O Banco Central (BC) suspendeu cautelarmente as operações de Pix de mais três instituições financeiras suspeitas de terem recebido recursos desviados em um ataque cibernético contra a provedora de serviços tecnológicos C&M Software. As novas suspensões afetam as empresas Brasil Cash, S3 Bank, Voluti Gestão Financeira. No último dia 4, a Transfeera, Soffy e Nuoro Pay já haviam sido desconectadas do sistema, conforme informações da Agência Brasil.

A Transfeera informou que suas operações seguem normais, exceto pelo Pix, que foi temporariamente desconectado por medida preventiva do Banco Central. A empresa destacou que seus clientes não foram diretamente afetados e está colaborando com as autoridades para liberar a funcionalidade.

A Voluti, por sua vez, afirmou que ao identificar transações suspeitas, acionou seu sistema antifraude, bloqueando contas e valores suspeitos. A empresa comunicou os incidentes aos órgãos competentes e devolveu os valores por meio do Mecanismo Especial de Devolução (MED). A Voluti reforçou que não participou das fraudes, que não houve invasão e que os dados dos clientes não foram comprometidos, estando em colaboração ativa com as investigações.

Em nota, a Brasil Cash disse que a suspensão temporária dos serviços de envio e recebimento de PIX foi determinada pelo Banco Central como medida de precaução. A empresa ressalta que não foi alvo do ataque hacker e nenhum dado de cliente foi comprometido. "A Brasil Cash está atuando com total transparência junto ao Banco Central, contribuindo com as apurações e implementando reforços adicionais de segurança, inclusive com ajustes nos fluxos de operação do PIX para finais de semana e período noturno".

A EXAME entrou em contato com S3 Bank, Soffy e a Nuoro Pay, mas não conseguiu resposta até a publicação desta reportagem.

Entenda o ataque hacker e o impacto nas instituições financeiras

O ataque hacker, que ocorreu na última terça-feira, 1º, atingiu a infraestrutura da C&M Software, uma empresa que oferece serviços de "bank as a service" (Banking as a Service) para várias instituições financeiras.

O ataque afetou o ambiente de mensageria operado por um Provedor de Serviços de Tecnologia da Informação (PSTI), impactando diretamente o Pix em diversas instituições. A Polícia Civil do estado de São Paulo esclareceu que o Banco Central e pessoas físicas não foram atingidos. Foram os bancos com contas reservas que sofreram o desvio, com um total de R$ 541 milhões desviados, conforme apurado pela polícia.

O impacto do ataque foi significativo, atingindo uma série de instituições financeiras, como a BMP, que teve o maior prejuízo, além de fintechs, o Banco Paulista, Credsystem e Banco Carrefour. Apesar das suspeitas de desvio, nem a polícia, nem as instituições confirmaram se houve perdas diretas em suas operações de Pix.

A investigação sobre o caso está sendo conduzida pela 2ª Divisão de Crimes Cibernéticos da Polícia Civil de São Paulo, e, na última sexta-feira, 4, um dos suspeitos foi preso. João Nazareno Roque, de 48 anos, ex-operador de TI da C&M Software, foi detido por sua participação no esquema, onde forneceu dados e credenciais da empresa para um grupo criminoso. Roque alegou ter recebido R$ 15 mil para fornecer acesso às informações e foi preso sob acusação de associação criminosa, furto qualificado e abuso de confiança.