Na noite de 30 de junho de 2025, uma credencial vazada de um operador de TI da C&M Software foi usada para acessar contas reserva mantidas por bancos no Banco Central.

O que é C&M Software

A C&M é uma provedora homologada pela autarquia responsável por conectar diversas instituições financeiras ao Sistema de Pagamentos Brasileiro.

Em poucas horas, criminosos movimentaram recursos via Pix e converteram parte do valor em cripto ativos.

As estimativas variaram bastante nos dias seguintes, entre R$ 400 milhões confirmados inicialmente e cifras que, segundo fontes de mercado, teriam chegado perto de R$ 1 bilhão.

Um ano depois, o episódio ainda é tratado como o maior ataque cibernético já registrado contra o sistema financeiro brasileiro.

Por que esse caso é diferente

O que torna esse caso emblemático vai além do valor desviado.

A C&M Software não era um banco, não movimentava dinheiro de clientes finais e, até aquele momento, nem sequer era uma instituição regulada diretamente pelo Banco Central. Ela era, e continua sendo, um Provedor de Serviços de Tecnologia da Informação (PSTI): um elo técnico entre instituições financeiras e a Rede do Sistema Financeiro Nacional (RSFN).

Um fornecedor de infraestrutura que, na prática, tinha acesso privilegiado a um dos sistemas mais críticos do país sem estar sujeito ao mesmo nível de escrutínio de um banco ou de uma fintech autorizada.

O que mudou desde então

O primeiro pacote regulatório

A resposta regulatória veio rápido, ao menos para os padrões do setor.

Em 5 de setembro de 2025, o Banco Central publicou um pacote de resoluções (496, 497, 498 e outras) criando pela primeira vez um regime de credenciamento formal para PSTIs.

As novas regras trouxeram exigências que, até então, simplesmente não existiam para esse tipo de fornecedor:

  • Patrimônio líquido mínimo de R$ 15 milhões

  • Diretores estatutários responsáveis por segurança da informação, riscos, compliance e gestão de crises

  • Segregação física ou lógica dos ambientes de Pix e STR

  • Criptografia e controle de acesso rigoroso

  • Monitoramento de incidentes 24 horas por dia

  • Relatórios de asseguração emitidos por auditorias independentes registradas na CVM

Instituições que se conectam à RSFN por meio de um PSTI não credenciado passaram a operar sob um teto de R$ 15 mil por transação em Pix e TED.

Esse limite só pode ser dispensado mediante comprovação de boas práticas específicas, como não compartilhar chaves privadas do Pix e usar certificados distintos para assinatura e conexão.

Regras mais duras em 2026

O movimento não parou aí. Em janeiro de 2026, o Banco Central endureceu ainda mais os critérios de credenciamento através da Resolução BCB 547, tornando os requisitos de reputação e capacidade técnica dos administradores mais próximos do que já se exige em outros segmentos regulados.

Curiosamente, esse ajuste foi pubicado na mesma semana em que o Banco do Nordeste sofreu um novo ataque envolvendo uma conta-bolsão, obrigando a instituição a suspender temporariamente o Pix.

Em abril, foi a vez da fintech Credifit reportar a exposição potencial de dezenas de chaves Pix sob sua guarda.

Em maio, o BC formalizou na Resolução 559 a exigência de auditoria independente também para participantes do próprio arranjo Pix, além do poder de convocar representantes de instituições para prestar esclarecimentos e de criar novas hipóteses de perda da condição de participante.

O padrão que emerge

O padrão que emerge desses doze meses é claro. O Banco Central está, na prática, transformando o PSTI de simples fornecedor de infraestrutura em guardião formal da integridade do sistema financeiro, sujeito a credenciamento, capital mínimo e fiscalização contínua.

Trata-se de um avanço regulatório real, e reconhecê-lo é importante.

O ponto cego que a regulação ainda não fecha

Fotografia versus filme

Mas há um limite estrutural nesse tipo de resposta, e ele explica por que os incidentes continuaram acontecendo mesmo depois de todo o pacote normativo entrar em vigor.

Credenciamento é uma fotografia. Ataque é filme.

A C&M Software, no momento do incidente, era exatamente o tipo de fornecedor que qualquer processo de homologação teria aprovado. Empresa estabelecida, com décadas de operação, prestando serviço para dezenas de instituições financeiras sem intercorrências públicas anteriores.

O problema não estava no cadastro dela. Estava no comportamento de uma credencial específica, em um momento específico, movimentando volumes que destoavam completamente do padrão histórico daquele operador.

Nenhuma exigência de capital mínimo, nenhum diretor estatutário de compliance e nenhum relatório de auditoria anual detecta isso em tempo real. Esses controles reduzem a probabilidade de um fornecedor mal estruturado entrar no ecossistema, e isso tem valor.

Só que eles são avaliados em fotografias periódicas (credenciamento inicial, renovação, auditoria anual), enquanto o ataque acontece na velocidade de uma sessão autenticada.

Os casos que vieram depois

É por isso que os episódios seguintes ao caso C&M, o do Banco do Nordeste em janeiro e o da Credifit em abril, reforçam o mesmo diagnóstico em vez de contradizê-lo.

Instituições regulamentadas, sujeitas a normas mais rígidas do que nunca, continuam sendo comprometidas pelo mesmo vetor: acesso legítimo usado de forma ilegítima, seja por credencial vazada, seja por exploração de uma integração de terceiros.

A cadeia de fornecedores tecnológicos do sistema financeiro brasileiro é longa, interconectada e, em boa parte, invisível para quem está de fora dela. Cada elo adicionado é uma superfície de ataque a mais.

A regulação de credenciamento, por mais robusta que seja, sempre vai correr atrás do comportamento em tempo real dos sistemas que ela regula.

Monitorar o cadastro não é o mesmo que monitorar o comportamento

A pergunta que falta responder

Essa é a lacuna que separa compliance de segurança operacional.

Uma instituição financeira pode exigir de seus fornecedores todos os certificados, relatórios de auditoria e comprovações de capital mínimo previstos na Resolução 498 e, ainda assim, ficar cega para o momento exato em que uma credencial homologada começa a se comportar fora do padrão.

O credenciamento responde à pergunta “esse fornecedor é confiável?”.

A pergunta que precisa de resposta em tempo real é outra: “o que esse fornecedor está fazendo agora, e isso é normal?”.

Onde entra o monitoramento comportamental

É exatamente nesse ponto que entra o papel de uma camada de monitoramento comportamental contínuo. Não como substituto da regulação, mas como a peça que fecha o intervalo entre o credenciamento formal e o comportamento real do sistema no dia a dia.

Um ataque como o da C&M Software não teria sido impedido por um relatório de auditoria mais rigoroso. Teria exigido a capacidade de identificar, em minutos, que um volume de transações estava se desviando do padrão histórico daquela integração, independentemente de o fornecedor estar ou não formalmente credenciado, e de acionar uma resposta antes que os recursos saíssem do sistema.

O papel do Vigilant autoXDR

É esse o princípio por trás do Vigilant autoXDR: uma camada de detecção que observa o comportamento real das integrações, credenciais e fluxos de dados entre instituições financeiras e seus fornecedores tecnológicos, sinalizando movimentação atípica antes da exfiltração.

Não em substituição ao credenciamento regulatório, mas como a resposta operacional para o que nenhuma resolução, por mais completa que seja, consegue capturar sozinha: o comportamento em tempo real de um ecossistema de terceiros que segue crescendo mais rápido do que a capacidade de fiscalização periódica consegue acompanhar.

Um ano depois do caso C&M, a regulação brasileira está mais madura.

O ponto cego de terceiros, no entanto, continua sendo o vetor mais negligenciado pelas instituições financeiras, e vai continuar sendo enquanto a segurança de fornecedores for tratada como um evento de credenciamento em vez de um processo contínuo de observação.

Sua instituição saberia identificar esse tipo de movimentação a tempo?

O caso C&M mostrou que credenciamento e regulação, sozinhos, não fecham a janela entre o acesso legítimo e a exfiltração.

O Vigilant autoXDR monitora o comportamento real de integrações, credenciais e fluxos de dados entre sua instituição e seus fornecedores tecnológicos, sinalizando movimentação atípica em minutos, não em auditorias periódicas.

Clique aqui e fale com um especialista Vigilant.