Pix après les heures: C & M Software et le standard téléphonique concentré sous les paiements instantanés du Brésil

Résumé

• C & M Software Ltda. est la même société légale brésilienne, CNPJ 03.215.009/0001-08, qui a reçu une autorisation PSTI documentée en 2020 et que la Banco Central do Brasil liste désormais comme « en cours de sortie ordonnée » dans le cadre de son régime de certification post-2025.
• L’incident de juillet 2025 n’a pas fait tomber le moteur de règlement central de Pix, mais il a montré comment un fournisseur d’accès peut devenir une surface de contrôle concentrée pour les messages, les identifiants, les paramètres de fraude, les décisions de support et les options de migration de plusieurs institutions.
• C&M déclare que l’attaque a commencé par de l’ingénierie sociale et une utilisation abusive d’identifiants valides plutôt que par un défaut dans son logiciel. Cette distinction ne règle pas la question de contrôle la plus difficile: si l’accès privilégié, les contrôles d’intégrité des transactions, la détection d’anomalies et la ségrégation client-fournisseur étaient suffisamment solides en tant que système combiné.
• Les règles PSTI révisées du Brésil font de l’acheteur un superviseur continu, et non un client passif. Les institutions doivent conserver les clés de signature privées, valider les transactions avant de les signer, surveiller le fournisseur et être capables d’exécuter un changement ordonné sans transporter l’ancienne confiance dans un nouvel environnement.
• Les preuves publiques ne divulguent pas pourquoi C&M est dans la catégorie de sortie ordonnée, quand ce processus se terminera, la perte consolidée finale de la fraude de 2025, ou le résultat de la revue indépendante que l’entreprise dit avoir commandée. Ce sont des lacunes matérielles, pas des invitations à deviner.

Le rail de paiement qui a acquis des heures de bureau

Pendant une brève période en juillet 2025, le fait le plus révélateur sur C & M Software était un horaire. Pix est conçu pour une utilisation continue, mais les opérations connectées à C&M ne pouvaient reprendre que les jours ouvrables entre 6h30 et 18h30. Chaque institution participante devait consentir expressément, la surveillance des fraudes devait être renforcée et des limites de transaction devaient être appliquées. La Banco Central do Brasil, ou BCB, avait d’abord ordonné la déconnexion des institutions de l’infrastructure exploitée par C&M; elle a ensuite remplacé la suspension préventive par une suspension partielle après des mesures d’atténuation.Reuters a rapporté les termes de ce retour contrôlé, tandis queFolha de S.Paulo a décrit la surveillance renforcée du régulateur.

Cette fenêtre de douze heures n’était pas simplement une statistique de panne. Elle a rendu visible une couche qui disparaît généralement derrière la marque Pix. La BCB exploite le Sistema de Pagamentos Instantâneos, ou SPI, comme l’infrastructure centrale unique du Brésil pour le règlement des paiements instantanés entre institutions. Elle traite chaque instruction individuellement en temps réel; une fois réglée, un transfert est final et irrévocable. Les entités directs règlent via des comptes PI dédiés à la banque centrale, sans découverts. Ce sontles propres descriptions de la BCB du SPI. Pourtant, toutes les institutions ne construisent et n’exploitent pas elles-mêmes chaque connexion, interface de messagerie, console d’exploitation, règle de fraude et processus de support. Un Provedor de Serviços de Tecnologia da Informação, ou PSTI, peut traiter des données pour l’accès à la Rede do Sistema Financeiro Nacional, le RSFN.

C&M occupait cette couture. Ce n’était ni Pix, ni la banque centrale et, comme la BCB l’a souligné après l’attaque, pas un contractant de la banque centrale. Il vendait de la technologie aux institutions qui avaient besoin d’une voie d’accès à l’infrastructure de paiement réglementée. Cette distinction est importante. Le SPI central pouvait rester disponible tandis qu’un groupe d’institutions connectées perdait ou restreignait son chemin vers lui. Les soldes des clients pouvaient rester intacts tandis que de l’argent appartenant à des institutions financières était prétendument déplacé des comptes de règlement.

Une attaque pouvait exploiter une autorité d’apparence légitime plutôt que de briser la cryptographie du rail central.

Voici la proposition centrale de l’article: le produit économiquement important n’a jamais été simplement une connexion. C’était un standard téléphonique exploité en privé pour l’infrastructure financière publique. Le fournisseur pouvait réduire le coût et la charge de mise en œuvre de chaque client en mutualisant des systèmes et des personnes spécialisés. Les mêmes économies de scope pouvaient concentrer les connaissances opérationnelles, les workflows privilégiés et les décisions de rétablissement.

L’incident de 2025 chez C&M, suivi par l’apparition de l’entreprise dans la catégorie actuelle de sortie ordonnée de la BCB, transforme cette proposition d’une préoccupation abstraite d’externalisation en un test pratique de la gouvernance de la périphérie de paiement brésilienne.

Une entreprise, trois questions de statut différentes

Le pont d’identité est inhabituellement solide, mais le langage de statut nécessite une prudence inhabituelle. Une recherche actuelle dans les registres publics basée sur les données du registre fédéral identifieC & M Software Ltda., CNPJ03.215.009/0001-08, comme une société à responsabilité limitée active à Barueri, São Paulo, ouverte le 8 juin 1999 et classée principalement sous le développement et la licence de programmes informatiques non personnalisables.La page CNPJ actuelle de Serasa Experian enregistre ces particularités. Le même CNPJ apparaît dans l’identité commerciale CMSW de longue date de l’entreprise et à la même adresse de Barueri sur son site Web.

Une deuxième question est le statut réglementaire historique. Dans un extrait publié au journal officiel brésilien le 22 mai 2020, la BCB a déclaré avoir autorisé C&M Software Ltda., CNPJ 03.215.009/0001-08, en tant que PSTI le 20 mai en vertu de la circulaire 3.970 alors applicable.L’avis du Diário Oficial est explicite. C’est une preuve solide que l’entreprise assignée et le fournisseur historiquement autorisé sont la même entité. La propre histoire de C&M dit qu’elle a joué ce rôle bien plus tôt et était le premier fournisseur approuvé par la banque centrale, mais ces affirmations d’origine plus larges sont des déclarations de l’entreprise plutôt que des substituts à l’acte officiel.

La troisième question est le statut PSTI actuel sous un régime qui a changé après les attaques de 2025. La page RSFN actuelle de la BCB divise les fournisseurs nommés en trois ensembles. Gokei, JD Consultores et Sinqia sont indiqués dans le nouveau processus de certification et conformes à l’instruction 664. Tivit et Topaz sont indiqués en certification et ajustement sans clients. ABBC et« PSTI CMSW (C&M Software) – CNPJ: 03.215.009/0001-08 »sont indiqués« en cours de sortie ordonnée » en vertu de la Résolution 498.

Ces trois faits peuvent coexister. L’enregistrement corporatif de l’entreprise peut être actif. Son autorisation PSTI de 2020 peut être authentique. Sa ligne réglementaire actuelle peut néanmoins être une ligne de sortie ordonnée plutôt que la cohorte de certification. L’existence corporative n’est pas la certification PSTI; l’autorisation historique n’est pas une preuve de permission actuelle; et un processus de sortie ordonnée n’est pas une preuve que la société de logiciels a cessé toute ligne d’activité.

La page de la BCB ne précise pas pourquoi C&M est dans cette catégorie. La Résolution 498 prévoit plusieurs voies et pouvoirs concernant la transition, les mesures préventives, la décertification et la sortie, mais la ligne publique ne dit pas quels faits s’appliquaient à CMSW. La chronologie crée une question évidente car l’attaque de 2025 a précédé le nouveau régime. Elle ne prouve pas que l’incident a causé la classification actuelle. La page ne divulgue pas non plus de date d’achèvement de la sortie ou la portée précise de l’activité autorisée pendant la transition.

La conclusion responsable est donc étroite: au 17 juillet 2026, la liste actuelle du régulateur ne permet pas de décrire C&M comme un PSTI actuellement certifié. Elle permet de décrire C&M comme le fournisseur légal exact maintenant listé dans un processus de sortie ordonnée.

Cette conclusion entre en conflit avec le ton du marketing actuel de C&M. Lapage d’accueil de CMSW dit qu’elle est « homologuée » par BACEN, et la page Corner actuelle fait la promotion d’un modèle « PSTI Clássico » avec une infrastructure CMSW complète et une conformité totale à la banque centrale. Ce sont des affirmations de l’entreprise au présent. Elles peuvent décrire des produits, un statut historique, des arrangements de transition ou l’interprétation de l’entreprise; les pages ne concilient pas les affirmations avec le tableau actuel de la BCB. Dans un marché d’accès réglementé, un acheteur devrait résoudre ce conflit à partir du régulateur et du contrat proposé avant de traiter une page de vente comme une autorité.

Ce que Corner contrôlait réellement

La proposition de valeur de C&M est plus facile à comprendre en suivant le travail d’une institution de paiement plutôt qu’en listant des modules logiciels. Une petite banque, une fintech, une coopérative de crédit, un courtier ou une institution de paiement veut offrir Pix et d’autres services.

Son application destinée aux clients peut créer l’instruction, mais l’institution doit encore gérer les règles de participation, échanger des messages standardisés, atteindre le RSFN, maintenir des certificats, contrôler la liquidité, concilier les règlements, surveiller les fraudes, répondre aux exceptions opérationnelles et maintenir le service en cas de panne. Construire ces capacités directement signifie combiner une connectivité réglementée avec des opérations de paiement spécialisées 24 heures sur 24.

La plateforme Corner de C&M promettait de compresser cette charge. Sapage produit actuelledit que la plateforme connecte les institutions à la BCB via le Sistema de Pagamentos Brasileiro traditionnel et le SPI. Elle fait la promotion de Pix, de l’Open Finance, de la Nova Plataforma de Cobrança, des boletos et des services de paiement plus anciens; de l’intégration avec les systèmes existants courants; de la messagerie via une interface frontale ou des services Web; du scoring de fraude et des règles comportementales; du support de liquidité; des vues de trésorerie; et de la disponibilité continue. La page propose trois modèles de déploiement pour « Corner 2026 »: un modèle classique utilisant l’infrastructure CMSW, un arrangement hybride partageant l’exploitation avec un centre de données CMSW, et une installation sur site où le client conserve plus de souveraineté technologique et CMSW fournit un support spécialisé de troisième ligne.

Ces modèles allouent le contrôle différemment. Dans un arrangement entièrement géré, le fournisseur peut posséder davantage du réseau, du traitement, de la surveillance et du chemin de support. Cela peut accélérer l’entrée et réduire le besoin du client de maintenir une expertise RSFN rare. Un modèle hybride peut déplacer des composants applicatifs ou de données sans nécessairement déplacer les connaissances opérationnelles. Une licence sur site peut mettre l’infrastructure d’exécution sous le toit de l’institution tout en la laissant dépendante du code propriétaire, des connaissances de version et des ingénieurs d’escalade.

« Sur site » n’est donc pas synonyme d’« indépendant », tout comme « géré » n’est pas synonyme d’« incontrôlé ».

Un document historique de C&M soumis comme plan d’affaires et technique de Corner donne plus de détails, bien qu’il ne doive pas être lu comme un audit du système de 2026. Il décrit des consoles Web, des services de messagerie, l’accès via le RSFN, des arrangements VPN, des pare-feu clients, une communication redondante, des contrôles de trésorerie et l’utilisation du SPB comme contingence pour Pix. Il décrit également des contrôles autour de la liquidité du compte PI d’un entité: soldes, règles de contribution et de rachat, simulations lorsque d’autres services de règlement sont fermés, approbations et notifications opérationnelles.Le document est une carte utile de la conception revendiquée par C&M, mais son âge et sa provenance limitent ce qu’il prouve sur l’environnement impliqué en 2025 ou le produit offert maintenant.

L’unité économique vendue était donc plus large que des paquets se déplaçant entre deux points d’extrémité. Corner se situait là où l’instruction commerciale d’un client devenait un message acceptable pour un système réglementé. Il aidait à déterminer comment une instruction était authentifiée, approuvée, planifiée, observée, conciliée et escaladée. Ses consoles et API pouvaient devenir la mémoire opérationnelle de l’équipe de paiement du client. Son personnel de support pouvait devenir les personnes qui comprenaient pourquoi un message échouait à 2 heures du matin.

Ses paramètres de fraude pouvaient intervenir au point où un identifiant valide produisait une transaction apparemment valide.

Cette ampleur explique à la fois l’attrait et le danger. Une infrastructure de paiement partagée peut être moins chère et plus fiable que chaque petite institution la recréant. Les spécialistes voient plus de modes de défaillance et peuvent maintenir des équipes dédiées. Mais lorsque plusieurs clients partagent le même fournisseur, un défaut, un chemin d’accès compromis, une mauvaise version ou une décision d’urgence lente peut traverser les frontières institutionnelles. Le plus grand avantage du produit – l’expertise concentrée – est adjacent à son plus grand risque – le contrôle concentré.

D’une instruction à de l’argent irrévocable

L’architecture devient plus claire si la transaction est séparée en étapes de contrôle. D’abord, un client ou une institution crée un paiement prévu. Deuxièmement, l’institution applique les règles de compte, d’autorisation, de fraude et de conformité. Troisièmement, les systèmes construisent le message Pix approprié et établissent un canal sécurisé. Quatrièmement, le entité authentifie et signe ce qu’il a l’intention d’envoyer. Cinquièmement, le message atteint le SPI exploité par la BCB via le réseau réglementé. Enfin, le règlement modifie les soldes des comptes PI et devient irrévocable.

Un PSTI peut aider à plusieurs étapes sans posséder légalement la décision du client. C’est pourquoi des phrases telles que « connecte une banque à Pix » sont à la fois utiles et dangereusement imprécises. La connectivité réseau n’est qu’une dépendance. La formation des messages, la gestion des certificats, les autorisations API, l’accès à la console, les files d’attente d’exception, les vues de liquidité et les limites de fraude peuvent déterminer si l’institution sait ce qu’elle autorise.

Si un attaquant peut rendre une instruction frauduleuse apparemment normale du point de vue opérationnel avant la signature finale ou peut utiliser un chemin légitime trop privilégié, le système central peut faire exactement ce pour quoi il a été conçu: régler une instruction valablement présentée.

Les preuves de 2025 n’établissent pas la chaîne complète utilisée par les attaquants. Le récit de C&M dit que l’incident a commencé par une utilisation abusive d’identifiants, tandis que les rapports de police alléguaient qu’un employé de l’entreprise avait permis un accès non autorisé. Il n’existe pas de rapport final d’investigation publique qui cartographie chaque commande, élévation de privilège, action sur les certificats et approbation de transaction. Il serait imprudent de combler cette lacune avec une exploitation technique imaginée.

Il est néanmoins possible d’identifier les questions architecturales auxquelles une investigation défendable devrait répondre.

Qui a généré chaque instruction? Quelle identité, quel chemin de dispositif et de réseau l’a initiée? Qu’a vu l’institution avant de signer? Le fournisseur possédait-il, stockait-il ou atteignait-il un matériel de signature privé? Quelles approbations humaines et automatiques étaient nécessaires pour des changements inhabituels de valeur, de volume ou de destination? Les environnements clients étaient-ils suffisamment ségrégués pour qu’un accès associé à une institution ne puisse pas en affecter une autre? Les contrôles de fraude fonctionnaient-ils avant le règlement, ou principalement l’observaient-ils?

Une identité de support pouvait-elle invoquer une API destinée à une institution? Le temps, la vélocité et la concentration des transferts différaient-ils suffisamment des normes des institutions affectées pour arrêter plutôt que simplement alerter?

Ces questions distinguent quatre contrôles que le marketing fusionne souvent en « sécurité ». La sécurité du canal protège la route. La sécurité de l’identité établit qui ou quoi est présent. L’intégrité de la transaction établit que les données exactes approuvées sont les données signées et envoyées. Le contrôle comportemental demande si une action apparemment autorisée est plausible. Un canal sécurisé avec une identité compromise peut parfaitement transporter une instruction frauduleuse. Un accès multifacteur à un rôle trop privilégié peut encore être dangereux.

Un score prédictif qui arrive après un règlement irrévocable peut être impressionnant et inutile à la fois.

Les règles révisées du Brésil rendent maintenant cette séparation explicite. Le client doit conserver ses clés de signature privées et valider l’intégrité de la transaction avant la signature. Le fournisseur doit construire la traçabilité et la surveillance en temps réel. Différents certificats doivent servir différents environnements et fonctions. Ce ne sont pas des contrôles redondants. Ils sont une tentative d’empêcher qu’un seul compte de fournisseur, identifiant client ou raccourci opérationnel effondre toute la chaîne d’intention.

La nuit de la brèche, sans fausse précision

La chronologie publique commence autour de la nuit du 30 juin au 1er juillet 2025. Le 2 juillet,Reuters a rapportéque C&M avait informé la BCB d’une cyberattaque sur son infrastructure technologique. Le régulateur a ordonné le blocage de l’accès des institutions financières à l’infrastructure exploitée par C&M. BMP, une institution affectée, a déclaré qu’un accès non autorisé avait atteint des comptes de réserve détenus à la banque centrale pour le règlement interbancaire mais n’avait pas affecté les comptes des clients ni les soldes internes. Reuters a cité une source disant que C&M servait environ deux douzaines de petites institutions, tout en soulignant que les estimations de pertes rapportées différaient et qu’aucun total officiel n’avait été donné.

Le récit de C&M a évolué en un Q&A public détaillé le 3 juillet. L’entreprise a déclaré que les preuves alors disponibles pointaient vers un employé induit par ingénierie sociale à partager des identifiants, suivi peut-être de l’utilisation ultérieure d’autres identifiants ou mécanismes d’authentification. Elle a nié toute vulnérabilité technique ou invasion directe de ses systèmes critiques. Elle a déclaré avoir révoqué des identifiants et des clés, isolé l’environnement affecté, invoqué le mécanisme spécial de retour de Pix, demandé des reversements, notifié les autorités et les clients, et engagé une évaluation externe. Elle a également déclaré que les produits étaient ségrégués et que l’incident impliquait une simulation de transactions Pix spécifique au client.Le Q&A est la position de l’entreprise, pas une conclusion indépendante.

L’entreprise a également reconnu des choix de contrôle importants. Elle a dit que Corner offrait des approbations, des contrôles de canal et de temps, une authentification multifacteur, un pilote d’opération de réserve et d’autres paramètres de sécurité, mais que certains clients n’activaient pas tous les contrôles disponibles. Elle a dit qu’elle examinait la gouvernance des API, l’intégration et les politiques d’accès externe et envisagerait des exigences de sécurité obligatoires plus élevées.

Ce récit implique une frontière de responsabilité partagée: le fournisseur offrait des options, les clients en configuraient certaines, et un chemin d’accès d’apparence légitime a été abusé. Il n’établit pas si l’optionalité était appropriée au risque, si les valeurs par défaut sécurisées étaient suffisamment solides, ou si les contrôles au niveau du fournisseur auraient dû arrêter l’activité indépendamment de la configuration d’un client.

Des reportages indépendants ont ajouté des allégations, pas un verdict technique final.L’Associated Press a rapportéque la police de São Paulo accusait un employé de C&M d’avoir vendu des identifiants et aidé d’autres personnes à obtenir un accès non autorisé. La police a déclaré que plus de 540 millions de R$ avaient été détournés d’une institution financière, que les pertes totales pourraient être plus élevées et que 270 millions de R$ avaient été bloqués.CNN Brasil a rapporté un chiffre policier de 542 millions de R$ pour BMPet a cité la BCB clarifiant que ni C&M ni son personnel n’étaient des contractants de la banque centrale. C’étaient des allégations et des déclarations d’investigation préliminaires concernant un crime présumé. Une arrestation ou une accusation n’est pas une condamnation, et les montants associés à une institution ne sont pas nécessairement un total final.

Les estimations de la presse allaient encore plus haut. Folha et d’autres médias ont rapporté des chiffres autour de 800 millions ou 1 milliard de R$, tandis que Reuters citait une source contestant un total d’un milliard de R$. L’entreprise a refusé de confirmer une valeur. Le choix responsable n’est pas de faire la moyenne des chiffres ou d’élever le plus grand titre.

Le noyau vérifié est plus étroit: des fonds appartenant à des institutions financières ont été affectés; au moins un compte rendu policier fixait le montant pour BMP au-dessus de 540 millions de R$; les soldes des dépôts des clients n’auraient pas été affectés; l’infrastructure Pix centrale de la BCB n’a pas été décrite comme compromise; et la perte consolidée finale reste non divulguée dans les preuves examinées ici.

La séquence de rétablissement importe autant que le montant. La BCB a d’abord déconnecté les institutions dépendantes, puis a autorisé une exploitation contrôlée en semaine de 6h30 à 18h30 après des mesures d’atténuation, avec une surveillance renforcée, des limites et le consentement du client. C&M a déclaré que le service DICT et l’exploitation contrôlée de Pix étaient revenus. La restriction a réduit l’exposition immédiate mais a également démontré le coût de continuité de la dépendance: les institutions dépendant du fournisseur ne pouvaient pas simplement le contourner sans travail réglementaire, technique et opérationnel.

« Identifiants valides » est le début de l’enquête

La distinction de C&M entre des identifiants compromis et une vulnérabilité logicielle est techniquement significative. Elle n’est pas disculpatoire en soi. Un débordement de tampon, un composant non corrigé, un mot de passe volé, un employé soudoyé et un rôle de support mal dimensionné sont des mécanismes de défaillance différents. Ils nécessitent des corrections différentes. Pourtant, un système de contrôle de paiement doit être conçu pour la possibilité qu’une identité autorisée devienne hostile ou soit convaincamment usurpée.

Une sécurité qui ne fonctionne que tant que chaque détenteur d’identifiant est digne de confiance est une politique de personnel, pas une architecture de transaction résiliente.

L’épisode de 2025 soulève donc une question plus utile que « Le code a-t-il été piraté? »: combien d’autorité dommageable un chemin compromis pourrait-il assembler avant qu’un autre contrôle indépendant n’intervienne? La réponse dépend du moindre privilège, de la séparation des tâches, de l’isolation des clients, de la signature des transactions, des limites comportementales et de l’escalade humaine. Si les seuls identifiants d’un employé ne pouvaient pas créer ou approuver des messages, un attaquant aurait besoin d’une deuxième capacité indépendante.

Si l’institution affectée validait les données exactes de paiement avant d’utiliser une clé qu’elle seule contrôlait, l’accès du fournisseur ne suffirait pas. Si un volume nocturne inhabituel causait un arrêt dur, la vitesse jouerait contre l’attaquant plutôt que pour lui.

Rien de tout cela ne prouve qu’un contrôle manquant particulier a causé l’incident C&M. Les preuves publiques ne sont pas assez granulaires. Cela explique pourquoi les exigences ultérieures du régulateur se concentrent sur ces points. L’instruction 664 exigeait des fournisseurs existants de renforcer les chemins de bout en bout, la conservation sécurisée et l’accès des clients aux journaux, de réviser l’accès privilégié et à distance, et de surveiller les connexions externes et les schémas d’accès inhabituels. LaRésolution 498 actuelledit qu’un PSTI ne doit pas avoir accès aux clés privées utilisées pour signer les messages du système de paiement. Elle exige une surveillance de la fraude en temps réel, 24 heures sur 24, capable d’évaluer les valeurs, volumes et taux atypiques avant la soumission, pas seulement après le règlement.

Le principe est que l’authenticité et la plausibilité doivent être séparées. Un certificat valide peut établir qu’un message provient d’une identité cryptographique attendue. Il ne peut pas établir que l’instruction économique sous-jacente était intentionnelle. Un compte de support légitime peut établir qu’un opérateur reconnu s’est connecté. Il ne peut pas établir que l’opérateur aurait dû atteindre l’action de production d’un client à cette heure. Le consentement d’un client à utiliser un fournisseur géré peut établir un contrat. Il ne peut pas transférer l’obligation du client de savoir ce qui quitte son compte.

La même logique s’applique aux « contrôles optionnels ». Les fournisseurs de logiciels laissent souvent les clients échanger friction contre vitesse. Dans une application commerciale ordinaire, un acheteur peut raisonnablement choisir des approbations plus légères. Dans un chemin de règlement en temps réel irrévocable, une option qui protège contre une transaction catastrophique mais plausible peut devenir une partie du produit minimum sûr. La Résolution 498 va dans cette direction en transformant plusieurs contrôles en conditions de participation et en imposant des devoirs à la fois au fournisseur et à l’institution.

La question d’approvisionnement difficile pour tout client de C&M n’est pas de savoir si une fonctionnalité existe dans un dépliant. C’est de savoir si la fonctionnalité est obligatoire dans le chemin pertinent, indépendamment testable et incapable d’être désactivée par la même identité qu’elle est censée contraindre.

Le Brésil a réécrit le contrat PSTI

La réponse réglementaire de la BCB s’est étendue au-delà de C&M. En septembre 2025, citant l’implication du crime organisé dans les récentes attaques contre les institutions financières et de paiement, la banque centrale a imposé un plafond immédiat de 15 000 R$ sur les transferts Pix et TED pour les institutions de paiement sans autorisation complète et pour les institutions se connectant via des PSTI.L’annonce de la BCBa déclaré que la restriction pouvait être levée après démonstration des contrôles, tout en renforçant l’accès, les changements d’adresse IP et le calendrier d’autorisation institutionnelle.

La Résolution 498 a ensuite remplacé un concept relativement léger d’autorisation du fournisseur par un cadre complet de certification et de supervision. Telle qu’amendée au début de 2026, elle exige une structure juridique brésilienne, une capacité technique et administrative compatible, des fonctions de gouvernance et de contrôle, des politiques de cyber et de fraude, un audit indépendant, une assurance responsabilité civile et opérationnelle, et au moins 15 millions de R$ de capital et de fonds propres. La BCB peut exiger davantage en proportion du volume de transactions, du nombre de clients et du risque.

Le règlement précise explicitement que la certification n’est pas une autorisation générale de mener l’activité économique du fournisseur. C’est pourquoi un langage de statut prudent est important: une société de logiciels peut continuer à exister et à vendre d’autres produits tout en manquant du statut requis pour un service RSFN particulier.

L’instruction 664 a fourni des détails techniques urgents pour les fournisseurs déjà en activité en septembre 2025. Elle exigeait des pistes d’audit de bout en bout, des règles de conservation, des journaux sécurisés disponibles pour les clients pour la réconciliation et la gestion des risques, un contrôle d’accès plus strict et la surveillance des accès externes ou privilégiés anormaux. Un rapport d’assurance raisonnable d’un auditeur indépendant enregistré auprès du régulateur des valeurs mobilières du Brésil faisait partie des preuves de conformité.

C’est matériellement différent d’un fournisseur disant qu’il a commandé une évaluation: l’institution et le régulateur ont besoin d’un périmètre défini, d’une norme, d’une liste d’exceptions et d’un statut de correction.

La BCB a en outre séparé l’autorité de signature du transport.L’instruction 667exigeait des institutions cherchant un allègement de la limite Pix qu’elles attestent ne pas partager les clés de signature privées avec le PSTI ni stocker ces clés dans son environnement. Les certificats accessibles à un fournisseur devaient être révoqués et remplacés. Les clients devaient utiliser des identifiants distincts pour la production et les tests et entre la signature des messages et l’établissement du canal, examiner les autorisations y compris celles des sous-traitants, et valider l’intégrité des transactions.

En janvier 2026, la BCB a ajusté le régime via la Résolution 547. Elle a clarifié les exigences de gouvernance et de risque, permis un capital proportionné au risque au-dessus du plancher, renforcé la décertification et prolongé le délai de transition pour les PSTI en place pour demander une nouvelle certification à huit mois.La note explicative de la BCBa déclaré que les institutions utilisant un PSTI resteraient sous la limite Pix et TED de 15 000 R$ jusqu’à ce que leur fournisseur réussisse la certification. La règle transitoire dit qu’un fournisseur en place qui ne demande pas dans le délai est décertifié d’office et doit exécuter un plan de sortie ordonnée. Il serait erroné, cependant, de déduire de cette clause générale que la ligne de C&M résulte d’une demande manquée; la liste actuelle n’en précise pas la raison.

Le contrat résultant est plus cher et plus honnête. Un PSTI peut encore donner aux petites institutions une échelle et un accès spécialisé. En retour, le fournisseur doit démontrer une capacité financière, une preuve de contrôle indépendant et une architecture de sécurité renforcée. L’institution ne peut pas externaliser la responsabilité. Elle doit surveiller en continu la gouvernance, le risque cyber, la gestion des fraudes et la continuité; conserver la documentation et les rapports d’audit; mettre en œuvre les contrôles requis; signaler les défaillances matérielles; conserver ses clés de signature; et vérifier le message qu’elle signe.

L’externalisation change qui effectue le travail. Elle ne change pas qui possède le résultat réglementé.

La sortie ordonnée est un programme technologique

« Sortie ordonnée » semble administratif. Dans un système de paiement, c’est un programme d’ingénierie et d’exploitation réalisé alors que l’ancien service peut encore être critique. La Résolution 498 dit que le plan doit prioriser la limitation de l’impact sur les institutions clientes et sur le fonctionnement régulier du SFN et du SPB. Cet objectif est trompeusement compact. Un client ne peut pas changer de périphérie de paiement en changeant un nom de domaine et en copiant une base de données.

La transition commence par l’éligibilité légale et réglementaire. Le fournisseur récepteur doit avoir la certification actuelle appropriée, ou l’institution doit se qualifier et construire une route directe. Les enregistrements de participation, les points de contact et les responsabilités opérationnelles doivent changer. L’accès réseau doit être établi sur les deux réseaux de télécommunication indépendants du RSFN – la BCB dit que chaque entité doit utiliser les deux – puis testé pour la panne et le rétablissement. Les pare-feu, adresses, routes, certificats de canal et la surveillance ont besoin d’une nouvelle propriété.

Le travail applicatif suit. Les messages Pix et SPB ont des versions, règles de validation et cycles de vie définis. Le nouveau chemin doit reproduire les transformations spécifiques au client, l’idempotence, les tentatives, les accusés de réception, la gestion des exceptions et la réconciliation sans dupliquer ni perdre une instruction. Les messages historiques et les preuves d’audit doivent rester disponibles pour l’examen réglementaire et les litiges. Le personnel de trésorerie a besoin d’une visibilité fiable sur les comptes PI.

Les règles de fraude doivent être déplacées sans perdre les bases de référence ni accorder au nouveau fournisseur une période d’apprentissage aveugle. Les interfaces avec le core banking, les grands livres, les applications client, les systèmes de conformité et les outils de support ont tous besoin de tests parallèles.

La confiance doit être régénérée, et non reportée. En février 2026, la BCB a émisl’avis SPI 003/2026, disant aux entités que chaque fois qu’un environnement technologique, un modèle de connexion ou un fournisseur avec accès aux certificats change, ils doivent émettre de nouveaux certificats de canal et de signature, désactiver les anciens auprès de la BCB et les révoquer auprès de l’autorité de certification. L’avis appelle également à de nouveaux certificats en cas de suspicion de fraude. C’est un principe de sortie crucial: la migration est incomplète si les anciens identifiants peuvent encore exercer une autorité.

La distinction entre les certificats est devenue plus nette en juin 2026. Les informations de sécurité Pix mises à jour de la BCB séparent les certificats utilisés pour authentifier le canal de communication de ceux utilisés pour signer les messages et interdit qu’un objectif se substitue à l’autre. Cette séparation réduit la probabilité que le contrôle du transport devienne le contrôle de la valeur.

Elle ajoute également du travail: les inventaires doivent être exacts, le stockage et la protection matérielle doivent être révisés, le renouvellement des certificats doit être répété, et le rollback ne peut pas signifier la restauration silencieuse d’un chemin de confiance compromis.

Les trois modèles de déploiement annoncés de C&M illustrent pourquoi chaque sortie de client est différente. Un client sur un modèle d’infrastructure CMSW classique peut avoir besoin d’un environnement de destination complet. Un client hybride peut contrôler certains composants applicatifs mais dépend toujours du centre de données et des connaissances opérationnelles de CMSW. Un client sur site peut avoir l’exécution mais manquer de capacité au niveau du code ou de support spécialisé de troisième ligne. La possession d’actifs n’est pas l’indépendance opérationnelle.

Un plan de sortie crédible identifie chaque dépendance irréductible avant une crise et teste la voie qui l’éloigne pendant que le fournisseur en place est sain.

La liste actuelle de la BCB ne divulgue pas le calendrier de sortie au niveau client de C&M, les fournisseurs de destination, la portée résiduelle ou les critères d’achèvement. Ces détails peuvent être confidentiels à juste titre. Leur absence signifie que les étrangers ne peuvent pas juger à quel point la sortie a progressé.

Les clients et les régulateurs, cependant, devraient pouvoir répondre à un ensemble mesurable de questions: combien d’institutions restent dépendantes; quels services de messagerie traversent encore le fournisseur; si de nouveaux identifiants ont été émis; si chaque client a terminé les tests de double chemin; comment les exceptions de réconciliation ont performé; et quel événement permet de décommisionner l’ancien chemin.

Le support fait partie de la frontière de sécurité

Les logiciels de paiement sont souvent achetés comme technologie et vécus comme support. Un message échoué à 3 heures du matin peut ne pas annoncer si la cause est le cœur du client, la transformation du fournisseur, un certificat, un chemin réseau, un changement de règle SPI ou une liquidité insuffisante. La résolution la plus rapide dépend de personnes capables de voir à travers ces couches. L’avantage revendiqué de C&M – une longue expérience dans la messagerie SPB et Pix – serait le plus précieux précisément dans ces moments-là.

Cela crée une concentration sous-examinée. Les ingénieurs de troisième ligne et les analystes opérationnels peuvent accumuler une large visibilité et des privilèges exceptionnels parce que les équipes client ordinaires ne peuvent pas résoudre les cas les plus difficiles. L’accès d’urgence peut contourner le flux de travail normal pour que les paiements reprennent rapidement. Les outils de support partagés peuvent connecter de nombreux environnements clients. Un petit groupe de personnes peut comprendre le remplacement des certificats, le retraitement des messages et la coordination avec le régulateur.

Leurs connaissances améliorent la résilience tandis que leurs comptes, dispositifs, horaires de travail et jugement deviennent partie de la surface d’attaque.

L’implication présumée d’un employé de C&M en 2025 rend le contrôle du personnel inévitable, mais la réponse ne peut pas être réduite à former le personnel à ne pas divulguer d’identifiants. Une conception résiliente du support suppose que la coercition, la corruption, la fatigue, l’erreur et la prise de contrôle de compte sont possibles. Elle utilise le privilège juste à temps, l’approbation séparée pour les actions de production, l’identité liée au dispositif, l’enregistrement de session, les journaux visibles par le client, les partitions clients étroites, l’expiration forcée et les arrêts comportementaux.

Elle empêche une identité de support de générer ou d’approuver des instructions porteuses de valeur. Elle rend une élévation d’urgence suffisamment visible pour qu’une autre personne doive l’expliquer pendant qu’elle se produit.

La rémunération et le personnel appartiennent également à la diligence raisonnable, même si le dossier public n’est pas suffisant pour juger des pratiques de C&M. Un fournisseur vendant une disponibilité continue a besoin d’équipes assez profondes pour éviter un opérateur indispensable. Il a besoin d’une direction d’incident nommée, d’un support bilingue ou local le cas échéant, de voies de contact testées avec la BCB et les autorités de certification, et d’une succession pour les spécialistes qui comprennent les anciens services SPB.

Les acheteurs devraient inspecter le turnover dans les rôles privilégiés, la politique de vérification des antécédents, les délais de révocation d’accès et le rapport entre les ingénieurs de garde et les clients critiques. Une déclaration de service 24/7 brillante ne dit rien sur le fait que la troisième personne dans une escalade est éveillée, autorisée et entraînée.

Les preuves de support doivent être basées sur les résultats. Les mesures utiles incluent le temps pour accuser réception d’un échec de message réglementaire, le temps pour isoler un client, le temps pour révoquer un certificat, l’âge des exceptions de réconciliation non résolues, les taux de faux négatifs et de faux positifs dans les contrôles de fraude, la fréquence des accès privilégiés et la performance de rétablissement lors d’exercices non annoncés. La résolution moyenne de tickets peut cacher le seul incident de paiement qui compte.

Un fournisseur devrait donc rapporter les chemins critiques séparément et laisser les clients voir leurs propres pistes.

Enfin, les obligations de support doivent survivre à la résiliation du contrat et à la sortie réglementaire. Le fournisseur en place peut avoir moins d’incitation commerciale à retenir des experts pendant que les clients migrent, juste au moment où les connaissances historiques sont les plus nécessaires. Un plan de sortie ordonnée devrait financer une équipe de transition dédiée, identifier le risque de personne clé, exiger des runbooks à jour et maintenir les niveaux de réponse jusqu’à la bascule. La continuité n’est pas atteinte si l’infrastructure reste sous tension mais que les personnes qui la comprennent partent en premier.

Le prix de la délégation

C&M ne publie pas de tarif PSTI général. Sa page Corner dirige les clients potentiels vers le contact commercial, tandis qu’une FAQ Pix Automático dit qu’un service spécifique est facturé via la messagerie et n’entraîne pas de frais d’installation supplémentaires ni de frais mensuels surprises pour les utilisateurs existants de Corner. C’est une déclaration marketing circonscrite, pas une liste de prix complète. Toute estimation des conditions commerciales globales de C&M serait donc spéculative.

La logique de coût du produit peut néanmoins être analysée. Un service PSTI géré remplace plusieurs dépenses visibles: connectivité double réseau, environnements sécurisés, ingénieurs de paiement spécialisés, logiciels de messagerie, certificats, surveillance, tests, opérations face au régulateur et support continu. Le fournisseur peut répartir les coûts fixes entre les clients. Une petite institution peut atteindre Pix plus tôt et avec une équipe plus expérimentée qu’elle ne pourrait l’assembler seule. La tarification par message aligne également certaines dépenses avec le volume de transactions.

Mais la facture n’est que la première couche. Les coûts de mise en œuvre comprennent le mappage des données du core banking dans les messages de paiement, l’établissement des environnements, l’intégration des identités, la définition des seuils de fraude, l’exécution des tests d’homologation, la formation des opérations et la preuve de réconciliation. Les aspects économiques récurrents peuvent combiner une plateforme ou des frais de support, des frais d’utilisation, des modules, la connectivité, le stockage, le support d’audit et des niveaux de service plus élevés. Les changements réglementaires créent un travail supplémentaire. Les conditions de protection des données publiées de C&M disent que des exigences légales ou réglementaires modifiées peuvent produire des coûts à négocier, et que les audits demandés par le client peuvent être facturés au client.La politique énonce également les responsabilités d’audit et d’incident, bien qu’il s’agisse d’un document contractuel de l’entreprise plutôt que d’un rapport de contrôle vérifié indépendamment.

Le risque ajoute un autre prix. Les franchises d’assurance, les tampons de capital, les pertes par fraude, les conseils en sinistre, le travail d’investigation, la réparation des clients et les restrictions réglementaires peuvent éclipser les économies d’abonnement. La limite de 15 000 R$ imposée aux institutions utilisant des fournisseurs n’ayant pas terminé le nouveau processus de certification peut modifier l’économie du produit d’un client même lorsque sa technologie fonctionne encore. Un produit de trésorerie ou de paiement aux entreprises devient moins utile si les transferts courants dépassent le plafond.

Le statut du fournisseur est donc une caractéristique commerciale avec des conséquences immédiates sur les revenus.

La sortie est la dernière couche et souvent la moins tarifée. Un client qui économise en utilisant des consoles propriétaires, des transformations et des connaissances opérationnelles peut payer plus tard pour une infrastructure parallèle, l’extraction de données, de nouveaux certificats, un double support et des mois de tests. Le coût de changement augmente avec chaque règle non documentée, configuration de fraude contrôlée par le fournisseur et intégration qui n’existe que dans la tête du fournisseur en place.

Le déploiement sur site peut réduire le coût de migration de l’infrastructure mais préserver la dépendance applicative et d’expertise. Un devis mensuel inférieur peut donc acheter une option future plus chère.

Une comparaison rationnelle utilise le coût total de contrôle plutôt que le coût par message. Ajoutez la mise en œuvre, la supervision interne, l’assurance indépendante, les exercices d’incident, le travail de changement réglementaire et une sortie financée. Comparez ensuite le risque résiduel: quelle valeur peut être déplacée avant un arrêt indépendant; combien de clients partagent un domaine de défaillance; à quelle vitesse une clé peut être remplacée; et si une route alternative a déjà transporté un message de test réel. Le fournisseur le moins cher n’est pas celui avec le tarif le plus bas.

C’est celui qui produit le résultat de paiement requis avec le plus petit coût combiné d’exploitation, de supervision, de défaillance et de départ.

La concurrence est un choix d’architecture de contrôle

La page actuelle des fournisseurs de la BCB ne nomme qu’un petit ensemble de transition, mais elle ne doit pas être utilisée pour calculer la part de marché. Elle montre trois fournisseurs en certification et conformes à l’instruction 664, deux en ajustement sans clients, et deux en sortie ordonnée. La page ne dit pas qu’il s’agit d’un recensement économique complet de chaque fournisseur de logiciels, connexion directe ou arrangement intra-groupe. Le propre site Web de C&M affiche des chiffres de part de marché changeants qui semblent être générés dynamiquement et ne sont pas accompagnés d’une méthodologie vérifiable.

Ils sont des preuves inappropriées pour des pourcentages de concentration.

Les choix concurrentiels sont néanmoins identifiables. Une institution peut chercher un autre PSTI certifié avec succès, construire une capacité directe RSFN et SPI là où sa forme réglementaire le permet, utiliser un fournisseur technologique intra-groupe sous l’exception de ségrégation du régime, ou reconsidérer si elle a besoin d’une participation directe à un service Pix particulier. La participation directe et indirecte à Pix alloue également les fonctions de règlement et de répertoire différemment. Chaque option change le coût et le contrôle plutôt que de simplement remplacer un logo par un autre.

Un autre fournisseur géré offre le substitut fonctionnel le plus proche. Il peut réduire la complexité de migration s’il supporte le même catalogue de messages et les mêmes systèmes existants familiers. L’acheteur doit encore demander si « fournisseur différent » signifie domaine de défaillance différent. Deux marques peuvent partager un centre de données, un opérateur de télécommunications, un processus de certificat, un composant logiciel, un sous-traitant de sécurité ou un petit bassin de personnel spécialisé.

La concentration doit être cartographiée à travers les quartes parties et les infrastructures communes, et non comptée par nom de fournisseur.

L’opération directe augmente le contrôle mais crée également une nouvelle institution opérationnelle à l’intérieur de l’institution. Elle a besoin de personnes capables de suivre les versions du catalogue, de maintenir les deux réseaux RSFN, de protéger les clés, de gérer la liquidité, de surveiller les fraudes en continu et de coordonner les incidents. Le gain de sécurité n’existe que si l’acheteur peut exécuter ces tâches mieux qu’un spécialiste. Une connexion directe mal dotée peut échanger la concentration du fournisseur contre un risque de personne clé et une maintenance plus faible.

Un fournisseur intra-groupe peut aligner les incitations et retenir les connaissances, mais il peut partager la gouvernance, les systèmes d’identité et la gestion de crise avec l’institution financière qu’il est censé protéger. La Résolution 498 amendée exempte les fournisseurs de traitement intra-groupe du cadre PSTI externe complet tout en exigeant la ségrégation opérationnelle et les contrôles techniques et de sécurité applicables. Ce n’est pas une licence pour effondrer les devoirs. Le groupe doit montrer que le compromis d’un environnement corporatif ordinaire ne peut pas devenir une autorité de paiement.

Les standards internationaux renforcent cette vue d’architecture. La méthodologie CPMI-IOSCOpour les fournisseurs de services critiquesinterroge sur le risque d’entreprise, la sécurité de l’information, la fiabilité, la planification technologique et les dépendances tierces. Lesprincipes 2025 du Comité de Bâle pour le risque tierstraitent la concentration, la dépendance de chaîne d’approvisionnement, la gestion du cycle de vie et la sortie comme des responsabilités de la banque. Ces standards ne sélectionnent pas C&M ou un concurrent. Ils expliquent pourquoi une décision d’approvisionnement doit couvrir le graphe de dépendance complet et rester révisable tout au long du contrat.

Pour C&M, la concurrence a maintenant une dimension temporelle. Une page produit peut continuer à faire la publicité de Corner 2026, du déploiement hybride et du support spécialisé. Une institution réglementée ayant besoin d’accès RSFN doit commencer par les preuves de statut actuelles de la BCB. Si un service proposé dépend de C&M agissant comme PSTI externe, l’acheteur a besoin d’une confirmation écrite de la base légale, du périmètre de transition et du calendrier autorisé par l’autorité compétente.

Si la proposition est une licence logicielle sur site, un service de support ou un produit non PSTI, l’acheteur doit définir quelles fonctions réglementées restent ou non chez C&M. L’ambiguïté sur le rôle est en soi une défaillance de contrôle.

Douze tests d’approvisionnement

La réponse utile à l’incident de 2025 n’est pas un questionnaire cyber générique. Un acheteur devrait exécuter des tests qui rendent les frontières de contrôle observables avant de confier des paiements de production à un fournisseur quelconque. Pour C&M, ces tests doivent également aborder la classification actuelle de sortie ordonnée.

1. Prouver le rôle légal et réglementaire.Faire correspondre le nom légal et le CNPJ de la partie contractante au dossier actuel de la BCB. Obtenir le statut exact et le périmètre pour chaque date de service. Distinguer la licence logicielle, le traitement géré, l’accès RSFN, le support Pix indirect et la participation à la banque centrale. Ne pas accepter un avis officiel historique ou une affirmation marketing comme preuve de la certification actuelle.

2. Tracer un paiement de bout en bout.Commencer par l’instruction du client et identifier chaque système, identité, transformation, approbation, clé, certificat, file d’attente, journal et enregistrement de réconciliation jusqu’au règlement. Marquer quelle partie contrôle chaque étape. Répéter pour le reversement, le délai d’attente, le doublon, le message malformé et le manque de liquidité. Les diapositives d’architecture ne suffisent pas; l’acheteur devrait observer une transaction contrôlée.

3. Démontrer un contrôle exclusif de la signature.L’institution doit générer et conserver ses clés de signature privées dans une frontière que le fournisseur ne peut pas atteindre. Elle doit vérifier le message exact avant de signer. Tester qu’un administrateur du fournisseur, un ingénieur de support ou un certificat de canal compromis ne peut pas produire un message valide porteur de valeur. Confirmer des identifiants séparés pour les tests, la production, l’établissement du canal et la signature des messages.

4. Tenter un scénario d’initié.Donner à un opérateur d’équipe rouge une identité de support légitime mais étroite. Essayer d’atteindre un autre client, modifier une limite de fraude, créer une nouvelle intégration, rejouer un message et élever les privilèges à une heure inhabituelle. Le test ne réussit que si les contrôles préventifs arrêtent l’action nuisible et que des preuves visibles par le client expliquent la tentative en temps réel.

5. Tester la valeur et la vélocité anormales avant la soumission.Simuler des transferts individuellement permis mais collectivement anormaux par le temps, la destination, le montant et le taux. Vérifier quand un arrêt dur se produit, qui peut le passer outre, si le dépassement nécessite une organisation différente et à quelle vitesse l’institution est notifiée. Un tableau de bord qui alerte après le règlement irrévocable n’est pas un contrôle préventif.

6. Isoler un client sans arrêter tout le monde.Forcer une panne ou un compromis suspecté dans un locataire. Mesurer le temps pour révoquer l’accès, faire tourner les identifiants et conserver les preuves. Confirmer que les autres institutions continuent en sécurité et que les composants partagés ne peuvent pas fuir l’autorité entre les partitions. Ensuite, tester l’inverse: une panne de composant commun doit entrer dans un état sûr contrôlé plutôt que produire des transactions incertaines.

7. Révoquer et reconstruire la confiance.Exercer le processus de changement de certificat de la BCB. Émettre de nouveaux certificats, désactiver les anciens enregistrements et les révoquer auprès de l’autorité de certification. Prouver que tout ancien chemin échoue, y compris les systèmes de contingence et les points d’extrémité de test oubliés. Chronométrer l’exercice; lors d’une attaque réelle, la récupération des certificats fait partie de la récupération du service.

8. Exécuter les deux chemins réseau et en perdre un.Le RSFN utilise deux réseaux de télécommunication indépendants. L’institution doit observer la commutation de trafic, la capacité, les alarmes et la récupération lorsque l’un échoue. Elle doit également cartographier les dépendances qui peuvent faire que des routes apparemment indépendantes partagent l’alimentation, les installations, le DNS, l’identité ou les opérations.

9. Réconcilier à partir des preuves du client.L’acheteur doit être capable de reconstruire ce qui a été généré, approuvé, signé, envoyé, accusé réception et réglé sans dépendre entièrement de la console du fournisseur. Les journaux doivent être infalsifiables, conservés pour la période requise, disponibles rapidement et corrélés entre identités et messages. Les exceptions d’échantillon doivent se résoudre en écritures comptables.

10. Inspecter l’assurance indépendante plutôt que les badges.Obtenir l’auditeur, le périmètre, la période, les systèmes, les exclusions, les exceptions et les dates de correction pour le travail de sécurité et de continuité. Vérifier si l’examen a couvert le service de production exact et les contrôles post-incident. C&M a dit avoir commandé un travail d’investigation et de contrôle externe après l’attaque; un client réglementé potentiel devrait déterminer quel rapport peut légalement être partagé et ce qui restait non résolu.

11. Tarifer une sortie complète avant l’entrée.Nommer le fournisseur alternatif ou le modèle direct, le personnel requis, les exportations de données et de configuration, le plan de certificat, la durée de parallélisme, les obligations de support et l’interruption maximale tolérée. Mettre les coûts et les niveaux de service dans le contrat. Ensuite, effectuer un exercice de migration partielle. Un document qui n’a jamais déplacé un message n’est pas une capacité de sortie.

12. Définir les preuves pour la phase de sortie ordonnée.Pour un client toujours affecté par la transition de C&M, enregistrer les jalons approuvés par le régulateur, les services résiduels, les limites autorisées, la destination de migration, le consentement du client, les mesures de surveillance et l’événement final de décommissionnement. Les examiner au niveau du conseil. Parce que la page publique de la BCB n’explique pas la raison ou le calendrier, les preuves de gouvernance privées doivent être particulièrement précises.

Ce que le dossier public ne peut pas répondre

Les preuves autour de C&M sont substantielles pour une identité ferme et une analyse de risque significative. Elles ne sont pas suffisantes pour un verdict final sur la culpabilité ou le périmètre opérationnel actuel. Plusieurs absences devraient rester explicites.

Premièrement, aucun rapport final d’investigation publique examiné pour cet article n’établit la séquence technique complète de la fraude de 2025. C&M a déclaré que l’ingénierie sociale et l’utilisation abusive d’identifiants étaient le point de départ et a nié un défaut logiciel. Les récits de la police et de la presse ont allégué qu’un employé avait facilité l’accès. Ces récits peuvent être compatibles, mais ils ne divulguent pas les privilèges précis utilisés, si des vulnérabilités supplémentaires ont été exploitées, quels messages ont été signés par qui ou quel contrôle a détecté les transferts en premier.

Deuxièmement, il n’y a pas de chiffre de perte consolidé faisant autorité dans le dossier public examiné ici. Les rapports de police ont attribué plus de 540 millions de R$ à BMP, tandis que d’autres estimations de la presse allaient vers 800 millions ou 1 milliard de R$. Certains fonds auraient été bloqués ou récupérés. Le nombre d’institutions affectées variait également. Un montant de poursuite, une valeur de transfert tentée, une valeur brute détournée, une valeur bloquée et une perte économique finale sont des mesures différentes. Jusqu’à ce qu’une autorité les concilie, un seul chiffre phare créerait une certitude fausse.

Troisièmement, la page actuelle de la BCB donne la catégorie de C&M mais pas sa cause. Elle ne dit pas si la sortie ordonnée était volontaire, transitoire, la conséquence d’une décision de demande, une mesure préventive, un échec à satisfaire une nouvelle exigence ou une combinaison. Elle ne dit pas si chaque ancien client a migré, quels services peuvent continuer pendant la sortie ou quand l’achèvement est attendu. La Résolution 498 décrit des routes possibles; elle n’identifie pas quelle route s’applique à C&M.

Quatrièmement, le marketing produit actuel n’est pas concilié avec ce statut. Le site Web fait la promotion d’une conformité PSTI complète et de capacités d’accès présentes. Il peut y avoir une explication légale impliquant la transition, le modèle de déploiement, la licence de produit ou les services en dehors du rôle PSTI réglementé. Aucune clarification publique trouvée ici ne fait correspondre chaque affirmation au tableau actuel de la BCB. Les acheteurs ne devraient déduire ni légalité ni illégalité de l’inadéquation; ils devraient exiger que le rôle soit résolu.

Cinquièmement, les preuves de contrôle sont principalement autodécrites. C&M publie des documents historiques de sécurité et de continuité et dit avoir commandé un travail indépendant après l’incident. Le dossier public examiné ici ne contient pas le rapport d’investigation résultant, une opinion d’assurance indépendante actuelle, un test de reprise après sinistre actuel, des données de disponibilité spécifiques au client ou une preuve que chaque correction post-incident a été achevée. L’absence de la vue publique ne signifie pas que le travail n’existe pas. Cela signifie qu’un lecteur externe ne peut pas le vérifier.

Enfin, la concentration elle-même n’est pas mesurée. C&M a fait des affirmations historiques et actuelles de part de marché, mais les chiffres visibles varient et manquent d’une méthode divulguée. Reuters a cité environ deux douzaines de petits clients au moment de l’attaque, tandis que les pages de l’entreprise citent une portée historique beaucoup plus large. La liste de transition de la BCB n’est pas un dénominateur pour la part de marché.

Une évaluation rigoureuse de la concentration aurait besoin des nombres actuels de clients, de leurs valeurs de transaction, des dépendances communes, de la substituabilité et du temps de migration – des données plus probablement disponibles pour le régulateur que pour le public.

Points de surveillance pour C&M et ses contreparties

Le premier point de surveillance est la liste BCB elle-même. Un changement futur pourrait montrer l’achèvement de la sortie ordonnée, un statut différent ou une nouvelle explication publique. Jusque-là, C&M ne devrait pas être décrit comme actuellement certifié simplement parce que son site Web utilise un langage PSTI au présent. Inversement, une ligne de sortie ordonnée ne devrait pas être étirée en une affirmation que l’entreprise est disparue ou interdite de vendre tout logiciel.

Le second est la migration des clients. Les preuves que les institutions ont migré vers un fournisseur certifié avec succès, construit un accès direct, remplacé les certificats et achevé la réconciliation montreraient si la sortie fonctionne comme prévu. Les preuves de prolongations répétées de délais, de limites de transaction persistantes ou de dépendance à des arrangements temporaires indiqueraient un risque de continuité plus élevé. La mesure critique n’est pas une annonce de migration mais une capacité de production testée sans l’ancien chemin de confiance.

Le troisième est la divulgation de contrôle indépendante. C&M a dit avoir engagé un travail d’investigation et de sécurité externe et examinait la gouvernance des API, l’intégration et l’accès. Un résumé qui identifie le périmètre, les conclusions, les exceptions résiduelles et les dates de correction – sans exposer de détail exploitable – améliorerait considérablement la compréhension publique de la correction. De même, un rapport d’assurance actuel disponible sous confidentialité pour les clients. Les pages marketing qui disent « conformité totale » sont plus faibles que des preuves circonscrites avec exceptions.

Le quatrième est l’application et le jugement. Les allégations de la police, les accusations pénales, les réclamations civiles ou l’action réglementaire peuvent clarifier qui a fait quoi et quel chiffre de perte est pertinent. Elles peuvent également rejeter les premières théories. Le reportage devrait préserver la distinction entre allégation et constatation tout au long. Une condamnation ultérieure établirait une conduite criminelle par des personnes nommées; elle ne répondrait toujours pas par elle-même à chaque question d’architecture ou de gouvernance.

Le cinquième est le repositionnement du produit. Les modèles classique, hybride et sur site de Corner 2026 suggèrent que C&M pourrait chercher à préserver les revenus des logiciels et de l’expertise même si le rôle de fournisseur change. Cela peut être une voie légitime, mais les contrats doivent indiquer qui exploite la connexion réglementée, qui détient les clés, qui surveille les fraudes et quelle entreprise est responsable du support. Une licence déployée chez le client peut encore contenir des dépendances propriétaires; un hybride peut encore concentrer les opérations privilégiées.

Le sixième est la mise en œuvre par le régulateur de sa propre nouvelle norme. Le tableau actuel montre un marché en transition plutôt qu’un domaine stable. Les décisions de certification réussies, les exigences de capital plus élevées, les conclusions d’assurance et les limites des clients révéleront à quel point la Résolution 498 est appliquée strictement. La BCB devrait également être surveillée pour des informations agrégées sur la concentration des fournisseurs et le risque de migration.

Des règles strictes pour les fournisseurs peuvent améliorer la sécurité tout en réduisant involontairement le nombre de fournisseurs; moins de fournisseurs plus solides peuvent encore créer une dépendance à l’échelle du secteur.

Le dernier point de surveillance appartient aux conseils d’administration des clients. La Résolution 498 impose des obligations de surveillance continue à l’institution contractante. Un conseil qui traite le statut PSTI comme un certificat d’approvisionnement plutôt que comme une condition opérationnelle vivante a manqué la leçon. Il devrait recevoir des mesures d’accès privilégié, de transactions anormales, de santé des certificats, d’exercices d’incident, d’exceptions d’audit, de concentration et de préparation à la sortie.

Il devrait connaître la valeur maximale qui pourrait partir avant un arrêt indépendant et le temps nécessaire pour fonctionner via un autre chemin.

Le standard téléphonique sous le service public

La réussite de Pix n’est pas diminuée en reconnaissant ses dépendances. Le système central peut être hautement disponible, final et sécurisé tandis que l’accès à la périphérie reste inégal. En effet, l’incident de 2025 démontre une forme de résilience: la BCB a isolé une couche de fournisseur affectée, a maintenu le rail central en fonctionnement et a rétabli un accès limité sous des contrôles renforcés. Il démontre également le coût de cet isolement pour les institutions dont la route dépendait de C&M.

C & M Software a construit une entreprise en rendant une infrastructure difficile utilisable. Elle a rassemblé des connaissances sur la messagerie de paiement, connecté des systèmes existants, offert des consoles opérationnelles et soutenu des institutions qui ne voulaient pas reproduire l’ensemble du stack RSFN. C’est un véritable travail technologique. C’est précisément pourquoi l’entreprise est devenue conséquente. Plus un fournisseur se rapproche du point où l’intention devient règlement irrévocable, moins il est adéquat d’évaluer le fournisseur comme un logiciel d’entreprise ordinaire.

L’attaque de 2025 a montré qu’un identifiant peut être plus dangereux qu’un serveur cassé. La ligne actuelle de sortie ordonnée montre que la continuité doit inclure le départ, pas seulement le matériel redondant. Le nouveau régime réglementaire montre que l’institution doit préserver un cœur cryptographique et opérationnel qu’elle ne délègue pas: ses clés, sa validation de l’intention de transaction, sa surveillance du fournisseur et sa capacité à changer de route.

Il n’y a pas de raccourci basé sur les preuves vers un jugement final sur C&M. Le récit de l’entreprise sur l’ingénierie sociale est plausible et partiellement reflété dans les rapports de police, mais la chaîne d’investigation publique est incomplète. Le statut actuel du régulateur est clair, mais sa raison ne l’est pas. Les affirmations produit du site Web sont visibles, mais leur relation au processus de sortie ordonnée n’est pas résolue. Ces tensions devraient rester visibles plutôt que d’être lissées en une vindicte ou une condamnation.

La conclusion plus durable concerne la conception du marché. Les fournisseurs partagés permettent aux petites institutions de rejoindre une infrastructure publique sophistiquée. Ils créent également des goulets d’étranglement privés sous un service universel. La réponse du Brésil après 2025 – capital, assurance, assurance indépendante, séparation des clés, contrôles de fraude avant règlement, supervision des clients et sortie ordonnée – reconnaît qu’un PSTI n’est pas un tuyau neutre. C’est une surface de contrôle critique.

Pour toute institution envisageant un logiciel C&M, migrant de son service de fournisseur ou sélectionnant un successeur, la question décisive n’est donc pas « Ce fournisseur peut-il nous connecter à Pix? » C’est « Quels pouvoirs cette connexion concentrera-t-elle, quels pouvoirs resteront indépendamment les nôtres, et pouvons-nous prouver les deux réponses lors de la pire nuit du contrat? » Pix peut régler en secondes. La confiance dans le standard téléphonique en dessous doit être conçue pour des années.