Jornalismo Independente
Pix, o sistema de pagamento instantâneo brasileiro | Foto: Marcello Casal Jr/Agência Brasil
C&M Software comunicou ter sido alvo de um ataque à sua infraestrutura, o que acarretou em um desvio sem precedentes
No início de julho, o Banco Central (BC) informou que a C&M Software — que tem como principal função integrar instituições financeiras ao sistema do Pix — comunicou ter sido alvo de um ataque à sua infraestrutura. Os criminosos conseguiram desviar um montante que pode chegar a cerca de R$ 800 milhões. O caso reascendeu um debate importante sobre governança corporativa e segurança da informação.
Atuando na área de governança e conformidade, é comum lidarmos com questionamentos constantes vindos de diversas áreas da empresa. Diariamente ouvimos frases como: “Mas por que documentar isso?”, “Precisa de política até para mudar a senha de acesso?”, “Políticas e procedimentos para tudo”, ou ainda: “Nunca aconteceu nada parecido no setor, essa preocupação é exagerada”.
Leia mais: “O impacto da decisão do STF sobre a responsabilidade das plataformas”
Como profissionais responsáveis pela integridade regulatória das operações, sabemos que a primeira vez nunca é prevista — mas sempre causa impacto.
Na era da tecnologia, sistemas estão cada vez mais automatizados e inteligentes. Porém, entre alucinações de inteligência artificial e vazamentos de dados pessoais, é fundamental considerar também o fator humano nas interações com sistemas críticos e os riscos associados à engenharia social.
Para contextualizar melhor os riscos envolvidos, é importante entender alguns conceitos que podem ser novos a quem está lendo este texto:
Casos como o da C&M Software nos lembram que a governança não é burocracia — é proteção estratégica. E que a prevenção, embora muitas vezes questionada, é o que separa a estabilidade da crise.
O recente incidente de fraude cibernética envolvendo um funcionário da área de tecnologia da empresa C&M Software trouxe à tona fragilidades críticas na gestão de acessos privilegiados e na proteção de dados pessoais de colaboradores com atuação em sistemas sensíveis.
A partir do comprometimento de credenciais internas, por parte do desenvolvedor de software júnior da empresa, foi possível realizar transferências financeiras indevidas por meio do sistema Pix, afetando diversas instituições.
O valor total do prejuízo causado ainda está em apuração pelas autoridades competentes.
Funcionários com funções técnicas, mesmo em níveis iniciais, frequentemente possuem acessos privilegiados a sistemas críticos. Quando não há implementação de mecanismos robustos de segurança — como autenticação multifator (MFA), segregação de funções (SoD), controle de sessões e monitoramento contínuo — esses acessos tornam-se alvos vulneráveis a ataques internos e externos, principalmente via aliciamento ou engenharia social.
Adicionalmente, a exposição de dados pessoais e funcionais desses colaboradores — como cargos, e-mails ou responsabilidades técnicas — facilita o mapeamento e posterior abordagem por atores mal-intencionados, comprometendo toda a estrutura de segurança da organização.
De acordo com o artigo 46 da Lei Geral de Proteção de Dados (LGPD – Lei 13.709/18), os agentes de tratamento devem adotar medidas adequadas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
A ausência de políticas específicas de proteção a dados de perfis sensíveis pode, portanto, configurar violação legal, com impacto regulatório, reputacional e operacional.
O caso envolvendo o BC e o Pix evidencia uma fragilidade importante no ecossistema financeiro nacional: a exposição de credenciais críticas sem camadas adicionais de controle ou validação organizacional. Ainda que o Banco Central mantenha critérios rígidos de integração, a dependência de operadores humanos em camadas intermediárias — especialmente prestadores de serviço terceirizados — cria pontos de vulnerabilidade sistêmica.
Esse tipo de incidente compromete:
Para mitigar riscos semelhantes a esse caso envolvendo o Pix, recomenda-se:
A fraude em questão envolvendo o Pix reforça que a segurança cibernética não depende exclusivamente de infraestrutura tecnológica, mas também da governança sobre quem opera e tem acesso a essa tecnologia.
A proteção dos dados pessoais de perfis estratégicos, aliada a políticas de controle de acesso e segmentação de responsabilidades, deve ser tratada como eixo fundamental da estratégia de segurança da informação das organizações.
________________
* Juliana Roman é mestre em Direito pela Universidade Federal do Rio Grande do Sul (UFRGS), em parceria com o Centro de Estudos Europeus e Alemães (CDEA/DAAD). Especialista em Compliance pela Fundação Getulio Vargas (FGV). Especialista em Direito do Consumidor pela Universidade de Coimbra (FD/UC). Especialista em Direito Digital pela Fundação Escola Superior do Ministério Público (FMP). Graduada em Direito pela Pontifícia Universidade Católica do Rio Grande do Sul (PUCRS).
