Maior Golpe com Pix no Brasil: Entenda o Caso que Desviou R$ 800 Milhões de Instituições Financeiras
O maior golpe com Pix já registrado no país
Um esquema criminoso considerado o maior golpe com Pix no Brasil abalou o sistema financeiro nacional em julho de 2025. Estima-se que cerca de R$ 800 milhões foram desviados por meio de transações fraudulentas envolvendo contas de instituições financeiras conectadas ao sistema do Banco Central por meio da empresa C&M Software.
A Polícia Civil de São Paulo conduz as investigações do caso que já é tratado como o mais grave incidente financeiro com uso do Pix desde a criação do sistema. O esquema teve como principal facilitador um funcionário terceirizado da empresa C&M, que forneceu acessos legítimos aos criminosos. O episódio escancara falhas de segurança na gestão de credenciais internas e acende o alerta sobre engenharia social no setor financeiro.
Entenda os detalhes do golpe, quem são os envolvidos, como o desvio foi realizado, o impacto para bancos, fintechs e clientes, e quais medidas estão sendo tomadas para conter novos ataques.
C&M e a conexão com o sistema Pix do Banco Central
A C&M Software é uma empresa multinacional de tecnologia financeira que atua no Brasil como prestadora de serviços para instituições que desejam se conectar ao Sistema de Pagamentos Brasileiro (SPB) e ao Pix, sistema instantâneo de transferências do Banco Central.
No Brasil, a C&M oferece infraestrutura de interligação para 23 instituições financeiras, incluindo fintechs, bancos de pequeno porte e outras empresas que operam dentro do ecossistema do Pix. Ou seja, ela funciona como uma ponte tecnológica entre os bancos e o sistema regulado do BC.
Essa intermediação exige alto nível de segurança cibernética e confiabilidade, mas, como o caso revelou, acessos internos indevidos colocam todo o sistema em risco — mesmo sem que haja invasão direta de hackers.
Como foi realizado o maior golpe com Pix no Brasil
O desvio milionário teve início a partir de uma falha interna de segurança. Um funcionário terceirizado da C&M, identificado como João Nazareno Roque, foi preso na manhã do dia 4 de julho de 2025. Ele confessou ter fornecido login e senha de acesso ao sistema da empresa para criminosos, que, com essas informações legítimas, realizaram as transferências fraudulentas.
Diferentemente de ataques cibernéticos convencionais, não houve invasão dos sistemas por métodos externos, como malware ou phishing. Todo o esquema foi possível graças ao uso indevido de credenciais válidas, o que caracteriza uma forma de engenharia social e acesso privilegiado corrompido.
Segundo os investigadores, todas as operações ilícitas ocorreram através do Pix, o que reforça o caráter inovador — e preocupante — desse tipo de fraude.
Valores desviados e contas congeladas
A estimativa inicial da polícia é que foram desviados, no total, R$ 800 milhões. O número ainda pode aumentar, já que as investigações estão em andamento. Apenas da empresa BMP, o prejuízo declarado foi de R$ 514 milhões, tornando-se o maior valor individualizado entre as vítimas conhecidas até o momento.
Ao menos oito instituições financeiras foram impactadas pelo esquema, entre elas a Credsystem e o Banco Paulista, além da já mencionada BMP. A lista completa não foi revelada pelas autoridades.
Durante a apuração, a polícia conseguiu bloquear uma conta com R$ 270 milhões, além de congelar R$ 15 milhões em criptomoedas. As instituições financeiras envolvidas e os nomes dos titulares das contas-alvo não foram divulgados, mas o congelamento dos ativos suspeitos já está sendo coordenado com o Ministério Público e a Polícia Federal.
O papel da engenharia social no golpe com Pix
A grande inovação — e ameaça — desse caso foi o uso da engenharia social para obtenção de acesso privilegiado. O colaborador terceirizado da C&M não precisou ser coagido fisicamente nem manipulado psicologicamente em um esquema externo: ele voluntariamente compartilhou informações confidenciais, como login e senha, com terceiros.
Esse tipo de falha interna, conhecida como insider threat, é uma das mais difíceis de prevenir, pois ocorre dentro do perímetro de segurança da empresa, por alguém autorizado. Por isso, a importância de reforçar políticas de compliance, controle de acessos e monitoramento de comportamento de funcionários.
Riscos sistêmicos e o impacto para o ecossistema Pix
O maior golpe com Pix no Brasil evidencia um risco que vai além do valor financeiro. Ele coloca em xeque a confiança no sistema de pagamentos instantâneos do Banco Central, que se consolidou nos últimos anos como um dos mais eficientes e seguros do mundo.
Desde sua implementação, o Pix revolucionou as transferências no país, sendo usado por milhões de brasileiros diariamente. No entanto, casos como esse demonstram que a segurança não depende apenas da tecnologia, mas também da gestão de pessoas e processos internos.
As instituições financeiras que usam intermediárias para se conectar ao Pix, como a C&M, devem agora reavaliar todos os seus protocolos de segurança e exigir auditorias externas para garantir a integridade dos serviços prestados.
Cenário regulatório e medidas emergenciais
Diante da gravidade do caso, o Banco Central e a Polícia Federal já foram acionados para colaborar com a investigação e atuar no bloqueio de ativos desviados. O setor financeiro também espera que, nos próximos dias, sejam anunciadas medidas regulatórias emergenciais, como:
-
Obrigatoriedade de autenticação multifator (MFA) em sistemas que operam com Pix;
-
Auditorias em prestadoras de serviço que atuam como gateway para instituições financeiras;
-
Protocolos de monitoramento de comportamento interno, voltados para detecção de anomalias em acessos.
Especialistas também alertam para a necessidade de criação de uma base de dados unificada de fraudes relacionadas ao Pix, a fim de facilitar a troca de informações entre bancos, fintechs e autoridades.
Clientes devem se preocupar com a segurança do Pix?
Apesar do golpe ter causado grande comoção, é importante frisar que o Pix em si não foi comprometido. A estrutura central do sistema de pagamentos instantâneos continua íntegra, segura e operando normalmente.
O problema ocorreu na camada de acesso de empresas terceiras, o que reforça a importância de os bancos escolherem fornecedores confiáveis, com estrutura robusta e cultura de segurança da informação.
Para os clientes, a principal recomendação continua sendo: manter seus aplicativos atualizados, ativar autenticação em dois fatores, nunca compartilhar senhas e desconfiar de mensagens suspeitas.
O que acontece agora: próximos passos da investigação
As autoridades devem aprofundar a apuração para identificar:
-
Outros colaboradores da C&M que possam estar envolvidos;
-
Destinos dos recursos desviados;
-
Conexões entre os titulares das contas receptadoras e os autores do golpe;
-
Fluxos de lavagem de dinheiro usando criptomoedas.
A expectativa é que, com o apoio da Polícia Federal e da Justiça, mais ativos possam ser recuperados. A prisão de João Nazareno Roque é considerada um avanço importante, mas a complexidade do esquema ainda desafia os investigadores.
Conclusão: maior golpe com Pix exige revisão de segurança no setor financeiro
O caso envolvendo o maior golpe com Pix no Brasil marca um ponto de inflexão na segurança do sistema financeiro nacional. Embora o Pix siga sendo uma solução eficiente, barata e confiável para milhões de brasileiros, o episódio escancara que os riscos mais perigosos podem estar dentro das próprias empresas.
A lição deixada por esse caso vai além do prejuízo bilionário: mostra a necessidade urgente de revisar políticas de acesso, reforçar treinamentos de segurança interna e implementar tecnologias de monitoramento em tempo real.
As próximas semanas devem ser decisivas para entender os desdobramentos jurídicos e econômicos desse escândalo, que já entra para a história como a maior fraude financeira com uso de Pix no Brasil.
