Ataque a C&M Software: lo que se sabe del desvío de cuentas de reserva ligadas a Pix
Credenciales legítimas de un operador de TI se usaron para enviar transferencias desde cuentas de reserva en el Banco Central de Brasil. La policía habla de R$ 541 millones; otras estimaciones llegaron a R$ 1.000 millones.
Referencia histórica: 4 de julio de 2025. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- C&M Software, que conecta a instituciones menores con el sistema financiero, fue usada para desviar dinero de cuentas de reserva en el Banco Central de Brasil. El desvío ocurrió en la madrugada del 30 de junio.
- El monto confirmado por la policía es de unos R$ 541 millones, de BMP. Las cifras de R$ 800 millones y de más de R$ 1.000 millones que circularon los primeros días son estimaciones.
- No hubo intrusión técnica: según la policía, un operador de TI entregó credenciales legítimas y fue detenido el 3 de julio.
- Parte del dinero se convirtió en cripto: entre 30 y 40 millones de dólares, según el investigador ZachXBT. La Justicia bloqueó R$ 270 millones en una cuenta.
São Paulo, 4 de julio de 2025 — Cuatro días después del ataque a C&M Software, aún faltan respuestas sobre el monto total, los autores y el destino del dinero, pero el diseño del delito está claro: nadie rompió la criptografía de Pix. Alguien con acceso legítimo entregó la llave.
- Pérdida declarada por BMP a la policía (único monto atribuido oficialmente a una víctima)
- R$ 541 mill.
- Instituciones con acceso no autorizado a las cuentas de reserva, según BMP
- 6
- Bloqueados por la Justicia en una cuenta que recibió parte del dinero
- R$ 270 mill.
- Estimación inicial divulgada por parte de la prensa, no confirmada
- R$ 1.000 mill.
Qué ocurrió
C&M Software es una empresa paulista que ofrece infraestructura de conexión con el Banco Central de Brasil a instituciones que no tienen una propia, como las fintechs de cuenta digital. Según Reuters, el ataque ocurrió el lunes 30 de junio y el Banco Central solo lo hizo público el miércoles 2 de julio. Decrypt ubica las órdenes de transferencia fraudulentas entre las 4:00 y las 7:00 de ese día, y la policía abrió la investigación el mismo 30 de junio.
Los recursos salieron de cuentas de reserva, mantenidas directamente en el Banco Central y usadas solo para la liquidación entre instituciones. No son cuentas de clientes. BMP, la víctima más citada, dijo a Reuters que los clientes no fueron afectados y que tiene garantías para cubrir el monto desviado. BMP afirmó que ella y otras cinco instituciones tuvieron accesos no autorizados a las cuentas de reserva.
- 30/06Entre las 4:00 y las 7:00, salen órdenes de Pix fraudulentas desde cuentas de reserva de seis instituciones. La policía abre la investigación ese mismo día, tras una denuncia.
- 02/07El Banco Central hace público el caso y ordena a C&M bloquear el acceso de las instituciones a la infraestructura que opera.
- 03/07La Policía Civil de São Paulo detiene, por la noche, a un operador de TI de C&M. El Banco Central cambia la suspensión cautelar de C&M por una suspensión parcial.
- 04/07La policía detalla el caso. El Banco Central suspende a Transfeera, Soffy y Nuoro Pay de Pix, por precaución.
Cómo se hizo el ataque
C&M dijo haber sido víctima directa del ataque. El director comercial de la empresa, Kamal Zogheib, afirmó a Reuters que los delincuentes usaron de forma fraudulenta credenciales de clientes y que los sistemas críticos de la empresa permanecieron íntegros.
La policía añadió el elemento central: reclutamiento de alguien de adentro. Según CNN Brasil, el operador de TI de C&M detenido, de 48 años, confesó haber sido reclutado por terceros y haber ayudado a los delincuentes a entrar en el sistema y a pedir transferencias Pix al Banco Central. Decrypt, citando las investigaciones, relató pagos que suman R$ 15.000 por las credenciales y por ayuda en el armado del software usado.
Pix y la infraestructura del Banco Central funcionaron como fueron diseñados: la solicitud de transferencia vino de un acceso autorizado. El eslabón débil fue la persona y su entorno de trabajo. El patrón recuerda la filtración por soborno de agentes de soporte de Coinbase y, de otro modo, el ataque a Bybit, en el que personas autorizadas firmaron una orden adulterada: la tecnología resiste, el acceso humano no.
Cuánto se desvió: qué está confirmado y qué es estimación
Las cifras cambiaron cada hora. Separarlas ayuda a leer los titulares:
| Monto | Quién lo dijo | Estado |
|---|---|---|
| R$ 541 millones (R$ 542 millones en un pasaje) | Policía Civil de SP, a partir de la denuncia de BMP | Declarado por una víctima; es el monto oficial más alto |
| Al menos R$ 400 millones | Prensa, 2 y 3 de julio | Estimación inicial |
| Cerca de R$ 800 millones | Estimaciones de prensa y de analistas on-chain | Estimación, sin confirmación oficial |
| Más de R$ 1.000 millones | Parte de la prensa el primer día | Estimación; una fuente oficial dijo que los montos no llegaban a miles de millones |
Una autoridad consultada por Reuters, sin identificarse, dijo que C&M atiende a unas dos docenas de instituciones pequeñas y que los montos no llegaban a miles de millones de reales. El Banco Central no divulgó una lista de víctimas ni el total.
A dónde fue el dinero
El dinero fue pulverizado mediante Pix y transferencias a cuentas en otras instituciones y, en parte, convertido en cripto. El Banco Central suspendió cautelarmente de Pix, por hasta 60 días, a Transfeera, Soffy y Nuoro Pay, mientras investiga si tienen vínculo con el desvío. Transfeera dijo que ni ella ni sus clientes fueron afectados y que sus demás servicios siguen con normalidad.
El analista on-chain ZachXBT estimó, según Decrypt, que al menos entre 30 y 40 millones de dólares se cambiaron por bitcoin, ether y USDT mediante mesas OTC y casas de cambio de América Latina antes de que se congelaran cuentas. Es una estimación hecha por rastreo público de billeteras, no un dato oficial. En paralelo, la Justicia ordenó el bloqueo de R$ 270 millones en una cuenta que recibió parte del dinero.
La conversión rápida es típica: quien desvía dinero por Pix intenta transformarlo en un activo que cruce fronteras antes de que llegue el bloqueo. La trazabilidad de las redes públicas, sin embargo, ayuda a la policía, y emisores como Tether congelan saldos cuando reciben solicitudes formales.
La respuesta del Banco Central
- Desconectó a C&M de la infraestructura y ordenó bloquear el acceso de las instituciones clientes a la estructura que ella opera.
- El 3 de julio cambió la suspensión cautelar por una suspensión parcial, después de que la empresa adoptara medidas para reducir el riesgo de nuevos incidentes.
- El 4 de julio suspendió de Pix a Transfeera, Soffy y Nuoro Pay. La base es el art. 95-A del reglamento de Pix, que permite suspender a un participante cuya conducta ponga en riesgo el funcionamiento del arreglo, informó Poder360.
Qué deben sacar las empresas de este caso
El caso no cambia la seguridad de Pix para quien lo usa en el día a día, pero es una alerta para cualquier empresa que dependa de proveedores y de accesos privilegiados:
La investigación sigue abierta: faltan la identificación de los mandantes, el total desviado y la lista oficial de víctimas. Este texto reúne lo que era público el 4 de julio; las cifras nuevas dependen de comunicaciones del Banco Central y de la policía.
Preguntas frecuentes
¿Fue hackeado Pix en el ataque a C&M Software?
No. Según la policía, no hubo intrusión técnica en Pix ni en el Banco Central: se usaron credenciales legítimas, con la ayuda de un operador de TI, para enviar solicitudes de transferencia. El Banco Central desconectó a C&M por precaución.
¿Se desvió dinero de clientes?
BMP, la principal víctima, afirmó que el desvío ocurrió en cuentas de reserva mantenidas en el Banco Central, usadas solo para la liquidación entre instituciones, sin impacto en las cuentas de los clientes. Hasta el 4 de julio no había confirmación oficial de pérdidas de clientes.
¿Cuánto se desvió en el ataque a C&M?
El monto oficial más alto es el de BMP, de unos R$ 541 millones, declarado a la policía. Cifras de R$ 800 millones y de más de R$ 1.000 millones circularon como estimaciones. El Banco Central no divulgó el total hasta el 4 de julio.
¿Qué es una cuenta de reserva?
Es la cuenta que algunas instituciones financieras mantienen en el Banco Central para liquidar entre sí los pagos, incluidos los de Pix. No es una cuenta de cliente; el saldo es de la propia institución.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- Ataque contra C&M Software atinge contas reservas de instituições financeiras (Reuters) · InfoMoney, 2 jul 2025
- Polícia Civil de SP prende suspeito de envolvimento em ataque cibernético à C&M Software (Reuters) · Forbes Brasil, 4 jul 2025
- Ataque hacker desviou R$ 541 milhões em massa, diz polícia · CNN Brasil, 4 jul 2025
- BC suspende 3 instituições do Pix após ataque cibernético · Poder360, 4 jul 2025
- How a Hacker Spent Only $2.7K to Steal $140 Million From Brazilian Banks · Decrypt, 4 jul 2025
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
