Ataque a um provedor de conectividade (PSTI) e o endurecimento do Pix

01 · CONTEXTO

O intermediário que conecta quem não tem conexão própria

Nem toda instituição que oferece contas se conecta direto às infraestruturas do sistema financeiro. Na nota do Banco Central, a C&M Software aparece como prestadora de serviços de tecnologia para instituições provedoras de contas transacionais sem meios de conexão própria. O relatório de gestão do Pix descreve, por sua vez, participantes que se conectam à rede do sistema financeiro por intermédio de um provedor de serviços de tecnologia, o PSTI.

Segundo a nota da BMP, a C&M era responsável pela mensageria que interliga instituições financeiras ao Sistema de Pagamentos Brasileiro, incluindo o ambiente de liquidação do Pix.

1. A instituição sem conexão própria depende da prestadora de tecnologia para chegar à infraestrutura.

2. A prestadora faz a mensageria entre as instituições e o sistema de pagamentos, incluindo a liquidação do Pix, segundo a BMP.

3. No diagrama, as duas instituições clientes compartilham o mesmo caminho até a infraestrutura.

02 · O INCIDENTE

O que se sabe do ataque à C&M

A matéria do Poder360 diz que a Polícia Federal e o Banco Central investigam um ataque hacker contra a C&M Software e situa o crime em 1º de julho de 2025. Em nota, o Banco Central informou que a C&M comunicou ataque à sua infraestrutura tecnológica.

Na nota da BMP, o incidente comprometeu a infraestrutura da C&M e permitiu acesso indevido a contas reserva de seis instituições financeiras, entre elas a BMP. A BMP descreve essas contas como mantidas no Banco Central e usadas na liquidação interbancária, sem relação com as contas de clientes finais.

1. A infraestrutura da prestadora foi comprometida, segundo a BMP.

2. O comprometimento permitiu acesso indevido a contas reserva de seis instituições, segundo a BMP.

3. Segundo a BMP, essas contas servem à liquidação interbancária e não têm relação com as contas de clientes finais.

4. O jornal apurou que os sistemas administrados pelo Banco Central não foram atingidos.

5. O Banco Central determinou o desligamento do acesso das instituições às infraestruturas operadas pela prestadora.

O pedido de desligamento dos clientes financeiros da empresa, segundo a matéria, teve o objetivo de isolar e conter o problema.

03 · O TETO

Duas medidas do Pix para limitar o dano

O relatório de gestão do Pix lista, entre os aprimoramentos do MED, duas medidas que interessam a este caso. A primeira é um teto: desde setembro de 2025, participantes que não são autorizados pelo BC ou que se conectam à rede por um PSTI passaram a ter limite de R$15.000,00 por transação Pix, e o SPI rejeita automaticamente o que passa disso. O limite é uma regra de conformidade aplicada no próprio SPI, o sistema central.

1. No diagrama, o participante chega ao SPI por meio do provedor de tecnologia.

2. O SPI, operado pelo BC, rejeita automaticamente as transações acima do limite de R$15.000,00 desse tipo de participante.

04 · A CONTA PI

Alerta e bloqueio nas mãos do participante

A segunda medida é de monitoramento. Em dezembro de 2025, o BC disponibilizou aos participantes diretos do SPI ferramentas de gerenciamento e de monitoramento da Conta PI. Elas enviam comunicações automáticas em situações de risco, como o atingimento de saldo mínimo ou movimentações atípicas, e permitem comandar bloqueios e desbloqueios manuais da conta. O relatório afirma que isso ajuda os participantes a agir de forma rápida e autônoma.

1. O BC oferece ao participante direto ferramentas de monitoramento da Conta PI.

2. Em situações de risco, como saldo mínimo ou movimentações atípicas, o participante recebe uma comunicação automática.

3. O participante pode comandar o bloqueio e o desbloqueio manuais da conta.

05 · LIÇÕES

Requisitos de design para o terceiro que conecta

Algumas ideias servem a qualquer sistema que dependa de um intermediário: limitar o valor que o caminho do terceiro consegue movimentar, aplicando o limite no sistema central e não no terceiro; monitorar a conta de liquidação com alertas que levem a uma ação; e poder desligar o acesso de um terceiro rapidamente, sem derrubar os demais. Tudo isso faz parte da conformidade e do risco de terceiros.