Resumen
- C & M Software Ltda. es la misma empresa legal brasileña, CNPJ 03.215.009/0001-08, que recibió una autorización PSTI documentada en 2020 y que el Banco Central do Brasil ahora lista como “en proceso de salida ordenada” bajo su régimen de credenciales posterior a 2025.
- El incidente de julio de 2025 no derribó el motor central de liquidación de Pix, pero mostró cómo un proveedor de acceso puede convertirse en una superficie de control concentrada para los mensajes, credenciales, configuraciones de fraude, decisiones de soporte y opciones de migración de varias instituciones.
- C&M dice que el ataque comenzó con ingeniería social y uso indebido de credenciales válidas, no con un defecto en su software. Esa distinción no resuelve la cuestión de control más difícil: si el acceso privilegiado, las comprobaciones de integridad de las transacciones, la detección de anomalías y la segregación cliente-proveedor eran lo suficientemente sólidos como sistema combinado.
- Las reglas PSTI revisadas de Brasil hacen que el comprador sea un supervisor continuo, no un cliente pasivo. Las instituciones deben mantener claves de firma privadas, validar las transacciones antes de firmarlas, monitorear al proveedor y poder ejecutar un cambio ordenado sin llevar la confianza anterior a un nuevo entorno.
- La evidencia pública no revela por qué C&M está en la categoría de salida ordenada, cuándo terminará ese proceso, la pérdida consolidada final del fraude de 2025 o el resultado de la revisión independiente que la empresa dijo haber encargado. Esas son lagunas materiales, no invitaciones a adivinar.
El raíl de pagos que adquirió horario de oficina
Durante un breve período en julio de 2025, el hecho más revelador sobre C & M Software fue un horario. Pix está diseñado para uso continuo, pero las operaciones conectadas a C&M solo podían reanudarse en días laborables entre las 6:30 a. m. y las 6:30 p. m. Cada institución participante debía dar su consentimiento expreso, la monitorización de fraude debía reforzarse y debían aplicarse límites de transacciones. El Banco Central do Brasil, o BCB, primero ordenó que las instituciones se desconectaran de la infraestructura que operaba C&M; luego reemplazó la suspensión cautelar por una suspensión parcial después de las medidas de mitigación.Reuters informó los términos de ese retorno controlado, mientras queFolha de S.Paulo describió el monitoreo más estrecho del regulador.
Esa ventana de doce horas no fue simplemente una estadística de interrupción. Hizo visible una capa que normalmente desaparece detrás de la marca Pix. El BCB opera el Sistema de Pagamentos Instantâneos, o SPI, como la única infraestructura central de Brasil para liquidar pagos instantáneos entre instituciones. Procesa cada instrucción individualmente en tiempo real; una vez liquidada, la transferencia es final e irrevocable. Los participantes directos liquidan a través de cuentas PI dedicadas en el banco central, sin sobregiros. Esas sonlas propias descripciones del BCB sobre el SPI. Sin embargo, no todas las instituciones construyen y ejecutan cada conexión, interfaz de mensajes, consola de operaciones, regla de fraude y proceso de soporte por sí mismas. Un Provedor de Serviços de Tecnologia da Informação, o PSTI, puede procesar datos para acceder a la Rede do Sistema Financeiro Nacional, la RSFN.
C&M ocupaba esa brecha. No era Pix, no era el banco central y, como el BCB enfatizó después del ataque, no era un contratista del banco central. Vendía tecnología a instituciones que necesitaban una ruta hacia la infraestructura de pagos regulada. Esa distinción importa. El SPI central podía permanecer disponible mientras un grupo de instituciones conectadas perdía o restringía su camino hacia él. Los saldos de los clientes podían permanecer intactos mientras se alegaba que se había movido dinero perteneciente a instituciones financieras desde cuentas de liquidación.
Un ataque podía explotar una autoridad de apariencia legítima en lugar de romper la criptografía del raíl central.
Esta es la proposición central del artículo: el producto económicamente importante nunca fue meramente una conexión. Era una centralita operada de forma privada para la infraestructura financiera pública. El proveedor podía reducir el costo y la carga de implementación de cada cliente al agrupar sistemas y personas especializados. Las mismas economías de alcance podían concentrar el conocimiento operativo, los flujos de trabajo privilegiados y las decisiones de recuperación.
El incidente de 2025 de C&M, seguido por la aparición de la empresa en la categoría actual de salida ordenada del BCB, convierte esa proposición de una preocupación abstracta de subcontratación en una prueba práctica de cómo se gobierna el borde de pagos de Brasil.
Una empresa, tres preguntas de estado diferentes
El puente de identidad es inusualmente sólido, pero el lenguaje de estado requiere cuidado inusual. Una consulta actual de empresa pública basada en datos del registro federal identificaC & M Software Ltda., CNPJ03.215.009/0001-08, como una sociedad limitada activa en Barueri, São Paulo, abierta el 8 de junio de 1999 y clasificada principalmente bajo desarrollo y licencia de programas de computadora no personalizables.La página CNPJ actual de Serasa Experian registra esos detalles. El mismo CNPJ aparece en la identidad comercial CMSW de larga data de la empresa y en la misma dirección de Barueri en su sitio web.
Una segunda pregunta es el estado regulatorio histórico. En un extracto publicado en el diario oficial de Brasil el 22 de mayo de 2020, el BCB declaró que había autorizado a C&M Software Ltda., CNPJ 03.215.009/0001-08, como PSTI el 20 de mayo bajo la entonces aplicable Circular 3.970.El aviso del Diário Oficial es explícito. Es evidencia sólida de que la empresa asignada y el proveedor históricamente autorizado son la misma entidad. La propia historia de C&M dice que desempeñó este papel mucho antes y fue el primer proveedor aprobado por el banco central, pero esas afirmaciones de origen más amplias son declaraciones de la empresa y no sustitutos del acto publicado en la gaceta.
La tercera pregunta es el estado actual de PSTI bajo un régimen que cambió después de los ataques de 2025. La página RSFN actual del BCB divide a los proveedores nombrados en tres conjuntos. Gokei, JD Consultores y Sinqia se muestran en el nuevo proceso de credenciales y cumplen con la Instrucción 664. Tivit y Topaz se muestran en proceso de credenciales y ajuste sin clientes. ABBC y“PSTI CMSW (C&M Software) – CNPJ: 03.215.009/0001-08”se muestran“en proceso de salida ordenada” bajo la Resolución 498.
Estos tres hechos pueden coexistir. El registro corporativo de la empresa puede estar activo. Su autorización PSTI de 2020 puede ser auténtica. Su fila regulatoria actual puede ser, no obstante, una fila de salida ordenada en lugar de la cohorte de credenciales. La existencia corporativa no es credencial PSTI; la autorización histórica no es prueba de permiso actual; y un proceso de salida ordenada no es prueba de que la empresa de software haya cesado toda línea de negocio.
La página del BCB no indica por qué C&M está en esa categoría. La Resolución 498 proporciona varias vías y poderes en torno a la transición, medidas cautelares, descertificación y salida, pero la fila pública no dice qué hechos se aplicaron a CMSW. La cronología crea una pregunta obvia porque el ataque de 2025 precedió al nuevo régimen. No prueba que el incidente causara la clasificación actual. Tampoco la página revela una fecha de finalización de la salida o el alcance preciso de la actividad permitida durante la transición.
La conclusión responsable es, por lo tanto, estrecha: al 17 de julio de 2026, la propia lista actual del regulador no respalda describir a C&M como un PSTI actualmente acreditado. Respalda describir a C&M como el proveedor legal exacto que ahora figura en un proceso de salida ordenada.
Esa conclusión entra en conflicto con el tono del marketing actual de C&M. Lapágina de inicio de CMSW dice que está “homologada” por BACEN, y la página actual de Corner anuncia un modelo “PSTI Clásico” con infraestructura CMSW completa y cumplimiento total del banco central. Esas son afirmaciones de la empresa en tiempo presente. Pueden describir productos, estado histórico, arreglos de transición o la propia interpretación de la empresa; las páginas no reconcilian las afirmaciones con la tabla actual del BCB. En un mercado de acceso regulado, un comprador debe resolver ese conflicto a partir del regulador y el contrato propuesto antes de tratar una página de ventas como autoridad.
Lo que Corner realmente controlaba
La propuesta de valor de C&M es más fácil de entender siguiendo el trabajo de una institución de pagos en lugar de enumerar módulos de software. Un banco pequeño, fintech, cooperativa de crédito, corredor o institución de pagos quiere ofrecer Pix y otros servicios. Su aplicación orientada al cliente puede crear la instrucción, pero la institución aún necesita gestionar las reglas de participación, intercambiar mensajes estandarizados, llegar a la RSFN, mantener certificados, controlar la liquidez, conciliar la liquidación, monitorear el fraude, responder a excepciones operativas y mantener el servicio a través de fallas.
Construir esas capacidades directamente significa combinar conectividad regulada con operaciones de pago especializadas las 24 horas del día.
La plataforma Corner de C&M prometía comprimir esa carga. Supágina de producto actualdice que la plataforma conecta instituciones al BCB a través del Sistema de Pagamentos Brasileiro tradicional y el SPI. Anuncia Pix, Open Finance, la Nova Plataforma de Cobrança, boletos y servicios de pago más antiguos; integración con sistemas heredados comunes; mensajería a través de un front end o servicios web; puntuación de fraude y reglas de comportamiento; soporte de liquidez; vistas de tesorería; y disponibilidad continua. La página propone tres patrones de implementación para “Corner 2026”: un modelo clásico que utiliza infraestructura CMSW, un arreglo híbrido que comparte operación con un centro de datos CMSW, y una instalación in situ con el cliente reteniendo más soberanía tecnológica y CMSW proporcionando soporte especializado de tercera línea.
Esos modelos asignan el control de manera diferente. En un arreglo completamente gestionado, el proveedor puede poseer más de la red, procesamiento, monitoreo y ruta de soporte. Eso puede acelerar la entrada y reducir la necesidad del cliente de mantener experiencia rara en RSFN. Un modelo híbrido puede mover componentes de aplicación o datos sin mover necesariamente el conocimiento operativo. Una licencia in situ puede poner la infraestructura de ejecución bajo el techo de la institución mientras la deja dependiente de código propietario, conocimiento de versiones e ingenieros de escalada.
“In situ” no es, por lo tanto, sinónimo de “independiente”, así como “gestionado” no es sinónimo de “no controlado”.
Un documento histórico de C&M presentado como un plan de negocios y técnico de Corner proporciona más detalles, aunque no debe leerse como una auditoría del sistema de 2026. Describe consolas web, servicios de mensajes, acceso a través de la RSFN, arreglos VPN, firewalls de clientes, comunicaciones redundantes, controles de tesorería y el uso del SPB como contingencia para Pix. También describe controles en torno a la liquidez de la cuenta PI de un participante: saldos, reglas de contribución y rescate, simulaciones cuando otros servicios de liquidación están cerrados, aprobaciones y notificaciones operativas.El documento es un mapa útil del diseño reclamado por C&M, pero su antigüedad y procedencia limitan lo que prueba sobre el entorno involucrado en 2025 o el producto que se ofrece ahora.
La unidad económica que se vendía era, por lo tanto, más amplia que paquetes que se movían entre dos puntos finales. Corner se ubicaba donde la instrucción comercial de un cliente se convertía en un mensaje aceptable para un sistema regulado. Ayudaba a determinar cómo se autenticaba, aprobaba, programaba, observaba, conciliaba y escalaba una instrucción. Sus consolas y API podían convertirse en la memoria operativa del equipo de pagos del cliente. Su personal de soporte podía convertirse en las personas que entendían por qué un mensaje fallaba a las 2 a. m.
Sus configuraciones de fraude podían mediar en el punto en que una credencial válida producía una transacción aparentemente válida.
Esa amplitud explica tanto la atracción como el peligro. La infraestructura de pagos compartida puede ser más barata y confiable que cada pequeña institución recreándola. Los especialistas ven más modos de falla y pueden mantener equipos dedicados. Pero cuando varios clientes comparten el mismo proveedor, un defecto, una ruta de acceso comprometida, una mala versión o una decisión de emergencia lenta pueden cruzar fronteras institucionales. El beneficio más profundo del producto (el conocimiento concentrado) está al lado de su riesgo más profundo (el control concentrado).
De una instrucción a dinero irrevocable
La arquitectura se vuelve más clara si la transacción se separa en etapas de control. Primero, un cliente o una institución crea un pago previsto. Segundo, la institución aplica reglas de cuenta, autorización, fraude y cumplimiento. Tercero, los sistemas construyen el mensaje Pix apropiado y establecen un canal seguro. Cuarto, el participante autentica y firma lo que pretende enviar. Quinto, el mensaje llega al SPI operado por el BCB a través de la red regulada. Finalmente, la liquidación cambia los saldos en las cuentas PI y se vuelve irrevocable.
Un PSTI puede ayudar en varias etapas sin poseer legalmente la decisión del cliente. Por eso, frases como “conecta un banco a Pix” son útiles y peligrosamente imprecisas. La conectividad de red es solo una dependencia. La formación de mensajes, el manejo de certificados, los permisos de API, el acceso a la consola, las colas de excepciones, las vistas de liquidez y los límites de fraude pueden determinar si la institución sabe lo que está autorizando.
Si un atacante puede hacer que una instrucción fraudulenta parezca operativamente normal antes de la firma final o puede usar una ruta legítima con privilegios excesivos, el sistema central puede hacer exactamente lo que fue diseñado para hacer: liquidar una instrucción válidamente presentada.
La evidencia de 2025 no establece la cadena completa utilizada por los atacantes. El relato de C&M dice que el incidente comenzó con un uso indebido de credenciales, mientras que los informes policiales alegaron que un empleado de la empresa facilitó el acceso no autorizado. No hay un informe forense final público que mapee cada comando, escalada de permisos, acción de certificado y aprobación de transacción. Sería imprudente llenar ese vacío con una explotación técnica imaginada. No obstante, es posible identificar las preguntas arquitectónicas que una investigación defendible respondería.
¿Quién generó cada instrucción? ¿Qué identidad, dispositivo y ruta de red la inició? ¿Qué vio la institución antes de firmar? ¿El proveedor poseía, almacenaba o alcanzaba algún material de firma privado? ¿Qué aprobaciones humanas y de máquina se requerían para cambios inusuales en valor, volumen o destino? ¿Los entornos de los clientes estaban segregados lo suficientemente fuerte como para que el acceso asociado con una institución no pudiera afectar a otra? ¿Los controles de fraude operaban antes de la liquidación, o principalmente la observaban? ¿Podía una identidad de soporte invocar una API destinada a una institución?
¿El tiempo, la velocidad y la concentración de las transferencias diferían lo suficiente de las normas de las instituciones afectadas como para detener en lugar de simplemente alertar?
Estas preguntas distinguen cuatro controles que el marketing a menudo fusiona en “seguridad”. La seguridad del canal protege la ruta. La seguridad de la identidad establece quién o qué está presente. La integridad de la transacción establece que los datos exactos aprobados son los datos firmados y enviados. El control conductual pregunta si una acción aparentemente autorizada es plausible. Un canal seguro con una identidad comprometida puede transportar una instrucción fraudulenta perfectamente. El acceso multifactor a un rol con privilegios excesivos aún puede ser inseguro.
Una puntuación predictiva que llega después de una liquidación irrevocable puede ser impresionante e inútil al mismo tiempo.
Las reglas revisadas de Brasil ahora hacen explícita esa separación. El cliente debe mantener sus claves de firma privadas y validar la integridad de la transacción antes de la firma. El proveedor debe construir trazabilidad y monitoreo en tiempo real. Diferentes certificados deben servir a diferentes entornos y funciones. Estos no son controles redundantes. Son un intento de evitar que una sola cuenta de proveedor, credencial de cliente o atajo operativo colapse toda la cadena de intención.
La noche de la brecha, sin una falsa precisión
La cronología pública comienza alrededor de la noche del 30 de junio al 1 de julio de 2025. El 2 de julio,Reuters informóque C&M había informado al BCB de un ciberataque a su infraestructura tecnológica. El regulador ordenó bloquear el acceso de las instituciones financieras a la infraestructura operada por C&M. BMP, una institución afectada, dijo que el acceso no autorizado llegó a cuentas de reserva mantenidas en el banco central para la liquidación interbancaria, pero no afectó las cuentas de los clientes ni los saldos internos. Reuters citó una fuente diciendo que C&M servía a unas dos docenas de instituciones más pequeñas, mientras subrayaba que las estimaciones de pérdidas reportadas diferían y no se había dado un total oficial.
El relato de C&M evolucionó hacia una sesión pública detallada de preguntas y respuestas el 3 de julio. La empresa dijo que la evidencia entonces disponible apuntaba a que un empleado fue inducido mediante ingeniería social a compartir credenciales, posiblemente seguido del uso de más credenciales o mecanismos de autenticación. Negó una vulnerabilidad técnica o una invasión directa de sus sistemas críticos. Dijo que revocó credenciales y claves, aisló el entorno afectado, invocó el Mecanismo Especial de Devolución de Pix, solicitó reversiones, notificó a las autoridades y clientes, y encargó una evaluación forense externa. También dijo que los productos estaban segregados y que el incidente involucró una simulación de transacciones Pix específica del cliente.La sesión de Q&A es la posición de la empresa, no un hallazgo independiente.
La empresa también reconoció elecciones de control que importan. Dijo que Corner ofrecía aprobaciones, controles de canal y tiempo, autenticación multifactor, un piloto de operación de reserva y otras configuraciones de seguridad, pero que algunos clientes no activaron todos los controles disponibles. Dijo que estaba revisando la gobernanza de API, las políticas de incorporación y acceso externo, y consideraría requisitos de seguridad obligatorios más altos.
Ese relato implica un límite de responsabilidad compartida: el proveedor proporcionó opciones, los clientes configuraron algunas de ellas, y se abusó de una ruta de acceso de apariencia legítima. No establece si la opcionalidad era apropiada para el riesgo, si los valores predeterminados seguros eran lo suficientemente sólidos, o si los controles a nivel de proveedor deberían haber detenido la actividad independientemente de la configuración del cliente.
Los informes independientes agregaron alegaciones, no un veredicto técnico final.The Associated Press informóque la policía de São Paulo acusó a un empleado de C&M de vender credenciales y ayudar a otros a obtener acceso no autorizado. La policía dijo que se habían desviado más de R$540 millones de una institución financiera, que las pérdidas totales podrían ser mayores y que se habían bloqueado R$270 millones.CNN Brasil reportó una cifra policial de R$542 millones para BMPy citó al BCB aclarando que ni C&M ni su personal eran contratistas del banco central. Estas fueron afirmaciones y declaraciones investigativas preliminares sobre un presunto delito. Un arresto o acusación no es una condena, y los montos asociados con una institución no son necesariamente un total final.
Las estimaciones de prensa oscilaron aún más. Folha y otros medios reportaron cifras alrededor de R$800 millones o R$1 mil millones, mientras Reuters citó una fuente que disputaba un total de mil millones. La empresa se negó a confirmar un valor. La elección responsable no es promediar los números o elevar el titular más grande.
El núcleo verificado es más estrecho: los fondos pertenecientes a instituciones financieras se vieron afectados; al menos un relato policial situó el monto para BMP por encima de R$540 millones; se informó que los saldos de depósitos de los clientes no se vieron afectados; la infraestructura central de Pix del BCB no fue descrita como vulnerada; y la pérdida consolidada final permanece sin revelar en la evidencia revisada aquí.
La secuencia de recuperación importa tanto como el monto. El BCB primero desconectó a las instituciones dependientes, luego permitió la operación controlada en días laborables de 6:30 a. m. a 6:30 p. m. después de la mitigación, con monitoreo más fuerte, límites y consentimiento del cliente. C&M dijo que el servicio DICT y la operación controlada de Pix regresaron. La restricción redujo la exposición inmediata pero también demostró el costo de continuidad de la dependencia: las instituciones que dependían del proveedor no podían simplemente desviarlo sin trabajo regulatorio, técnico y operativo.
“Credenciales válidas” es el comienzo de la investigación
La distinción de C&M entre credenciales comprometidas y una vulnerabilidad de software es técnicamente significativa. No es exculpatoria por sí misma. Un desbordamiento de búfer, un componente sin parche, una contraseña robada, un empleado sobornado y un rol de soporte mal definido son diferentes mecanismos de falla. Requieren diferentes remedios. Sin embargo, un sistema de control de pagos debe estar diseñado para la posibilidad de que una identidad autorizada se vuelva hostil o sea suplantada de manera convincente.
La seguridad que funciona solo mientras cada titular de credenciales sea confiable es una política de personal, no una arquitectura de transacciones resiliente.
Por lo tanto, el episodio de 2025 plantea una pregunta más útil que “¿El código fue hackeado?”: ¿cuánta autoridad dañina podía ensamblar una ruta comprometida antes de que otra intervención independiente actuara? La respuesta depende del menor privilegio, la segregación de funciones, el aislamiento del cliente, la firma de transacciones, los límites de comportamiento y la escalada humana. Si las credenciales de un empleado por sí solas no podían crear o aprobar mensajes, un atacante necesitaría una segunda capacidad independiente.
Si la institución afectada validaba los datos de pago exactos antes de usar una clave que solo ella controlaba, el acceso del proveedor no sería suficiente. Si el volumen nocturno inusual causaba una parada dura, la velocidad trabajaría en contra del atacante en lugar del defensor.
Nada de esto prueba que un control faltante en particular causara el incidente de C&M. La evidencia pública no es lo suficientemente granular. Explica por qué los requisitos posteriores del regulador se centran en estos puntos. La Instrucción 664 exigía a los proveedores existentes fortalecer las trazas de extremo a extremo, la retención segura y el acceso del cliente a los registros, revisar el acceso privilegiado y remoto, y monitorear las conexiones externas y los patrones de acceso inusuales. LaResolución 498 actualdice que un PSTI no debe tener acceso a las claves privadas utilizadas para firmar mensajes del sistema de pagos. Exige monitoreo de fraude en tiempo real, las 24 horas, capaz de evaluar el valor, volumen y tasa atípicos antes de la presentación, no meramente después de la liquidación.
El principio es que la autenticidad y la plausibilidad deben estar separadas. Un certificado válido puede establecer que un mensaje provino de una identidad criptográfica esperada. No puede establecer que la instrucción económica subyacente fuera intencionada. Una cuenta de soporte legítima puede establecer que un operador reconocido inició sesión. No puede establecer que el operador debería haber alcanzado la acción de producción de un cliente a esa hora. El consentimiento de un cliente para usar un proveedor gestionado puede establecer un contrato. No puede transferir el deber del cliente de saber qué sale de su cuenta.
La misma lógica se aplica a los “controles opcionales”. Los proveedores de software a menudo permiten a los clientes intercambiar fricción por velocidad. En una aplicación comercial ordinaria, un comprador puede elegir racionalmente aprobaciones más ligeras. En una ruta de liquidación irrevocable en tiempo real, una opción que protege contra una transacción catastrófica pero plausible puede convertirse en parte del producto mínimo seguro. La Resolución 498 se mueve en esa dirección al convertir varios controles en condiciones de participación y al imponer deberes tanto al proveedor como a la institución.
La pregunta difícil de adquisición para cualquier cliente de C&M no es si una característica existe en un folleto. Es si la característica es obligatoria en la ruta relevante, independientemente verificable e incapaz de ser deshabilitada por la misma identidad que se supone debe restringir.
Brasil reescribió el acuerdo PSTI
La respuesta regulatoria del BCB se extendió más allá de C&M. En septiembre de 2025, citando la participación del crimen organizado en ataques recientes a instituciones financieras y de pago, el banco central impuso un límite inmediato de R$15,000 en transferencias Pix y TED para instituciones de pago sin autorización completa y para instituciones que se conectan a través de PSTI.El anuncio del BCBdijo que la restricción podría eliminarse después de demostrar los controles, mientras también endurecía los cambios de acceso, dirección IP y el cronograma para la autorización institucional.
La Resolución 498 luego reemplazó un concepto relativamente ligero de autorización de proveedor con un marco más completo de acreditación y supervisión. Según se modificó a principios de 2026, requiere una estructura legal brasileña, capacidad técnica y administrativa compatible, funciones de gobernanza y control, políticas cibernéticas y de fraude, auditoría independiente, seguro operativo y de responsabilidad civil, y al menos R$15 millones en capital pagado y patrimonio. El BCB puede exigir más en proporción al volumen de transacciones, número de clientes y riesgo.
El reglamento dice explícitamente que la acreditación no es una autorización general para realizar la actividad económica del proveedor. Por eso el lenguaje de estado cuidadoso importa: una empresa de software puede continuar existiendo y vendiendo otros productos mientras carece del estado requerido para un servicio particular de RSFN.
La Instrucción 664 proporcionó detalles técnicos urgentes para los proveedores que ya operaban en septiembre de 2025. Exigía trazas de auditoría de extremo a extremo, reglas de retención, registros seguros disponibles para los clientes para conciliación y gestión de riesgos, controles de acceso más estrictos y monitoreo de acceso externo o privilegiado anómalo. Un informe de aseguramiento razonable de un auditor independiente registrado en el regulador de valores de Brasil era parte de la evidencia de cumplimiento.
Esto es materialmente diferente de que un proveedor diga que encargó una evaluación: la institución y el regulador necesitan un alcance definido, estándar, lista de excepciones y estado de remediación.
El BCB separó además la autoridad de firma del transporte.La Instrucción 667exigía que las instituciones que buscaran alivio del límite de Pix atestiguaran que no compartían claves de firma privadas con el PSTI ni almacenaban esas claves en su entorno. Los certificados accesibles a un proveedor debían ser revocados y reemplazados. Los clientes debían usar credenciales distintas en producción y prueba, y entre la firma de mensajes y el establecimiento del canal, revisar los permisos incluidos los de contratistas, y validar la integridad de la transacción.
En enero de 2026, el BCB ajustó el régimen mediante la Resolución 547. Aclaró los requisitos de gobernanza y riesgo, permitió capital proporcionado al riesgo por encima del mínimo, fortaleció la descertificación y amplió el plazo de transición para que los PSTI existentes solicitaran una nueva acreditación a ocho meses.La nota explicativa del BCBdijo que las instituciones que usaran un PSTI permanecerían bajo el límite de R$15,000 para Pix y TED hasta que su proveedor completara con éxito la acreditación. La regla transitoria dice que un proveedor existente que no solicite dentro del plazo es descertificado de oficio y debe ejecutar un plan de salida ordenada. Sin embargo, sería un error inferir de esa cláusula general que la fila de C&M resultó de una solicitud perdida; la lista actual no indica la razón.
El acuerdo resultante es más caro y más honesto. Un PSTI aún puede dar a las instituciones más pequeñas escala y acceso especializado. A cambio, el proveedor debe demostrar capacidad financiera, evidencia de control independiente y una arquitectura de seguridad más sólida. La institución no puede externalizar la responsabilidad. Debe monitorear continuamente la gobernanza, el riesgo cibernético, la gestión de fraudes y la continuidad; mantener documentación e informes de auditoría; implementar los controles requeridos; reportar fallas materiales; retener sus claves de firma; y verificar el mensaje que firma.
La subcontratación cambia quién realiza el trabajo. No cambia quién posee el resultado regulado.
La salida ordenada es un programa de tecnología
“Salida ordenada” suena administrativo. En un sistema de pagos es un programa de ingeniería y operación que se ejecuta mientras el servicio antiguo aún puede ser crítico. La Resolución 498 dice que el plan debe priorizar limitar el impacto en las instituciones clientes y en el funcionamiento regular del SFN y SPB. Ese objetivo es engañosamente compacto. Un cliente no puede cambiar un borde de pagos cambiando un nombre de dominio y copiando una base de datos.
La transición comienza con la elegibilidad legal y regulatoria. El proveedor receptor debe tener la acreditación actual apropiada, o la institución debe calificar y construir una ruta directa. Los registros de participación, los puntos de contacto y las responsabilidades operativas deben cambiar. El acceso a la red debe establecerse a través de las dos redes de telecomunicaciones independientes de la RSFN (el BCB dice que cada participante debe usar ambas) y luego probarse para fallas y recuperación. Los firewalls, direcciones, rutas, certificados de canal y monitoreo necesitan una nueva propiedad.
Sigue el trabajo de aplicación. Los mensajes de Pix y SPB tienen versiones definidas, reglas de validación y ciclos de vida. La nueva ruta debe reproducir transformaciones específicas del cliente, idempotencia, reintentos, acuses de recibo, manejo de excepciones y conciliación sin duplicar ni perder una instrucción. Los mensajes históricos y la evidencia de auditoría deben permanecer disponibles para revisión regulatoria y disputas. El personal de tesorería necesita una visibilidad confiable de la cuenta PI. Las reglas de fraude deben moverse sin perder líneas base ni otorgar al nuevo proveedor un período de aprendizaje ciego.
Las interfaces con el core bancario, libros mayores, aplicaciones de clientes, sistemas de cumplimiento y herramientas de soporte necesitan pruebas paralelas.
La confianza debe regenerarse, no transferirse. En febrero de 2026, el BCB emitióel Aviso SPI 003/2026, informando a los participantes que cada vez que cambien un entorno tecnológico, modelo de conexión o proveedor con acceso a certificados, deben emitir nuevos certificados de canal y firma, desactivar los antiguos con el BCB y revocarlos ante la autoridad de certificación. El aviso también solicita nuevos certificados cuando se sospeche fraude. Este es un principio de salida crucial: la migración está incompleta si las credenciales antiguas aún pueden ejercer autoridad.
La distinción entre certificados se agudizó en junio de 2026. El material de seguridad de Pix actualizado del BCB separa los certificados utilizados para autenticar el canal de comunicación de los utilizados para firmar mensajes y prohíbe que un propósito sustituya a otro. Esa separación reduce la posibilidad de que el control sobre el transporte se convierta en control sobre el valor.
También añade trabajo: los inventarios deben ser exactos, el almacenamiento y la protección del hardware deben revisarse, la renovación de certificados debe ensayarse, y la reversión no puede significar restaurar silenciosamente una ruta de confianza comprometida.
Los tres modelos de implementación anunciados por C&M ilustran por qué la salida de cada cliente es diferente. Un cliente en un modelo clásico de infraestructura CMSW puede necesitar un entorno de destino completo. Un cliente híbrido puede controlar algunos componentes de la aplicación pero aún depender del centro de datos y el conocimiento operativo de CMSW. Un cliente in situ puede tener el tiempo de ejecución pero carecer de capacidad a nivel de fuente o soporte especializado de tercera línea. La posesión de activos no es independencia operativa.
Un plan de salida creíble identifica cada dependencia irreducible antes de una crisis y prueba la ruta de alejamiento de ella mientras el proveedor actual está saludable.
La lista actual del BCB no revela el cronograma a nivel de cliente de C&M, los proveedores de destino, el alcance residual o los criterios de finalización. Esos detalles pueden ser apropiadamente confidenciales. Su ausencia significa que los externos no pueden juzgar qué tan lejos ha progresado la salida.
Los clientes y reguladores, sin embargo, deberían poder responder un conjunto mensurable de preguntas: cuántas instituciones siguen dependiendo; qué servicios de mensajes aún atraviesan al proveedor; si se han emitido nuevas credenciales; si cada cliente ha completado las pruebas de ruta dual; cómo se desempeñaron las excepciones de conciliación; y qué evento permite la desactivación de la ruta antigua.
El soporte es parte del límite de seguridad
El software de pagos a menudo se compra como tecnología y se experimenta como soporte. Un mensaje fallido a las 3 a. m. puede no anunciar si la causa es el core del cliente, la transformación del proveedor, un certificado, una ruta de red, un cambio en las reglas del SPI o una liquidez insuficiente. La resolución más rápida depende de personas que puedan ver a través de esas capas. La ventaja reclamada por C&M (larga experiencia en mensajería SPB y Pix) sería más valiosa precisamente en esos momentos.
Eso crea una concentración poco examinada. Los ingenieros de tercera línea y los analistas operativos pueden acumular una visibilidad amplia y privilegios excepcionales porque los equipos de clientes ordinarios no pueden resolver los casos más difíciles. El acceso de emergencia puede eludir el flujo de trabajo normal para que los pagos se reanuden rápidamente. Las herramientas de soporte compartidas pueden conectar muchos entornos de clientes. Un pequeño grupo de personas puede entender el reemplazo de certificados, el reprocesamiento de mensajes y la coordinación con el regulador.
Su conocimiento mejora la resiliencia mientras sus cuentas, dispositivos, horarios de trabajo y juicio se convierten en parte de la superficie de ataque.
La presunta participación de un empleado de C&M en 2025 hace inevitable el control del personal, pero la respuesta no puede reducirse a capacitar al personal para que no divulgue credenciales. Un diseño de soporte resiliente asume que la coerción, el soborno, la fatiga, el error y la toma de control de cuentas son posibles. Utiliza privilegio justo a tiempo, aprobación separada para acciones de producción, identidad vinculada al dispositivo, grabación de sesiones, registros visibles para el cliente, particiones estrechas del cliente, caducidad forzada y paradas de comportamiento.
Evita que una identidad de soporte genere o apruebe instrucciones que conllevan valor. Hace que una elevación de emergencia sea lo suficientemente conspicua como para que otra persona deba explicarla mientras ocurre.
La compensación y la dotación de personal también pertenecen a la diligencia debida, aunque el registro público no es suficiente para juzgar las prácticas de C&M. Un proveedor que vende disponibilidad continua necesita turnos lo suficientemente profundos para evitar un operador indispensable. Necesita liderazgo de incidentes designado, soporte bilingüe o local cuando sea relevante, rutas de contacto probadas con el BCB y las autoridades de certificación, y sucesión para especialistas que entienden los servicios SPB más antiguos.
Los compradores deben inspeccionar la rotación en roles privilegiados, la política de verificación de antecedentes, los tiempos de revocación de acceso y la proporción entre ingenieros de guardia y clientes críticos. Una declaración brillante de servicio 24/7 no dice nada sobre si la tercera persona en una escalada está despierta, autorizada y practicada.
La evidencia del soporte debe basarse en resultados. Las medidas útiles incluyen el tiempo para reconocer una falla de mensaje regulatorio, el tiempo para aislar a un cliente, el tiempo para revocar un certificado, la antigüedad de las excepciones de conciliación no resueltas, las tasas de falsos negativos y falsos positivos en los controles de fraude, la frecuencia del acceso privilegiado y el rendimiento de la recuperación durante ejercicios no anunciados. La resolución promedio de tickets puede ocultar el único incidente de pago que importa.
Por lo tanto, un proveedor debe informar las rutas críticas por separado y permitir que los clientes vean sus propias trazas.
Finalmente, los deberes de soporte deben sobrevivir a la terminación del contrato y la salida regulatoria. El proveedor actual puede tener menos incentivos comerciales para retener expertos mientras los clientes migran, justo cuando el conocimiento histórico es más necesario. Un plan de salida ordenada debe financiar un equipo de transición segregado, identificar el riesgo de persona clave, requerir manuales de operación actuales y preservar los niveles de respuesta durante el corte. La continuidad no se logra si la infraestructura permanece encendida pero las personas que la entienden se van primero.
El precio de la delegación
C&M no publica una tarifa PSTI general. Su página de Corner dirige a los clientes potenciales al contacto de ventas, mientras que un FAQ de Pix Automático dice que un servicio específico se factura a través de mensajería y no conlleva cargos de configuración adicionales ni tarifas mensuales sorpresa para los usuarios existentes de Corner. Esa es una declaración de marketing limitada, no una lista de precios completa. Cualquier estimación de los términos comerciales generales de C&M sería, por lo tanto, especulación.
La lógica de costos del producto aún puede analizarse. Un servicio PSTI gestionado reemplaza varios gastos visibles: conectividad de red dual, entornos seguros, ingenieros de pagos especializados, software de mensajes, certificados, monitoreo, pruebas, operaciones frente al regulador y soporte continuo. El proveedor puede distribuir los costos fijos entre los clientes. Una institución pequeña puede llegar a Pix más rápido y con un equipo más experimentado del que podría reunir por sí sola. El precio por mensaje también alinea algunos gastos con el volumen de transacciones.
Pero la factura es solo la primera capa. Los costos de implementación incluyen mapear los datos del core bancario en mensajes de pago, establecer entornos, incorporar identidades, establecer umbrales de fraude, ejecutar pruebas de homologación, capacitar operaciones y demostrar la conciliación. La economía recurrente puede combinar una tarifa de plataforma o soporte, cargos por uso, módulos, conectividad, almacenamiento, soporte de auditoría y niveles de servicio más altos. El cambio regulatorio crea trabajo adicional. Los términos de protección de datos publicados por C&M dicen que los requisitos legales o regulatorios modificados pueden generar costos a negociar, y que las auditorías solicitadas por el cliente pueden facturarse al cliente.La política también establece responsabilidades de auditoría e incidentes, aunque es un documento contractual de la empresa, no un informe de control verificado de forma independiente.
El riesgo añade otro precio. Los deducibles de seguro, los colchones de capital, las pérdidas por fraude, el asesoramiento en incidentes, el trabajo forense, la remediación del cliente y las restricciones regulatorias pueden eclipsar los ahorros en suscripciones. El límite de transferencia de R$15,000 impuesto a las instituciones que utilizan proveedores que no han completado el nuevo proceso de acreditación puede alterar la economía del producto de un cliente incluso cuando su tecnología aún funciona. Un producto de tesorería o pagos comerciales se vuelve menos útil si las transferencias rutinarias exceden el límite.
El estado del proveedor es, por lo tanto, una característica comercial con consecuencias inmediatas en los ingresos.
La salida es la capa final y a menudo la menos valorada. Un cliente que ahorra al usar consolas, transformaciones y conocimiento operativo propietarios puede luego pagar por infraestructura paralela, extracción de datos, nuevos certificados, soporte dual y meses de pruebas. El costo de cambio aumenta con cada regla no documentada, configuración de fraude controlada por el proveedor e integración que existe solo en la cabeza del proveedor actual. La implementación in situ puede reducir el costo de migración de infraestructura pero preservar la dependencia de la aplicación y la experiencia.
Una cotización mensual más baja puede así comprar una opción futura más cara.
Una comparación racional utiliza el costo total de control en lugar del costo por mensaje. Agregue implementación, supervisión interna, aseguramiento independiente, ejercicios de incidentes, trabajo de cambio regulatorio y una salida financiada. Luego compare el riesgo residual: cuánto valor puede moverse antes de una parada independiente; cuántos clientes comparten un dominio de falla; qué tan rápido se puede reemplazar una clave; y si una ruta alternativa ha llevado alguna vez un mensaje de prueba real. El proveedor más barato no es el que tiene la tarifa más baja.
Es el que entrega el resultado de pago requerido con el menor costo combinado de operación, supervisión, falla y salida.
La competencia es una elección de arquitectura de control
La página actual de proveedores del BCB nombra solo un pequeño conjunto de transición, pero no debe usarse para calcular la participación de mercado. Muestra tres proveedores en proceso de acreditación y que cumplen con la Instrucción 664, dos en ajuste sin clientes y dos en salida ordenada. La página no dice que este sea un censo económico completo de cada proveedor de software, conexión directa o arreglo dentro del grupo. El propio sitio web de C&M muestra cifras de participación de mercado cambiantes que parecen generarse dinámicamente y no están acompañadas de una metodología auditable.
No son evidencia adecuada para porcentajes de concentración.
Las opciones competitivas son, sin embargo, identificables. Una institución puede buscar otro PSTI exitosamente acreditado, construir capacidad directa de RSFN y SPI cuando su forma regulatoria lo permita, usar un proveedor de tecnología dentro del grupo bajo la excepción de segregación del régimen, o reconsiderar si necesita participación directa en un servicio particular de Pix. La participación directa e indirecta en Pix también asigna funciones de liquidación y directorio de manera diferente. Cada opción cambia el costo y el control en lugar de simplemente reemplazar un logotipo por otro.
Otro proveedor gestionado ofrece el sustituto funcional más cercano. Puede reducir la complejidad de la migración si admite el mismo catálogo de mensajes y sistemas heredados familiares. El comprador aún debe preguntar si “proveedor diferente” significa dominio de falla diferente. Dos marcas pueden compartir un centro de datos, operador de telecomunicaciones, proceso de certificados, componente de software, subcontratista de seguridad o pequeño grupo de personal especializado. La concentración debe mapearse a través de cuartas partes e infraestructura común, no contarse por nombre de proveedor.
La operación directa aumenta el control pero también crea una nueva institución operativa dentro de la institución. Necesita personas que puedan seguir los lanzamientos del catálogo, mantener ambas redes RSFN, proteger claves, gestionar la liquidez, monitorear el fraude continuamente y coordinar incidentes. La ganancia de seguridad existe solo si el comprador puede ejecutar esas tareas mejor que un especialista. Una conexión directa con poco personal puede intercambiar la concentración del proveedor por el riesgo de persona clave y un mantenimiento más débil.
Un proveedor dentro del grupo puede alinear incentivos y retener conocimiento, pero puede compartir gobernanza, sistemas de identidad y gestión de crisis con la institución financiera que se supone debe proteger. La Resolución 498 enmendada exime a los proveedores de procesamiento del mismo grupo del marco PSTI externo completo mientras exige segregación operativa y controles técnicos y de seguridad aplicables. Eso no es una licencia para colapsar deberes. El grupo debe demostrar que el compromiso de un entorno corporativo ordinario no puede convertirse en autoridad de pago.
Los estándares internacionales refuerzan esta visión de arquitectura. Lametodología CPMI-IOSCO para proveedores críticos de serviciospregunta sobre riesgo empresarial, seguridad de la información, confiabilidad, planificación tecnológica y dependencias de terceros. Losprincipios de 2025 del Comité de Basilea para el riesgo de tercerostratan la concentración, la dependencia de la cadena de suministro, la gestión del ciclo de vida y la salida como responsabilidades del banco. Estos estándares no seleccionan a C&M o a un rival. Explican por qué una decisión de adquisición debe cubrir el gráfico de dependencia completo y permanecer revisable durante todo el contrato.
Para C&M, la competencia ahora tiene una dimensión temporal. Una página de producto puede continuar anunciando Corner 2026, implementación híbrida y soporte especializado. Una institución regulada que necesita acceso a RSFN debe comenzar con la evidencia de estado actual del BCB. Si un servicio propuesto depende de que C&M actúe como PSTI externo, el comprador necesita confirmación escrita de la base legal, el alcance de la transición y el cronograma permitido por la autoridad relevante.
Si la propuesta es una licencia de software in situ, un servicio de soporte o un producto no PSTI, el comprador debe definir qué funciones reguladas permanecen y cuáles no con C&M. La ambigüedad sobre el rol es en sí misma una falla de control.
Doce pruebas de adquisición
La respuesta útil al incidente de 2025 no es un cuestionario cibernético genérico. Un comprador debe ejecutar pruebas que hagan observables los límites de control antes de confiar pagos de producción a cualquier proveedor. Para C&M, estas pruebas también deben abordar la clasificación actual de salida ordenada.
1. Demuestre el rol legal y regulatorio.Compare el nombre legal de la contraparte y el CNPJ con el registro actual del BCB. Obtenga el estado y alcance exactos para cada fecha de servicio. Distinga entre licencia de software, procesamiento gestionado, acceso a RSFN, soporte indirecto de Pix y participación en el banco central. No acepte un aviso histórico de la gaceta o una afirmación de marketing como evidencia de acreditación actual.
2. Trace un pago de extremo a extremo.Comience con la instrucción del cliente e identifique cada sistema, identidad, transformación, aprobación, clave, certificado, cola, registro y registro de conciliación hasta la liquidación. Marque qué parte controla cada etapa. Repita para reversión, tiempo de espera, duplicado, mensaje malformado y déficit de liquidez. Las diapositivas de arquitectura no son suficientes; el comprador debe observar una transacción controlada.
3. Demuestre control exclusivo de firma.La institución debe generar y retener sus claves de firma privadas en un límite al que el proveedor no pueda acceder. Debe verificar el mensaje exacto antes de firmar. Pruebe que un administrador del proveedor, ingeniero de soporte o certificado de canal comprometido no pueda producir un mensaje válido que conlleve valor. Confirme credenciales separadas para pruebas, producción, establecimiento de canal y firma de mensajes.
4. Intente un escenario interno.Asigne a un operador de equipo rojo una identidad de soporte legítima pero limitada. Intente alcanzar a otro cliente, cambiar un límite de fraude, crear una nueva integración, reproducir un mensaje y elevar privilegios a una hora inusual. La prueba pasa solo si los controles preventivos detienen la acción dañina y la evidencia visible para el cliente explica el intento en tiempo real.
5. Pruebe valor y velocidad anómalos antes de la presentación.Simule transferencias que son individualmente permitidas pero colectivamente anormales por hora, destino, monto y tasa. Verifique cuándo ocurre una parada dura, quién puede anularla, si la anulación necesita una organización diferente y qué tan rápido se notifica a la institución. Una alerta de panel después de la liquidación irrevocable no es un control preventivo.
6. Aísle a un cliente sin detener a todos.Fuerce una falla o compromiso sospechoso en un inquilino. Mida el tiempo para revocar el acceso, rotar credenciales y preservar la evidencia. Confirme que otras instituciones continúan de manera segura y que los componentes compartidos no pueden filtrar autoridad entre particiones. Luego pruebe lo opuesto: una falla de componente común debe entrar en un estado de seguridad controlado en lugar de producir transacciones inciertas.
7. Revocar y reconstruir la confianza.Ejecute el proceso de cambio de certificado del BCB. Emita nuevos certificados, desactive los registros antiguos y revóquelos ante la autoridad de certificación. Demuestre que cada ruta antigua falla, incluidos los sistemas de contingencia y los puntos finales de prueba olvidados. Mida el tiempo del ejercicio; durante un ataque real, la recuperación de certificados es parte de la recuperación del servicio.
8. Ejecute ambas rutas de red y pierda una.La RSFN utiliza dos redes de telecomunicaciones independientes. La institución debe observar la conmutación de tráfico, capacidad, alarmas y recuperación cuando falla cualquiera de ellas. También debe mapear dependencias que puedan hacer que rutas aparentemente independientes compartan energía, instalaciones, DNS, identidad u operaciones.
9. Concilie a partir de la evidencia del cliente.El comprador debe poder reconstruir lo que se generó, aprobó, firmó, envió, acusó recibo y liquidó sin depender completamente de la consola del proveedor. Los registros deben ser a prueba de manipulaciones, conservados durante el período requerido, disponibles de inmediato y correlacionados entre identidades y mensajes. Las excepciones de muestra deben resolverse en asientos contables.
10. Inspeccione el aseguramiento independiente en lugar de las insignias.Obtenga el auditor, alcance, período, sistemas, exclusiones, excepciones y fechas de remediación para el trabajo de seguridad y continuidad. Verifique si la revisión cubrió el servicio de producción exacto y los controles posteriores al incidente. C&M dijo que encargó trabajo forense y de control externo después del ataque; un cliente regulado prospectivo debe determinar qué informe puede compartirse legalmente y qué quedó sin resolver.
11. Precie una salida completa antes de la entrada.Nombre el proveedor alternativo o modelo directo, el personal requerido, las exportaciones de datos y configuración, el plan de certificados, la duración de la ejecución paralela, las obligaciones de soporte y la interrupción máxima tolerada. Ponga los costos y niveles de servicio en el contrato. Luego realice un ejercicio de migración parcial. Un documento que nunca ha movido un mensaje no es una capacidad de salida.
12. Defina evidencia para la fase de salida ordenada.Para un cliente aún afectado por la transición de C&M, registre los hitos aprobados por el regulador, los servicios residuales, los límites permitidos, el destino de la migración, el consentimiento del cliente, las medidas de monitoreo y el evento de desmantelamiento final. Revíselos a nivel de directorio. Debido a que la página pública del BCB no explica la razón ni el cronograma, la evidencia de gobernanza privada debe ser especialmente precisa.
Lo que el registro público no puede responder
La evidencia en torno a C&M es lo suficientemente sustancial para una identidad firme y un análisis de riesgo significativo. No es suficiente para un veredicto final sobre la culpabilidad o el alcance operativo actual. Varias ausencias deben permanecer explícitas.
Primero, ningún informe forense final público revisado para este artículo establece la secuencia técnica completa del fraude de 2025. C&M dijo que la ingeniería social y el uso indebido de credenciales fueron el punto de partida y negó un defecto de software. Los informes policiales y de prensa alegaron que un empleado facilitó el acceso. Esos relatos pueden ser compatibles, pero no revelan los privilegios precisos utilizados, si se explotaron vulnerabilidades adicionales, qué mensajes fueron firmados por quién o qué control detectó primero las transferencias.
Segundo, no hay una cifra de pérdida consolidada autorizada en el registro público revisado aquí. Los informes policiales atribuyeron más de R$540 millones a BMP, mientras que otras estimaciones de prensa oscilaron hacia R$800 millones o R$1 mil millones. Se informó que algunos fondos fueron bloqueados o recuperados. El número de instituciones afectadas también varió. Un monto de procesamiento, valor de transferencia intentado, valor desviado bruto, valor bloqueado y pérdida económica final son medidas diferentes. Hasta que una autoridad las reconcilie, un solo número titular crearía una falsa certeza.
Tercero, la página actual del BCB da la categoría de C&M pero no su causa. No dice si la salida ordenada fue voluntaria, transitoria, consecuencia de una decisión de solicitud, una medida cautelar, una falla en cumplir un nuevo requisito o alguna combinación. No dice si cada cliente anterior ha migrado, qué servicios pueden continuar durante la salida o cuándo se espera la finalización. La Resolución 498 describe rutas posibles; no identifica qué ruta se aplica a C&M.
Cuarto, el marketing de productos actual no se reconcilia con ese estado. El sitio web anuncia cumplimiento total de PSTI y capacidades de acceso presentes. Puede haber una explicación legal que involucre transición, modelo de implementación, licencia de producto o servicios fuera del rol PSTI regulado. No se encontró ninguna aclaración pública aquí que mapee cada afirmación a la tabla actual del BCB. Los compradores no deben inferir ni legalidad ni ilegalidad de la discrepancia; deben exigir que el rol se resuelva.
Quinto, la evidencia de control es mayormente autodescrita. C&M publica documentos históricos de seguridad y continuidad y dice que encargó trabajo independiente después del incidente. El registro público revisado aquí no contiene el informe forense resultante, una opinión de aseguramiento independiente actual, una prueba actual de recuperación ante desastres, datos de disponibilidad específicos del cliente o evidencia de que todas las remediaciones posteriores al incidente se completaron. La ausencia de la vista pública no significa que el trabajo no exista. Significa que un lector externo no puede verificarlo.
Finalmente, la concentración en sí misma no está medida. C&M ha hecho afirmaciones históricas y actuales de participación de mercado, pero las cifras visibles varían y carecen de un método divulgado. Reuters citó alrededor de dos docenas de clientes más pequeños en el momento del ataque, mientras que las páginas de la empresa citan un alcance histórico mucho más amplio. La lista de transición del BCB no es un denominador para la participación de mercado.
Una evaluación rigurosa de la concentración necesitaría recuentos de clientes actuales, sus valores de transacción, dependencias comunes, sustituibilidad y tiempo para migrar, datos más probablemente disponibles para el regulador que para el público.
Puntos de vigilancia para C&M y sus contrapartes
El primer punto de vigilancia es la propia lista del BCB. Un cambio futuro podría mostrar la finalización de la salida ordenada, un estado diferente o una nueva explicación pública. Hasta entonces, C&M no debe ser descrito como actualmente acreditado simplemente porque su sitio web usa lenguaje PSTI en tiempo presente. A la inversa, una fila de salida ordenada no debe estirarse hasta afirmar que la empresa está en quiebra o prohibida de vender todo el software.
El segundo es la migración de clientes. La evidencia de que las instituciones se han trasladado a un proveedor exitosamente acreditado, han construido acceso directo, han reemplazado certificados y han completado la conciliación mostraría si la salida está operando según lo previsto. La evidencia de extensiones de plazo repetidas, límites de transacción persistentes o dependencia de arreglos temporales indicaría un mayor riesgo de continuidad. La medida crítica no es un anuncio de migración sino la capacidad de producción probada sin la ruta de confianza anterior.
El tercero es la divulgación de control independiente. C&M dijo que contrató trabajo forense y de seguridad externo y estaba revisando la gobernanza de API, la incorporación y el acceso. Un resumen que identifique el alcance, los hallazgos, las excepciones residuales y las fechas de cierre, sin exponer detalles explotables, mejoraría materialmente la comprensión pública de la remediación. También lo haría un informe de aseguramiento actual disponible bajo confidencialidad para los clientes. Las páginas de marketing que dicen “cumplimiento total” son más débiles que la evidencia limitada con excepciones.
El cuarto es la aplicación y el juicio. Las alegaciones policiales, los cargos penales, las demandas civiles o la acción regulatoria pueden aclarar quién hizo qué y qué cifra de pérdida es relevante. También pueden rechazar teorías tempranas. Los informes deben preservar la distinción entre alegación y hallazgo a lo largo del tiempo. Una condena posterior establecería conducta criminal por personas nombradas; aún así no respondería por sí misma a todas las preguntas de arquitectura o gobernanza.
El quinto es el reposicionamiento del producto. Los modelos clásico, híbrido e in situ de Corner 2026 sugieren que C&M puede buscar preservar los ingresos de software y experiencia incluso cuando el rol de proveedor cambia. Eso puede ser un camino legítimo, pero los contratos deben establecer quién opera la conexión regulada, quién tiene las claves, quién monitorea el fraude y qué empresa es responsable del soporte. Una licencia implementada en el cliente aún puede contener dependencias propietarias; un híbrido aún puede concentrar operaciones privilegiadas.
El sexto es la implementación por parte del regulador de su propio nuevo estándar. La tabla actual muestra un mercado en transición más que un campo establecido. Las decisiones exitosas de acreditación, los requisitos de capital más altos, los hallazgos de aseguramiento y los límites de clientes revelarán qué tan estrictamente se aplica la Resolución 498. El BCB también debe ser vigilado en cuanto a información agregada sobre la concentración de proveedores y el riesgo de migración.
Las reglas estrictas para proveedores pueden mejorar la seguridad mientras reducen involuntariamente el número de proveedores; menos proveedores más fuertes pueden aún crear una dependencia a nivel sectorial.
El último punto de vigilancia pertenece a los directorios de los clientes. La Resolución 498 impone deberes de monitoreo continuo a la institución contratante. Un directorio que trata el estado de PSTI como un certificado de adquisición en lugar de una condición operativa viva ha perdido la lección. Debe recibir medidas de acceso privilegiado, transacciones anómalas, salud de certificados, ejercicios de incidentes, excepciones de auditoría, concentración y preparación para la salida. Debe saber el valor máximo que podría salir antes de una parada independiente y el tiempo necesario para operar a través de otra ruta.
La centralita debajo de la utilidad pública
El logro de Pix no se ve disminuido al reconocer sus dependencias. El sistema central puede ser altamente disponible, final y seguro mientras el acceso en el borde sigue siendo desigual. De hecho, el incidente de 2025 demuestra una forma de resiliencia: el BCB aisló una capa de proveedor afectada, mantuvo el raíl central operativo y restauró el acceso limitado bajo controles más estrictos. También demuestra el costo de ese aislamiento para las instituciones cuya ruta dependía de C&M.
C & M Software construyó un negocio al hacer utilizable una infraestructura difícil. Reunió conocimiento de mensajes de pago, conectó sistemas heredados, ofreció consolas operativas y apoyó a instituciones que no querían reproducir la pila completa de RSFN. Eso es trabajo tecnológico real. Es precisamente por eso que la empresa se volvió importante. Cuanto más se acerca un proveedor al punto donde la intención se convierte en liquidación irrevocable, menos adecuado es evaluar al proveedor como software empresarial ordinario.
El ataque de 2025 mostró que una credencial puede ser más peligrosa que un servidor roto. La fila actual de salida ordenada muestra que la continuidad debe incluir la salida, no solo hardware redundante. El nuevo régimen regulatorio muestra que la institución debe preservar un núcleo criptográfico y operativo que no delega: sus claves, su validación de la intención de la transacción, su monitoreo del proveedor y su capacidad de cambiar de ruta.
No hay un atajo basado en evidencia para un juicio final sobre C&M. El relato de la empresa sobre ingeniería social es plausible y parcialmente reflejado en los informes policiales, pero la cadena forense pública está incompleta. El estado actual del regulador es claro, pero su razón no lo es. Las afirmaciones de productos del sitio web son visibles, pero su relación con el proceso de salida ordenada no está resuelta. Esas tensiones deben permanecer visibles en lugar de suavizarse en vindicación o condena.
La conclusión más duradera se refiere al diseño del mercado. Los proveedores compartidos permiten que instituciones más pequeñas se unan a una infraestructura pública sofisticada. También crean puntos de estrangulamiento privados debajo de un servicio universal. La respuesta de Brasil después de 2025 (capital, seguro, aseguramiento independiente, separación de claves, controles de fraude previos a la liquidación, supervisión del cliente y salida ordenada) reconoce que un PSTI no es una tubería neutral. Es una superficie de control crítica.
Para cualquier institución que considere el software de C&M, migre desde su servicio de proveedor o seleccione un sucesor, la pregunta decisiva no es “¿Puede este proveedor conectarnos a Pix?” sino “¿Qué poderes concentrará esta conexión, qué poderes permanecerán independientemente nuestros, y podemos probar ambas respuestas en la peor noche del contrato?” Pix puede liquidarse en segundos. La confianza en la centralita debajo de él debe diseñarse durante años.