande banco, mas que são contratados para operar ou administrar questões tecnológicas ligadas à RSFN [Rede do Sistema Financeiro Nacional]”, conta Luiz Felipe Calabró, sócio do escritório Levy & Salomão Advogados.
Os PSTIs passaram a cumprir exigências como capital mínimo de R$ 15 milhões e limite de R$ 15 mil para transações via Pix e TED realizadas por Instituições de Pagamento (IPs) não autorizadas e por aquelas conectadas à RSFN por meio de PSTI. Luiz ressalta que a Resolução 498 já era robusta, mas foi reformulada em janeiro deste ano, trazendo atualizações e requisitos técnicos mais detalhados.
Na avaliação do sócio do escritório Levy & Salomão, o endurecimento das regras cria uma barreira de entrada eficiente. Para ele, fintechs menores que prestam serviços de qualidade não devem ficar de fora, já que podem buscar formas alternativas de captação. Ainda assim, trata-se de uma atividade que não pode ser desempenhada com pouco capital, embora seja difícil definir um valor ideal.
Outras normas, como as Resoluções BCB 538 e CMN 5.274, que atualizam o marco de segurança cibernética para instituições financeiras e entidades relacionadas, também surgiram após o episódio. Elas, porém, refletem um processo mais amplo de endurecimento regulatório.
Mais investimento em segurança
O reforço da regulação aumentou as exigências sobre o sistema financeiro. Agora, as empresas precisam investir mais em governança, criptografia, equipes técnicas e mecanismos para prevenir ataques.
“Podemos resumir isso em tecnologia, criptografia, redundância de sistema, para ter sempre outros planos disponíveis, equipes técnicas, governança e orçamento”, diz o sócio do Levy & Salomão.
Após as mudanças regulatórias, diversas empresas solicitaram o descredenciamento como PSTIs. Stark Infra e Topaz, do grupo Stefanini, já oficializaram a saída. Já Associação Brasileira de Bancos (ABBC), C&M Software e Sinqia (atual Evertec) estão em processo de “saída ordenada”.
Luiz Calabró/Levy & Salomão Advogados | Imagem: reprodução/LinkedIn.
Ao mesmo tempo, especialistas afirmam que fintechs e instituições financeiras aumentaram os investimentos em segurança, impulsionadas tanto pela regulação quanto pelo custo do risco reputacional.
Para Letícia, da Finscale, a frase “segurança é custo” foi substituída por “segurança é investimento”, porque vazamentos, ataques ou desvios geram custos muito superiores aos da prevenção, incluindo prejuízo reputacional e risco regulatório.
O mercado também aprendeu que o custo de uma falha de terceiros recai sobre a instituição contratante, e não sobre o fornecedor.
“Isso já está mudando cláusulas contratuais, processos de due diligence de fornecedores de tecnologia e a forma como comitês de risco tratam prestadores que antes eram vistos como mera infraestrutura operacional”, destaca Alan, do Campos Thomaz Advogados.
Mercado ainda não está imune
Mesmo com o aperto regulatório, os ataques continuam. Os entrevistados avaliam que a regulamentação é efetiva, mas precisa evoluir continuamente. À medida que o mercado avança, os criminosos também sofisticam suas estratégias.
Ainda assim, os especialistas consideram que o setor está mais preparado do que antes do caso C&M.
“O mercado aprendeu que, quanto mais se fragmenta a prestação de serviços, de um lado tenho redução de custo e do outro tenho risco operacional, e esse risco pode se transformar em sistêmico dependendo da gravidade”, aponta Luiz, do Levy & Salomão.
As mudanças regulatórias, o aumento dos investimentos em segurança e o maior rigor na gestão de riscos reduzem a probabilidade de incidentes sistêmicos. Ainda assim, Letícia, da Finscale, lembra que os ataques cibernéticos se tornam mais sofisticados a cada ano no mundo. Por isso, as instituições precisam manter ciclos permanentes de atualização tecnológica, inteligência de ameaças e resposta automatizada.
Apesar dos avanços, ainda há desafios. Desde o ataque à C&M, a velocidade de detecção continua sendo um ponto de atenção. Alan ressalta que o próprio caso mostrou que as instituições identificaram as movimentações fraudulentas apenas quando os recursos já estavam em fase de conversão para criptoativos.
A cadeia de fornecedores também continua preocupando os especialistas. Para eles, a regulação está adequada, mas a supervisão precisa ser reforçada para garantir o cumprimento efetivo das normas.
