Na última quinta-feira, 3, a Polícia Civil de São Paulo prendeu João Nazareno Roque, suspeito de ser um dos responsáveis pelo ataque hacker à C&M Software, que conecta instituições financeiras ao Banco Central, incluindo o sistema de pagamentos instantâneos Pix.
Este incidente é considerado a “maior invasão de dispositivo eletrônico do País” e resultou em um desvio estimado em mais de R$ 800 milhões.
O ataque consistiu em uma tentativa de fraude utilizando credenciais legítimas de clientes da C&M, o que possibilitou que os criminosos acessassem informações para realizar transações. A empresa detalhou que o uso de técnicas de engenharia social foi fundamental para o compartilhamento não autorizado dessas credenciais.
O suspeito, de 48 anos e funcionário terceirizado da C&M, teria fornecido seu login e senha a terceiros, confessando ter sido aliciado para permitir o acesso ao sistema e efetuar transferências via Pix diretamente ao banco.
A prisão ocorreu em sua residência, onde a Divisão de Crimes Cibernéticos cumpriu mandados de busca e apreensão. Inicialmente, foi constatado que pelo menos seis instituições financeiras foram afetadas, incluindo a BMP, a Credsystem e o Banco Paulista, mas seus nomes não foram oficialmente revelados.
Com o ataque, o Banco Central determinou o corte do acesso das instituições ao sistema da C&M, resultando na suspensão temporária de operações via Pix. Embora o controle tenha sido restaurado sob condições específicas, o sistema do BC em si não foi comprometido.
O desvio financeiro, que alguns estimam que pode alcançar R$ 1 bilhão, não teve os valores exatos divulgados oficialmente.
As investigações seguem a cargo do Banco Central, da Polícia Civil e da Polícia Federal, com a Justiça já tendo autorizado o bloqueio de R$ 270 milhões de uma conta associada ao esquema fraudulento.
A C&M declarou que está colaborando com as autoridades e que contratou uma auditoria externa para reforçar a segurança de suas operações e evitar novos incidentes.