O Banco Central (BC) intensificou as medidas de segurança no Pix ao suspender cautelarmente mais três instituições financeiras. A decisão ocorre após suspeitas de que essas empresas teriam recebido recursos desviados no ataque cibernético contra a provedora de serviços tecnológicos C&M Software. As instituições afetadas nesta nova etapa são Voluti Gestão Financeira, Brasil Cash e S3 Bank. Anteriormente, Transfeera, Soffy e Nuoro Pay já haviam sido desconectadas do sistema de pagamentos instantâneos.
O BC investiga a possível relação das seis empresas com o ataque que desviou recursos de contas que os bancos mantêm como reserva na autoridade monetária. A TV Brasil confirmou que o montante desviado ultrapassa R$ 530 milhões.
A suspensão, com duração de 60 dias, está prevista pelo Artigo 95-A da Resolução 30 do Banco Central, de outubro de 2020, que regulamentou o Pix. A norma permite que o BC “suspenda cautelarmente, a qualquer tempo, a participação no Pix do participante cuja conduta esteja colocando em risco o regular funcionamento do arranjo de pagamentos”.
Posicionamento das empresas e o andamento das investigações
A Transfeera, uma sociedade de capital fechado autorizada pelo Banco Central, confirmou a suspensão da funcionalidade do Pix, mas assegurou que seus demais serviços de gestão financeira para empresas continuam operando normalmente. Em nota, a companhia destacou: “Nossa instituição, tampouco nossos clientes, foram afetados pelo incidente noticiado no início da semana e estamos colaborando com as autoridades para liberação da funcionalidade de pagamento instantâneo”.
As fintechs Soffy e Nuoro Pay não possuem autorização direta do BC para operar no Pix, mas participam do sistema por meio de parcerias com outras instituições financeiras. Nenhuma das duas, assim como Voluti Gestão Financeira, Brasil Cash e S3 Bank, havia se manifestado até a publicação desta reportagem.
A justificativa do Banco Central para a suspensão é proteger a integridade do Pix e garantir a segurança do sistema de pagamentos, enquanto as investigações sobre o desvio de recursos são conduzidas.
Entenda o ataque e as prisões
O ataque cibernético ocorreu na noite da última terça-feira (1º). Os sistemas da C&M Software, empresa que presta serviços tecnológicos a diversas instituições financeiras, foram invadidos, resultando no desvio de recursos de contas reservas que os bancos mantêm no BC. O dinheiro desviado foi rapidamente transferido via Pix e convertido em criptomoedas.
Embora a C&M não realize transações financeiras diretamente, ela conecta várias instituições ao Sistema de Pagamentos Brasileiro (SPB), operado pelo Banco Central. Na quinta-feira (3), o BC autorizou a C&M a retomar suas operações Pix.
O caso está sendo investigado pela Polícia Federal, Polícia Civil de São Paulo e o próprio Banco Central. A C&M informou em seu site que nenhum dado de cliente foi vazado.
Nesta sexta-feira (4), um desenvolvimento crucial: a Polícia Civil de São Paulo prendeu um funcionário da C&M. O suspeito confessou ter recebido R$ 15 mil para fornecer a senha de acesso e criar um sistema para os hackers invadirem os sistemas da empresa.