Pix após o horário comercial: C & M Software e a central de comunicação concentrada por trás dos pagamentos instantâneos do Brasil

Resumo

• A C & M Software Ltda. é a mesma empresa legal brasileira, CNPJ 03.215.009/0001-08, que recebeu uma autorização PSTI documentada em 2020 e que o Banco Central do Brasil agora lista como “em processo de saída ordenada” sob seu regime de credenciamento pós-2025.
• O incidente de julho de 2025 não derrubou o mecanismo central de liquidação do Pix, mas mostrou como um provedor de acesso pode se tornar uma superfície de controle concentrada para mensagens, credenciais, configurações de fraude, decisões de suporte e opções de migração de várias instituições.
• A C&M afirma que o ataque começou com engenharia social e uso indevido de credenciais válidas, e não com um defeito em seu software. Essa distinção não resolve a questão de controle mais difícil: se o acesso privilegiado, as verificações de integridade da transação, a detecção de anomalias e a segregação cliente-fornecedor eram fortes o suficiente como um sistema combinado.
• As regras revisadas do PSTI no Brasil tornam o comprador um supervisor contínuo, não um cliente passivo. As instituições devem manter chaves de assinatura privadas, validar as transações antes de assinar, monitorar o provedor e ser capazes de executar uma mudança ordenada sem transferir a confiança antiga para um novo ambiente.
• As evidências públicas não divulgam por que a C&M está na categoria de saída ordenada, quando esse processo terminará, a perda consolidada final da fraude de 2025 ou o resultado da revisão independente que a empresa disse ter encomendado. Essas são lacunas materiais, não convites para adivinhar.

O trilho de pagamento que adquiriu horário comercial

Por um breve período em julho de 2025, o fato mais revelador sobre a C & M Software foi um cronograma. O Pix é projetado para uso contínuo, mas as operações conectadas à C&M só podiam ser retomadas em dias úteis entre 6h30 e 18h30. Cada instituição participante teve que consentir expressamente, o monitoramento de fraude teve que ser reforçado e os limites de transação tiveram que ser aplicados. O Banco Central do Brasil (BCB) primeiro ordenou que as instituições fossem desconectadas da infraestrutura operada pela C&M; depois, substituiu a suspensão cautelar por uma suspensão parcial após medidas de mitigação.A Reuters relatou os termos desse retorno controlado, enquanto aFolha de S.Paulo descreveu o monitoramento mais próximo do regulador.

Essa janela de doze horas não foi simplesmente uma estatística de interrupção. Ela tornou visível uma camada que geralmente desaparece por trás da marca Pix. O BCB opera o Sistema de Pagamentos Instantâneos (SPI) como a única infraestrutura central do Brasil para liquidar pagamentos instantâneos entre instituições. Ele processa cada instrução individualmente em tempo real; uma vez liquidada, a transferência é final e irrevogável. Os participantes diretos liquidam por meio de contas PI dedicadas no banco central, sem cheque especial. Essas sãoas próprias descrições do BCB sobre o SPI. No entanto, nem toda instituição constrói e opera todas as conexões, interface de mensagens, console operacional, regra de fraude e processo de suporte por conta própria. Um Provedor de Serviços de Tecnologia da Informação (PSTI) pode processar dados para acesso à Rede do Sistema Financeiro Nacional (RSFN).

A C&M ocupava essa costura. Não era o Pix, não era o banco central e, como o BCB enfatizou após o ataque, não era contratada do banco central. Ela vendia tecnologia para instituições que precisavam de uma rota para a infraestrutura de pagamento regulada. Essa distinção é importante. O SPI central podia permanecer disponível enquanto um grupo de instituições conectadas perdia ou tinha seu acesso restrito. Os saldos dos clientes podiam permanecer intocados enquanto o dinheiro pertencente a instituições financeiras era supostamente movimentado de contas de liquidação.

Um ataque podia explorar uma autoridade de aparência legítima em vez de quebrar a criptografia do trilho central.

Esta é a proposição central do artigo: o produto economicamente importante nunca foi meramente uma conexão. Era uma central de comutação operada privadamente para infraestrutura financeira pública. O provedor podia reduzir o custo e a carga de implementação de cada cliente ao reunir sistemas e pessoas especializados. As mesmas economias de escopo podiam concentrar conhecimento operacional, fluxos de trabalho privilegiados e decisões de recuperação.

O incidente de 2025 da C&M, seguido pelo aparecimento da empresa na atual categoria de saída ordenada do BCB, transforma essa proposição de uma preocupação abstrata de terceirização em um teste prático de como a borda de pagamento do Brasil é governada.

Uma empresa, três questões de status diferentes

A ponte de identidade é excepcionalmente forte, mas a linguagem de status requer cuidado excepcional. Uma consulta atual de empresa pública baseada em dados de registro federal identificaC & M Software Ltda., CNPJ03.215.009/0001-08, como uma sociedade limitada ativa em Barueri, São Paulo, aberta em 8 de junho de 1999 e classificada principalmente sob desenvolvimento e licenciamento de programas de computador não customizáveis.A página atual do CNPJ da Serasa Experian registra esses detalhes. O mesmo CNPJ aparece na identidade comercial CMSW da empresa e no mesmo endereço de Barueri em seu site.

Uma segunda questão é o status regulatório histórico. Em um extrato publicado no Diário Oficial da União em 22 de maio de 2020, o BCB declarou que havia autorizado a C&M Software Ltda., CNPJ 03.215.009/0001-08, como PSTI em 20 de maio sob a então aplicável Circular 3.970.O aviso do Diário Oficial é explícito. É uma evidência sólida de que a empresa designada e o provedor historicamente autorizado são a mesma entidade. A própria história da C&M diz que ela desempenhou esse papel muito antes e foi o primeiro provedor aprovado pelo banco central, mas essas alegações de origem mais amplas são declarações da empresa, não substitutos para o ato publicado no diário oficial.

A terceira questão é o status atual de PSTI sob um regime que mudou após os ataques de 2025. A página atual do RSFN do BCB divide os provedores nomeados em três conjuntos. Gokei, JD Consultores e Sinqia são mostrados no novo processo de credenciamento e em conformidade com a Instrução 664. Tivit e Topaz são mostrados em credenciamento e ajuste sem clientes. ABBC e“PSTI CMSW (C&M Software) – CNPJ: 03.215.009/0001-08”são mostrados“em processo de saída ordenada” sob a Resolução 498.

Esses três fatos podem coexistir. O registro corporativo da empresa pode estar ativo. Sua autorização PSTI de 2020 pode ser autêntica. Sua linha regulatória atual pode ser uma linha de saída ordenada, e não a coorte de credenciamento. A existência corporativa não é credenciamento PSTI; a autorização histórica não é prova de permissão atual; e um processo de saída ordenada não é prova de que a empresa de software cessou todas as linhas de negócio.

A página do BCB não afirma por que a C&M está nessa categoria. A Resolução 498 fornece vários caminhos e poderes em torno de transição, medidas cautelares, descredenciamento e saída, mas a linha pública não diz quais fatos se aplicaram à CMSW. A cronologia cria uma questão óbvia porque o ataque de 2025 precedeu o novo regime. Não prova que o incidente causou a classificação atual. Tampouco a página divulga uma data de conclusão da saída ou o escopo preciso da atividade permitida durante a transição.

A conclusão responsável é, portanto, estreita: em 17 de julho de 2026, a própria lista atual do regulador não permite descrever a C&M como uma PSTI atualmente credenciada. Ela permite descrever a C&M como o provedor legal exato agora listado em um processo de saída ordenada.

Essa conclusão conflita com o tom do marketing atual da C&M. Apágina inicial da CMSW diz que ela é “homologada” pelo BACEN, e a página atual do Corner anuncia um modelo “PSTI Clássico” com infraestrutura CMSW completa e total conformidade com o banco central. Essas são alegações da empresa no presente. Elas podem descrever produtos, posição histórica, arranjos de transição ou a própria interpretação da empresa; as páginas não reconciliam as alegações com a tabela atual do BCB. Em um mercado de acesso regulado, um comprador deve resolver esse conflito com o regulador e o contrato proposto antes de tratar uma página de vendas como autoridade.

O que o Corner realmente controlava

A proposta de valor da C&M é mais fácil de entender seguindo o trabalho de uma instituição de pagamento em vez de listar módulos de software. Um pequeno banco, fintech, cooperativa de crédito, corretora ou instituição de pagamento deseja oferecer Pix e outros serviços. Seu aplicativo voltado ao cliente pode criar a instrução, mas a instituição ainda precisa gerenciar regras de participação, trocar mensagens padronizadas, alcançar a RSFN, manter certificados, controlar liquidez, reconciliar liquidação, monitorar fraudes, responder a exceções operacionais e sustentar o serviço em falhas.

Construir essas capacidades diretamente significa combinar conectividade regulada com operações especializadas de pagamento 24 horas por dia.

A plataforma Corner da C&M prometia comprimir esse fardo. Suapágina de produto atualdiz que a plataforma conecta instituições ao BCB através do Sistema de Pagamentos Brasileiro tradicional e do SPI. Ela anuncia Pix, Open Finance, a Nova Plataforma de Cobrança, boletos e serviços de pagamento mais antigos; integração com sistemas legados comuns; mensageria através de front end ou web services; pontuação de fraude e regras comportamentais; suporte a liquidez; visualizações de tesouraria; e disponibilidade contínua. A página propõe três padrões de implantação para “Corner 2026”: um modelo clássico usando infraestrutura CMSW, um arranjo híbrido compartilhando operação com um data center CMSW e uma instalação no local com o cliente retendo mais soberania tecnológica e a CMSW fornecendo suporte especializado de terceira linha.

Esses modelos alocam o controle de forma diferente. Em um arranjo totalmente gerenciado, o provedor pode possuir mais da rede, processamento, monitoramento e caminho de suporte. Isso pode acelerar a entrada e reduzir a necessidade do cliente de manter conhecimento raro da RSFN. Um modelo híbrido pode mover componentes de aplicação ou dados sem necessariamente transferir conhecimento operacional. Uma licença no local pode colocar a infraestrutura de runtime sob o teto da instituição, deixando-a dependente de código proprietário, conhecimento de lançamento e engenheiros de escalonamento.

“On premises” não é, portanto, sinônimo de “independente”, assim como “gerenciado” não é sinônimo de “não controlado”.

Um documento histórico da C&M submetido como um plano de negócios e técnico do Corner fornece mais detalhes, embora não deva ser lido como uma auditoria do sistema de 2026. Ele descreve consoles web, serviços de mensagem, acesso através da RSFN, arranjos VPN, firewalls do cliente, comunicação redundante, controles de tesouraria e o uso do SPB como contingência para o Pix. Ele também descreve controles em torno da liquidez da conta PI de um participante: saldos, regras de contribuição e resgate, simulações quando outros serviços de liquidação estão fechados, aprovações e notificações operacionais.O documento é um mapa útil da arquitetura declarada da C&M, mas sua idade e procedência limitam o que ele prova sobre o ambiente envolvido em 2025 ou o produto oferecido agora.

A unidade econômica sendo vendida era, portanto, mais ampla do que pacotes se movendo entre dois pontos. O Corner ficava onde a instrução de negócio de um cliente se tornava uma mensagem aceitável para um sistema regulado. Ele ajudava a determinar como uma instrução era autenticada, aprovada, agendada, observada, reconciliada e escalada. Seus consoles e APIs podiam se tornar a memória operacional da equipe de pagamentos do cliente. Sua equipe de suporte podia se tornar as pessoas que entendiam por que uma mensagem falhava às 2h.

Suas configurações de fraude podiam mediar o ponto em que uma credencial válida produzia uma transação aparentemente válida.

Essa amplitude explica tanto a atração quanto o perigo. A infraestrutura de pagamento compartilhada pode ser mais barata e confiável do que toda pequena instituição recriá-la. Especialistas veem mais modos de falha e podem manter equipes dedicadas. Mas quando vários clientes compartilham o mesmo provedor, um defeito, caminho de acesso comprometido, release ruim ou decisão de emergência lenta pode cruzar fronteiras institucionais. O benefício mais profundo do produto – conhecimento concentrado – é adjacente ao seu risco mais profundo – controle concentrado.

De uma instrução a dinheiro irrevogável

A arquitetura fica mais clara se a transação for separada em estágios de controle. Primeiro, um cliente ou instituição cria um pagamento pretendido. Segundo, a instituição aplica regras de conta, autorização, fraude e conformidade. Terceiro, os sistemas constroem a mensagem Pix apropriada e estabelecem um canal seguro. Quarto, o participante autentica e assina o que pretende enviar. Quinto, a mensagem atinge o SPI operado pelo BCB através da rede regulada. Finalmente, a liquidação altera os saldos nas contas PI e se torna irrevogável.

Um PSTI pode auxiliar em vários estágios sem possuir legalmente a decisão do cliente. É por isso que frases como “conecta um banco ao Pix” são úteis e perigosamente imprecisas. A conectividade de rede é apenas uma dependência. A formação de mensagens, o manuseio de certificados, as permissões de API, o acesso ao console, as filas de exceção, as visualizações de liquidez e os limites de fraude podem determinar se a instituição sabe o que está autorizando.

Se um invasor pode fazer uma instrução fraudulenta parecer operacionalmente normal antes da assinatura final ou pode usar um caminho legítimo com privilégios excessivos, o sistema central pode fazer exatamente o que foi projetado para fazer: liquidar uma instrução apresentada validamente.

As evidências de 2025 não estabelecem a cadeia completa usada pelos atacantes. O relato da C&M diz que o incidente começou com uso indevido de credenciais, enquanto reportagens policiais alegaram que um funcionário da empresa possibilitou o acesso não autorizado. Não há um relatório forense final público que mapeie cada comando, escalonamento de permissão, ação de certificado e aprovação de transação. Seria imprudente preencher essa lacuna com um exploit técnico imaginado. É possível, no entanto, identificar as questões arquitetônicas que uma investigação defensável responderia.

Quem gerou cada instrução? Qual identidade, dispositivo e caminho de rede a iniciou? O que a instituição viu antes de assinar? O provedor possuía, armazenava ou alcançava qualquer material de assinatura privada? Quais aprovações humanas e de máquina eram necessárias para mudanças incomuns no valor, volume ou destino? Os ambientes dos clientes estavam segregados com força suficiente para que o acesso associado a uma instituição não pudesse afetar outra? Os controles de fraude operavam antes da liquidação ou principalmente a observavam? Uma identidade de suporte podia invocar uma API destinada a uma instituição?

O tempo, a velocidade e a concentração das transferências diferiam suficientemente das normas das instituições afetadas para parar, em vez de apenas alertar?

Essas questões distinguem quatro controles que o marketing frequentemente funde em “segurança”. A segurança do canal protege a rota. A segurança da identidade estabelece quem ou o que está presente. A integridade da transação estabelece que os dados exatos aprovados são os dados assinados e enviados. O controle comportamental pergunta se uma ação aparentemente autorizada é plausível. Um canal seguro com uma identidade comprometida pode transportar uma instrução fraudulenta perfeitamente. O acesso multifator a uma função com privilégios excessivos ainda pode ser inseguro.

Uma pontuação preditiva que chega após uma liquidação irrevogável pode ser impressionante e inútil ao mesmo tempo.

As regras revisadas do Brasil agora tornam essa separação explícita. O cliente deve manter suas chaves de assinatura privadas e validar a integridade da transação antes da assinatura. O provedor deve construir rastreabilidade e monitoramento em tempo real. Diferentes certificados devem servir a diferentes ambientes e funções. Esses não são controles redundantes. Eles são uma tentativa de evitar que uma única conta de provedor, credencial de cliente ou atalho operacional colapse toda a cadeia de intenção.

A noite da violação, sem falsa precisão

A linha do tempo pública começa por volta da noite de 30 de junho a 1º de julho de 2025. Em 2 de julho, aReuters noticiouque a C&M havia informado o BCB sobre um ataque cibernético à sua infraestrutura tecnológica. O regulador ordenou que o acesso das instituições financeiras à infraestrutura operada pela C&M fosse bloqueado. A BMP, uma instituição afetada, disse que o acesso não autorizado atingiu contas de reserva mantidas no banco central para liquidação interbancária, mas não afetou as contas dos clientes ou saldos internos. A Reuters citou uma fonte dizendo que a C&M atendia cerca de duas dúzias de instituições menores, enfatizando que as estimativas de perda relatadas diferiam e nenhum total oficial havia sido divulgado.

O relato da C&M evoluiu para um detalhado FAQ público em 3 de julho. A empresa disse que as evidências então disponíveis apontavam para um funcionário induzido por engenharia social a compartilhar credenciais, possivelmente seguido pelo uso de mais credenciais ou mecanismos de autenticação. Ela negou uma vulnerabilidade técnica ou invasão direta de seus sistemas críticos. Disse que revogou credenciais e chaves, isolou o ambiente afetado, acionou o Mecanismo Especial de Retorno do Pix, solicitou reversões, notificou autoridades e clientes e contratou uma avaliação forense externa. Também disse que os produtos eram segregados e que o incidente envolveu uma simulação específica de transações Pix para um cliente.O FAQ é a posição da empresa, não uma constatação independente.

A empresa também reconheceu escolhas de controle que importam. Ela disse que o Corner oferecia aprovações, controles de canal e horário, autenticação multifator, um piloto de operação de reserva e outras configurações de segurança, mas que alguns clientes não ativavam todos os controles disponíveis. Disse que estava revisando a governança de API, onboarding e políticas de acesso externo e consideraria requisitos de segurança obrigatórios mais altos. Esse relato implica uma fronteira de responsabilidade compartilhada: o provedor fornecia opções, os clientes configuravam algumas delas e um caminho de acesso de aparência legítima foi abusado.

Ele não estabelece se a opcionalidade era apropriada para o risco, se os padrões seguros eram fortes o suficiente ou se os controles do provedor deveriam ter parado a atividade independentemente da configuração do cliente.

Reportagens independentes adicionaram alegações, não um veredito técnico final. AAssociated Press noticiouque a polícia de São Paulo acusou um funcionário da C&M de vender credenciais e ajudar outros a obter acesso não autorizado. A polícia disse que mais de R$ 540 milhões foram desviados de uma instituição financeira, que as perdas totais poderiam ser maiores e que R$ 270 milhões foram bloqueados. ACNN Brasil noticiou um número policial de R$ 542 milhões para a BMPe citou o BCB esclarecendo que nem a C&M nem seus funcionários eram contratados do banco central. Essas foram alegações e declarações investigativas preliminares sobre um suposto crime. Uma prisão ou acusação não é uma condenação, e os valores associados a uma instituição não são necessariamente um total final.

As estimativas da imprensa variavam ainda mais altas. Folha e outros veículos noticiaram valores em torno de R$ 800 milhões ou R$ 1 bilhão, enquanto a Reuters citou uma fonte contestando um total de bilhão de reais. A empresa se recusou a confirmar um valor. A escolha responsável não é tirar a média dos números ou elevar a manchete maior.

O núcleo verificado é mais restrito: fundos pertencentes a instituições financeiras foram afetados; pelo menos um relato policial colocou o valor para a BMP acima de R$ 540 milhões; os saldos de depósitos de clientes não foram relatados como afetados; a infraestrutura central do Pix do BCB não foi descrita como violada; e a perda consolidada final permanece não divulgada nas evidências revisadas aqui.

A sequência de recuperação importa tanto quanto o valor. O BCB primeiro desconectou as instituições dependentes, depois permitiu operação controlada em dias úteis das 6h30 às 18h30 após mitigações, com monitoramento mais forte, limites e consentimento do cliente. A C&M disse que o serviço DICT e a operação controlada do Pix retornaram. A restrição reduziu a exposição imediata, mas também demonstrou o custo de continuidade da dependência: instituições que dependiam do provedor não podiam simplesmente contorná-lo sem trabalho regulatório, técnico e operacional.

“Credenciais válidas” é o começo da investigação

A distinção da C&M entre credenciais comprometidas e uma vulnerabilidade de software é tecnicamente significativa. Não é exculpatória por si só. Um estouro de buffer, um componente sem patch, uma senha roubada, um funcionário subornado e uma função de suporte com escopo inadequado são mecanismos de falha diferentes. Eles exigem remediação diferente. No entanto, um sistema de controle de pagamento deve ser projetado para a possibilidade de que uma identidade autorizada se torne hostil ou seja convincingly impersonada.

Segurança que funciona apenas enquanto cada detentor de credencial é confiável é uma política de pessoal, não uma arquitetura de transação resiliente.

O episódio de 2025 levanta, portanto, uma questão mais útil do que “O código foi hackeado?”: quanto poder prejudicial um único caminho comprometido poderia reunir antes que outro controle independente interviesse? A resposta depende de privilégio mínimo, segregação de funções, isolamento do cliente, assinatura de transação, limites comportamentais e escalonamento humano. Se as credenciais de um funcionário sozinhas não pudessem criar ou aprovar mensagens, um atacante precisaria de uma segunda capacidade independente.

Se a instituição afetada validasse os dados exatos do pagamento antes de usar uma chave que só ela controlava, o acesso do provedor não seria suficiente. Se o volume noturno incomum causasse uma parada forçada, a velocidade trabalharia contra o atacante, não a favor.

Nada disso prova que uma falta de controle específica causou o incidente da C&M. As evidências públicas não são granulares o suficiente. Isso explica por que os requisitos subsequentes do regulador se concentram nesses pontos. A Instrução 664 exigia que os provedores existentes fortalecessem trilhas de ponta a ponta, retenção segura e acesso do cliente a logs, revisassem o acesso privilegiado e remoto, e monitorassem conexões externas e padrões de acesso incomuns. AResolução 498 atualdiz que um PSTI não deve ter acesso a chaves privadas usadas para assinar mensagens do sistema de pagamento. Ela exige monitoramento de fraude em tempo real, 24 horas, capaz de avaliar valor, volume e taxa atípicos antes da submissão, não apenas após a liquidação.

O princípio é que autenticidade e plausibilidade devem ser separadas. Um certificado válido pode estabelecer que uma mensagem veio através de uma identidade criptográfica esperada. Não pode estabelecer que a instrução econômica subjacente era intencionada. Uma conta de suporte legítima pode estabelecer que um operador reconhecido fez login. Não pode estabelecer que o operador deveria ter alcançado a ação de produção de um cliente naquela hora. O consentimento de um cliente para usar um provedor gerenciado pode estabelecer um contrato. Não pode transferir o dever do cliente de saber o que sai de sua conta.

A mesma lógica se aplica a “controles opcionais”. Fornecedores de software frequentemente permitem que clientes troquem atrito por velocidade. Em uma aplicação de negócios comum, um comprador pode racionalmente escolher aprovações mais leves. Em um caminho de liquidação irrevogável em tempo real, uma opção que protege contra uma transação catastrófica, mas plausível, pode se tornar parte do produto mínimo seguro. A Resolução 498 se move nessa direção ao transformar vários controles em condições de participação e ao impor deveres tanto ao provedor quanto à instituição.

A questão difícil de aquisição para qualquer cliente da C&M não é se um recurso existe em um folheto. É se o recurso é obrigatório no caminho relevante, testável de forma independente e incapaz de ser desabilitado pela mesma identidade que deveria restringir.

O Brasil reescreveu o acordo do PSTI

A resposta regulatória do BCB foi além da C&M. Em setembro de 2025, citando o envolvimento do crime organizado em ataques recentes a instituições financeiras e de pagamento, o banco central impôs um teto imediato de R$ 15.000 para transferências Pix e TED para instituições de pagamento sem autorização plena e para instituições conectadas através de PSTIs.O anúncio do BCBdisse que a restrição poderia ser removida após a demonstração de controles, enquanto também apertava o acesso, mudanças de endereço IP e o cronograma para autorização institucional.

A Resolução 498 então substituiu um conceito relativamente leve de autorização de provedor por um quadro mais completo de credenciamento e supervisão. Conforme alterada no início de 2026, ela exige uma estrutura legal brasileira, capacidade técnica e administrativa compatível, funções de governança e controle, políticas cibernéticas e de fraude, auditoria independente, seguro operacional e de responsabilidade civil, e pelo menos R$ 15 milhões em capital integralizado e patrimônio líquido. O BCB pode exigir mais na proporção do volume de transações, número de clientes e risco.

O regulamento diz explicitamente que o credenciamento não é uma autorização geral para conduzir a atividade econômica do provedor. É por isso que a linguagem cuidadosa de status é importante: uma empresa de software pode continuar a existir e vender outros produtos enquanto carece do status exigido para um serviço específico da RSFN.

A Instrução 664 forneceu detalhes técnicos urgentes para provedores já operando em setembro de 2025. Ela exigia trilhas de auditoria de ponta a ponta, regras de retenção, logs seguros disponíveis para clientes para reconciliação e gerenciamento de risco, controles de acesso mais rigorosos e monitoramento de acesso anômalo externo ou privilegiado. Um relatório de garantia razoável de um auditor independente registrado na Comissão de Valores Mobiliários do Brasil fazia parte da evidência de conformidade.

Isso é materialmente diferente de um provedor dizer que contratou uma avaliação: a instituição e o regulador precisam de um escopo definido, padrão, lista de exceções e status de remediação.

O BCB separou ainda mais a autoridade de assinatura do transporte. AInstrução 667exigia que as instituições que buscassem alívio do limite do Pix atestassem que não compartilhavam chaves de assinatura privadas com o PSTI nem armazenavam essas chaves em seu ambiente. Certificados acessíveis a um provedor tinham que ser revogados e substituídos. Os clientes tinham que usar credenciais distintas entre produção e teste e entre assinatura de mensagem e estabelecimento de canal, revisar permissões incluindo as de contratados e validar a integridade da transação.

Em janeiro de 2026, o BCB ajustou o regime através da Resolução 547. Ela esclareceu os requisitos de governança e risco, permitiu capital proporcional ao risco acima do piso, fortaleceu o descredenciamento e estendeu o prazo de transição para PSTIs existentes solicitarem novo credenciamento para oito meses.A nota explicativa do BCBdisse que as instituições que usam um PSTI permaneceriam sob o limite de R$ 15.000 para Pix e TED até que seu provedor concluísse com sucesso o credenciamento. A regra transitória diz que um provedor existente que não se inscrever dentro do prazo é descredenciado ex officio e deve executar um plano de saída ordenada. Seria um erro, no entanto, inferir dessa cláusula geral que a linha da C&M resultou de uma inscrição perdida; a lista atual não declara o motivo.

O acordo resultante é mais caro e mais honesto. Um PSTI ainda pode dar a instituições menores escala e acesso especializado. Em troca, o provedor deve demonstrar capacidade financeira, evidência de controle independente e uma arquitetura de segurança mais forte. A instituição não pode terceirizar a responsabilidade. Ela deve monitorar continuamente a governança, o risco cibernético, o gerenciamento de fraude e a continuidade; manter documentação e relatórios de auditoria; implementar controles exigidos; relatar falhas materiais; reter suas chaves de assinatura; e verificar a mensagem que assina. A terceirização muda quem realiza o trabalho.

Não muda quem é responsável pelo resultado regulado.

Saída ordenada é um programa de tecnologia

“Saída ordenada” soa administrativa. Em um sistema de pagamento, é um programa de engenharia e operação executado enquanto o serviço antigo ainda pode ser crítico. A Resolução 498 diz que o plano deve priorizar a limitação do impacto nas instituições clientes e no funcionamento regular do SFN e do SPB. Esse objetivo é enganosamente compacto. Um cliente não pode trocar a borda de pagamento mudando um nome de domínio e copiando um banco de dados.

A transição começa com a elegibilidade legal e regulatória. O provedor receptor deve ter o credenciamento atual apropriado, ou a instituição deve se qualificar e construir uma rota direta. Os registros de participação, pontos de contato e responsabilidades operacionais devem mudar. O acesso à rede deve ser estabelecido através das duas redes de telecomunicações independentes da RSFN — o BCB diz que cada participante é obrigado a usar ambas — e então testado para falha e recuperação. Firewalls, endereços, rotas, certificados de canal e monitoramento precisam de nova propriedade.

O trabalho de aplicação segue. As mensagens Pix e SPB têm versões definidas, regras de validação e ciclos de vida. O novo caminho deve reproduzir transformações específicas do cliente, idempotência, retentativas, confirmações, tratamento de exceções e reconciliação sem duplicar ou perder uma instrução. Mensagens históricas e evidências de auditoria devem permanecer disponíveis para revisão regulatória e disputas. A equipe de tesouraria precisa de visibilidade confiável da conta PI. As regras de fraude precisam ser movidas sem perder as bases de referência ou conceder ao novo provedor um período de aprendizado cego.

Interfaces com core banking, livros-razão, aplicativos do cliente, sistemas de conformidade e ferramentas de suporte precisam de testes paralelos.

A confiança deve ser regenerada, não transferida. Em fevereiro de 2026, o BCB emitiu oAviso SPI 003/2026, informando aos participantes que sempre que um ambiente de tecnologia, modelo de conexão ou fornecedor com acesso a certificados mudar, eles devem emitir novos certificados de canal e assinatura, desativar os antigos com o BCB e revogá-los na autoridade de certificação. O aviso também pede novos certificados onde há suspeita de fraude. Este é um princípio crucial de saída: a migração está incompleta se credenciais antigas ainda podem exercer autoridade.

A distinção entre certificados tornou-se mais nítida em junho de 2026. O material de segurança atualizado do Pix separa os certificados usados para autenticar o canal de comunicação daqueles usados para assinar mensagens e proíbe que uma finalidade substitua a outra. Essa separação reduz a chance de que o controle sobre o transporte se torne controle sobre o valor. Também adiciona trabalho: os inventários devem ser exatos, o armazenamento e a proteção de hardware devem ser revisados, a renovação de certificados deve ser ensaiada e a reversão não pode significar restaurar silenciosamente um caminho de confiança comprometido.

Os três modelos de implantação anunciados da C&M ilustram por que a saída de cada cliente é diferente. Um cliente em um modelo clássico de infraestrutura CMSW pode precisar de um ambiente de destino completo. Um cliente híbrido pode controlar alguns componentes de aplicação, mas ainda depender do data center e do conhecimento operacional da CMSW. Um cliente no local pode ter o runtime, mas carecer de capacidade no nível do código-fonte ou suporte especializado de terceira linha. A posse de ativos não é independência operacional.

Um plano de saída credível identifica cada dependência irredutível antes de uma crise e testa a rota de fuga enquanto o provedor está saudável.

A lista atual do BCB não divulga o cronograma no nível do cliente da C&M, provedores de destino, escopo residual ou critérios de conclusão. Esses detalhes podem ser apropriadamente confidenciais. Sua ausência significa que estranhos não podem julgar até que ponto a saída progrediu.

Clientes e reguladores, no entanto, devem ser capazes de responder a um conjunto mensurável de perguntas: quantas instituições permanecem dependentes; quais serviços de mensagem ainda atravessam o provedor; se novas credenciais foram emitidas; se cada cliente concluiu o teste de caminho duplo; como as exceções de reconciliação se comportaram; e que evento permite que o caminho antigo seja descomissionado.

O suporte faz parte do limite de segurança

O software de pagamento é frequentemente comprado como tecnologia e vivenciado como suporte. Uma mensagem falhada às 3h pode não anunciar se a causa é o núcleo do cliente, a transformação do provedor, um certificado, um caminho de rede, uma mudança de regra do SPI ou liquidez insuficiente. A resolução mais rápida depende de pessoas que podem ver através dessas camadas. A vantagem reivindicada da C&M — longa experiência em mensageria SPB e Pix — seria mais valiosa precisamente nesses momentos.

Isso cria uma concentração subexaminada. Engenheiros de terceira linha e analistas operacionais podem acumular ampla visibilidade e privilégios excepcionais porque as equipes comuns de clientes não podem resolver os casos mais difíceis. O acesso de emergência pode contornar o fluxo de trabalho normal para que os pagamentos sejam retomados rapidamente. Ferramentas de suporte compartilhadas podem conectar muitos ambientes de clientes. Um pequeno grupo de pessoas pode entender a substituição de certificados, o reprocessamento de mensagens e a coordenação regulatória.

Seu conhecimento melhora a resiliência, enquanto suas contas, dispositivos, horários de trabalho e julgamento se tornam parte da superfície de ataque.

O suposto envolvimento de um funcionário da C&M em 2025 torna o controle de pessoal inevitável, mas a resposta não pode ser reduzida a treinar funcionários para não divulgar credenciais. Um design de suporte resiliente assume que coerção, suborno, fadiga, erro e roubo de conta são possíveis. Ele usa privilégio just-in-time, aprovação separada para ações de produção, identidade vinculada a dispositivo, gravação de sessão, logs visíveis ao cliente, partições estreitas de cliente, expiração forçada e paradas comportamentais. Ele impede que uma identidade de suporte gere ou aprove instruções que transportam valor.

Torna uma elevação de emergência suficientemente conspicua para que outra pessoa tenha que explicá-la enquanto acontece.

Compensação e pessoal também pertencem à due diligence, embora o registro público não seja suficiente para julgar as práticas da C&M. Um provedor que vende disponibilidade contínua precisa de turnos profundos o suficiente para evitar um operador indispensável. Precisa de liderança de incidente nomeada, suporte bilíngue ou local quando relevante, caminhos de contato testados para o BCB e autoridades de certificação, e sucessão para especialistas que entendem serviços SPB mais antigos.

Os compradores devem inspecionar a rotatividade em funções privilegiadas, a política de verificação de antecedentes, os tempos de revogação de acesso e a proporção entre engenheiros de plantão e clientes críticos. Uma declaração brilhante de serviço 24 horas por dia, 7 dias por semana, não diz nada sobre se a terceira pessoa em um escalonamento está acordada, autorizada e treinada.

A evidência de suporte deve ser baseada em resultados. Medidas úteis incluem tempo para reconhecer uma falha de mensagem regulatória, tempo para isolar um cliente, tempo para revogar um certificado, idade de exceções de reconciliação não resolvidas, taxas de falso negativo e falso positivo em controles de fraude, frequência de acesso privilegiado e desempenho de recuperação durante exercícios não anunciados. A resolução média de tickets pode esconder o único incidente de pagamento que importa. Um fornecedor deve, portanto, relatar caminhos críticos separadamente e permitir que os clientes vejam suas próprias trilhas.

Finalmente, os deveres de suporte devem sobreviver ao término do contrato e à saída regulatória. O provedor atual pode ter menos incentivo comercial para reter especialistas enquanto os clientes migram, justamente quando o conhecimento histórico é mais necessário. Um plano de saída ordenada deve financiar uma equipe de transição dedicada, identificar o risco de pessoa-chave, exigir runbooks atualizados e preservar os níveis de resposta durante a migração. A continuidade não é alcançada se a infraestrutura permanecer ligada, mas as pessoas que a entendem saírem primeiro.

O preço da delegação

A C&M não publica uma tarifa geral de PSTI. Sua página do Corner direciona clientes em potencial para contato de vendas, enquanto um FAQ do Pix Automático diz que um serviço específico é faturado através de mensagens e não traz custos extras de configuração ou taxas mensais surpresa para usuários existentes do Corner. Essa é uma declaração de marketing com escopo, não uma lista de preços completa. Qualquer estimativa dos termos comerciais gerais da C&M seria, portanto, especulação.

A lógica de custo do produto ainda pode ser analisada. Um serviço PSTI gerenciado substitui várias despesas visíveis: conectividade de rede dupla, ambientes seguros, engenheiros de pagamento especializados, software de mensagens, certificados, monitoramento, testes, operações voltadas ao regulador e suporte contínuo. O provedor pode distribuir custos fixos entre os clientes. Uma pequena instituição pode alcançar o Pix mais cedo e com uma equipe mais experiente do que conseguiria montar sozinha. O preço por mensagem também alinha alguma despesa com o volume de transações.

Mas a fatura é apenas a primeira camada. Os custos de implementação incluem mapear dados de core banking em mensagens de pagamento, estabelecer ambientes, integrar identidades, definir limites de fraude, realizar testes de homologação, treinar operações e provar reconciliação. A economia recorrente pode combinar uma taxa de plataforma ou suporte, encargos de uso, módulos, conectividade, armazenamento, suporte a auditoria e níveis de serviço mais altos. A mudança regulatória cria trabalho adicional. Os termos de proteção de dados publicados da C&M dizem que requisitos legais ou regulatórios alterados podem produzir custos a serem negociados, e que as auditorias solicitadas pelo cliente podem ser cobradas.A política também estabelece responsabilidades de auditoria e incidentes, embora seja um documento contratual da empresa, não um relatório de controle verificado de forma independente.

O risco adiciona outro preço. Franquias de seguro, buffers de capital, perdas por fraude, aconselhamento de incidentes, trabalho forense, remediação de clientes e restrições regulatórias podem superar a economia de assinatura. O limite de transferência de R$ 15.000 imposto a instituições que usam provedores que não concluíram o novo processo de credenciamento pode alterar a economia de produto de um cliente mesmo quando sua tecnologia ainda funciona. Um produto de tesouraria ou pagamento comercial se torna menos útil se as transferências rotineiras excederem o limite.

O status do provedor é, portanto, uma característica comercial com consequências imediatas de receita.

A saída é a camada final e frequentemente a menos precificada. Um cliente que economiza usando consoles, transformações e conhecimento operacional proprietários pode depois pagar por infraestrutura paralela, extração de dados, novos certificados, suporte duplo e meses de teste. O custo de troca aumenta a cada regra não documentada, configuração de fraude controlada pelo provedor e integração que existe apenas na mente do provedor. A implantação no local pode reduzir o custo de migração de infraestrutura, mas preservar a dependência de aplicação e conhecimento. Uma cotação mensal mais baixa pode, portanto, comprar uma opção futura mais cara.

Uma comparação racional usa o custo total de controle em vez do custo por mensagem. Adicione implementação, supervisão interna, garantia independente, exercícios de incidentes, trabalho de mudança regulatória e uma saída financiada. Depois compare o risco residual: quanto valor pode ser movido antes de uma parada independente; quantos clientes compartilham um domínio de falha; com que rapidez uma chave pode ser substituída; e se uma rota alternativa já transportou uma mensagem de teste real. O provedor mais barato não é aquele com a tarifa mais baixa.

É aquele que entrega o resultado de pagamento exigido com o menor custo combinado de operação, supervisão, falha e saída.

A concorrência é uma escolha de arquitetura de controle

A página atual de provedores do BCB nomeia apenas um pequeno conjunto de transição, mas não deve ser usada para calcular participação de mercado. Ela mostra três provedores em credenciamento e conformes com a Instrução 664, dois em ajuste sem clientes e dois em saída ordenada. A página não diz que este é um censo econômico completo de todos os fornecedores de software, conexão direta ou arranjo dentro do grupo. O próprio site da C&M exibe números de participação de mercado variáveis que parecem ser gerados dinamicamente e não são acompanhados de uma metodologia auditável. Eles são evidências inadequadas para percentagens de concentração.

As escolhas competitivas são, no entanto, identificáveis. Uma instituição pode buscar outro PSTI com credenciamento bem-sucedido, construir capacidade direta de RSFN e SPI quando sua forma regulatória permitir, usar um provedor de tecnologia do grupo sob a exceção de segregação do regime, ou reconsiderar se precisa de participação direta em um serviço específico do Pix. A participação direta e indireta no Pix também aloca funções de liquidação e diretório de forma diferente. Cada opção muda custo e controle, em vez de simplesmente substituir um logotipo por outro.

Outro provedor gerenciado oferece o substituto funcional mais próximo. Pode reduzir a complexidade da migração se suportar o mesmo catálogo de mensagens e sistemas legados familiares. O comprador ainda deve perguntar se “fornecedor diferente” significa domínio de falha diferente. Duas marcas podem compartilhar um data center, operadora de telecomunicações, processo de certificado, componente de software, subcontratado de segurança ou pequeno grupo de pessoal especializado. A concentração deve ser mapeada através de terceiros e infraestrutura comum, não contada pelo nome do fornecedor.

A operação direta aumenta o controle, mas também cria uma nova instituição operacional dentro da instituição. Precisa de pessoas que possam acompanhar lançamentos de catálogo, manter ambas as redes RSFN, proteger chaves, gerenciar liquidez, monitorar fraudes continuamente e coordenar incidentes. O ganho de segurança existe apenas se o comprador puder executar essas funções melhor do que um especialista. Uma conexão direta mal dimensionada pode trocar a concentração do provedor por risco de pessoa-chave e manutenção mais fraca.

Um provedor do grupo pode alinhar incentivos e reter conhecimento, mas pode compartilhar governança, sistemas de identidade e gerenciamento de crises com a instituição financeira que deveria proteger. A Resolução 498 alterada isenta provedores de processamento do mesmo grupo do quadro completo de PSTI externo, enquanto exige segregação operacional e controles técnicos e de segurança aplicáveis. Isso não é uma licença para colapsar funções. O grupo deve mostrar que o comprometimento de um ambiente corporativo comum não pode se tornar autoridade de pagamento.

Os padrões internacionais reforçam essa visão de arquitetura. A metodologia CPMI-IOSCOpara provedores críticos de serviçospergunta sobre risco empresarial, segurança da informação, confiabilidade, planejamento tecnológico e dependências de terceiros. Osprincípios de 2025 do Comitê de Basileia para risco de terceirostratam concentração, dependência da cadeia de suprimentos, gerenciamento do ciclo de vida e saída como responsabilidades do banco. Esses padrões não selecionam a C&M ou um rival. Eles explicam por que uma decisão de aquisição deve cobrir todo o gráfico de dependências e permanecer revisável ao longo do contrato.

Para a C&M, a concorrência agora tem uma dimensão temporal. Uma página de produto pode continuar a anunciar o Corner 2026, implantação híbrida e suporte especializado. Uma instituição regulada que precisa de acesso à RSFN deve começar com a evidência de status atual do BCB. Se um serviço proposto depende da C&M agindo como PSTI externo, o comprador precisa de confirmação por escrito da base legal, escopo da transição e cronograma permitido da autoridade relevante.

Se a proposta for uma licença de software no local, serviço de suporte ou produto não PSTI, o comprador deve definir quais funções reguladas permanecem com a C&M e quais não. A ambiguidade sobre o papel é, por si só, uma falha de controle.

Doze testes de aquisição

A resposta útil ao incidente de 2025 não é um questionário genérico de cibersegurança. Um comprador deve realizar testes que tornem os limites de controle observáveis antes de confiar pagamentos de produção a qualquer provedor. Para a C&M, esses testes também precisam abordar a classificação atual de saída ordenada.

1. Prove o papel legal e regulatório.Combine o nome legal e o CNPJ da parte contratante com o registro atual do BCB. Obtenha o status exato e o escopo para cada data de serviço. Distinga licenciamento de software, processamento gerenciado, acesso RSFN, suporte indireto ao Pix e participação no banco central. Não aceite um aviso histórico do Diário Oficial ou uma alegação de marketing como evidência de credenciamento atual.
2. Rastreie um pagamento de ponta a ponta.Comece com a instrução do cliente e identifique todo sistema, identidade, transformação, aprovação, chave, certificado, fila, log e registro de reconciliação até a liquidação. Marque qual parte controla cada estágio. Repita para reversão, timeout, duplicata, mensagem malformada e falta de liquidez. Slides de arquitetura não são suficientes; o comprador deve observar uma transação controlada.
3. Demonstre controle exclusivo de assinatura.A instituição deve gerar e reter suas chaves de assinatura privadas em um limite que o provedor não possa alcançar. Deve verificar a mensagem exata antes de assinar. Teste se um administrador do provedor, engenheiro de suporte ou certificado de canal comprometido não pode produzir uma mensagem válida que transporte valor. Confirme credenciais separadas para teste, produção, estabelecimento de canal e assinatura de mensagem.
4. Tente um cenário interno.Dê a um operador de equipe vermelha uma identidade de suporte legítima, mas limitada. Tente alcançar outro cliente, alterar um limite de fraude, criar uma nova integração, reproduzir uma mensagem e elevar privilégio em um horário incomum. O teste passa apenas se os controles preventivos pararem a ação prejudicial e a evidência visível ao cliente explicar a tentativa em tempo real.
5. Teste valor e velocidade anômalos antes da submissão.Simule transferências que são individualmente permitidas, mas coletivamente anormais por tempo, destino, valor e taxa. Verifique quando uma parada forçada ocorre, quem pode anulá-la, se a anulação precisa de uma organização diferente e com que rapidez a instituição é notificada. Um alerta de painel após a liquidação irrevogável não é um controle preventivo.
6. Isole um cliente sem parar todos.Force uma falha ou comprometimento suspeito em um locatário. Meça o tempo para revogar o acesso, rotacionar credenciais e preservar evidências. Confirme que outras instituições continuam em segurança e que componentes compartilhados não podem vazar autoridade entre partições. Depois, teste o oposto: uma falha de componente comum deve entrar em um estado seguro controlado, em vez de produzir transações incertas.
7. Revogue e reconstrua a confiança.Exercite o processo de mudança de certificado do BCB. Emita novos certificados, desative os registros antigos e revogue-os na autoridade de certificação. Prove que todo caminho antigo falha, incluindo sistemas de contingência e endpoints de teste esquecidos. Cronometre o exercício; durante um ataque real, a recuperação de certificado faz parte da recuperação do serviço.
8. Execute ambos os caminhos de rede e perca um.A RSFN usa duas redes de telecomunicações independentes. A instituição deve observar a comutação de tráfego, capacidade, alarmes e recuperação quando qualquer uma falha. Deve também mapear dependências que podem fazer com que rotas aparentemente independentes compartilhem energia, instalações, DNS, identidade ou operações.
9. Reconcile a partir da evidência do cliente.O comprador deve ser capaz de reconstruir o que foi gerado, aprovado, assinado, enviado, reconhecido e liquidado sem depender inteiramente do console do provedor. Os logs devem ser à prova de adulteração, retidos pelo período exigido, disponíveis prontamente e correlacionados entre identidades e mensagens. As exceções de amostra devem resolver para lançamentos contábeis.
10. Inspecione a garantia independente, não os selos.Obtenha o auditor, escopo, período, sistemas, exclusões, exceções e datas de remediação para o trabalho de segurança e continuidade. Verifique se a revisão cobriu o serviço de produção exato e os controles pós-incidente. A C&M disse que contratou trabalho forense e de controle externo após o ataque; um cliente regulado em potencial deve determinar qual relatório pode ser legalmente compartilhado e o que permaneceu não resolvido.
11. Precifique uma saída completa antes da entrada.Nomeie o provedor alternativo ou modelo direto, funcionários necessários, exportações de dados e configuração, plano de certificado, duração da execução paralela, obrigações de suporte e interrupção máxima tolerada. Coloque os custos e níveis de serviço no contrato. Depois, realize um exercício de migração parcial. Um documento que nunca moveu uma mensagem não é uma capacidade de saída.
12. Defina evidências para a fase de saída ordenada.Para um cliente ainda afetado pela transição da C&M, registre os marcos aprovados pelo regulador, serviços residuais, limites permitidos, destino da migração, consentimento do cliente, medidas de monitoramento e evento final de descomissionamento. Revise-os no nível do conselho. Como a página pública do BCB não explica o motivo ou o cronograma, as evidências de governança privada devem ser especialmente precisas.

O que o registro público não pode responder

As evidências em torno da C&M são substanciais o suficiente para uma identidade firme e uma análise de risco significativa. Não são suficientes para um veredito final sobre culpabilidade ou escopo operacional atual. Várias ausências devem permanecer explícitas.

Primeiro, nenhum relatório forense final público revisado para este artigo estabelece a sequência técnica completa da fraude de 2025. A C&M disse que engenharia social e uso indevido de credenciais foram o ponto de partida e negou uma falha de software. Relatos policiais e da imprensa alegaram que um funcionário facilitou o acesso. Esses relatos podem ser compatíveis, mas não divulgam os privilégios precisos usados, se vulnerabilidades adicionais foram exploradas, quais mensagens foram assinadas por quem ou qual controle detectou as transferências primeiro.

Segundo, não há um valor de perda consolidado autoritativo no registro público revisado aqui. Relatos policiais atribuíram mais de R$ 540 milhões à BMP, enquanto outras estimativas da imprensa variavam para R$ 800 milhões ou R$ 1 bilhão. Alguns fundos foram relatados como bloqueados ou recuperados. O número de instituições afetadas também variou. Um valor de processo, valor de transferência tentada, valor bruto desviado, valor bloqueado e perda econômica final são medidas diferentes. Até que uma autoridade as reconcilie, um único número de manchete criaria falsa certeza.

Terceiro, a página atual do BCB dá a categoria da C&M, mas não sua causa. Não diz se a saída ordenada foi voluntária, transitória, consequência de uma decisão de aplicação, uma medida cautelar, uma falha em cumprir um novo requisito ou alguma combinação. Não diz se todos os ex-clientes migraram, que serviços podem continuar durante a saída ou quando a conclusão é esperada. A Resolução 498 descreve rotas possíveis; não identifica qual rota se aplica à C&M.

Quarto, o marketing atual do produto não é reconciliado com esse status. O site anuncia conformidade total com PSTI e capacidades de acesso atuais. Pode haver uma explicação legal envolvendo transição, modelo de implantação, licenciamento de produto ou serviços fora do papel regulado de PSTI. Nenhuma clarificação pública encontrada aqui mapeia cada alegação para a tabela atual do BCB. Os compradores não devem inferir legalidade ou ilegalidade da incompatibilidade; devem exigir que o papel seja resolvido.

Quinto, as evidências de controle são principalmente autodescritas. A C&M publica documentos históricos de segurança e continuidade e diz que contratou trabalho independente após o incidente. O registro público revisado aqui não contém o relatório forense resultante, uma opinião de garantia independente atual, um teste de recuperação de desastre atual, dados de disponibilidade específicos do cliente ou evidência de que toda remediação pós-incidente foi concluída. A ausência da vista pública não significa que o trabalho não existe. Significa que um leitor externo não pode verificá-lo.

Finalmente, a concentração em si não é medida. A C&M fez alegações históricas e atuais de participação de mercado, mas os números visíveis variam e carecem de um método divulgado. A Reuters citou cerca de duas dúzias de clientes menores na época do ataque, enquanto as páginas da empresa citam um alcance histórico muito mais amplo. A lista de transição do BCB não é um denominador para participação de mercado.

Uma avaliação rigorosa de concentração precisaria de números atuais de clientes, seus valores de transação, dependências comuns, substituibilidade e tempo para migrar — dados mais provavelmente disponíveis ao regulador do que ao público.

Pontos de atenção para a C&M e suas contrapartes

O primeiro ponto de atenção é a própria lista do BCB. Uma mudança futura pode mostrar conclusão da saída ordenada, um status diferente ou uma nova explicação pública. Até lá, a C&M não deve ser descrita como atualmente credenciada apenas porque seu site usa linguagem PSTI no presente. Por outro lado, uma linha de saída ordenada não deve ser esticada para uma alegação de que a empresa está extinta ou proibida de vender todo e qualquer software.

O segundo é a migração de clientes. Evidências de que instituições se mudaram para um provedor com credenciamento bem-sucedido, construíram acesso direto, substituíram certificados e concluíram a reconciliação mostrariam se a saída está operando conforme pretendido. Evidências de extensões repetidas de prazo, limites de transação persistentes ou dependência de arranjos temporários indicariam maior risco de continuidade. A medida crítica não é um anúncio de migração, mas a capacidade de produção testada sem o antigo caminho de confiança.

O terceiro é a divulgação independente de controle. A C&M disse que contratou trabalho forense e de segurança externo e estava revisando a governança de API, onboarding e acesso. Um resumo que identifique escopo, conclusões, exceções residuais e datas de encerramento — sem expor detalhes exploráveis — melhoraria materialmente a compreensão pública da remediação. Também melhoraria um relatório de garantia atual disponível sob confidencialidade para clientes. Páginas de marketing que dizem “conformidade total” são mais fracas do que evidências com escopo e exceções.

O quarto é a aplicação e adjudicação. Alegações policiais, acusações criminais, ações civis ou ação regulatória podem esclarecer quem fez o quê e qual valor de perda é relevante. Elas também podem rejeitar teorias iniciais. A reportagem deve preservar a distinção entre alegação e constatação ao longo do tempo. Uma condenação posterior estabeleceria conduta criminosa por pessoas nomeadas; ainda assim, por si só, não responderia a toda questão de arquitetura ou governança.

O quinto é o reposicionamento do produto. Os modelos clássico, híbrido e no local do Corner 2026 sugerem que a C&M pode buscar preservar a receita de software e conhecimento mesmo onde o papel de provedor muda. Esse pode ser um caminho legítimo, mas os contratos devem declarar quem opera a conexão regulada, quem detém as chaves, quem monitora a fraude e qual empresa é responsável pelo suporte. Uma licença implantada no cliente ainda pode conter dependências proprietárias; um híbrido ainda pode concentrar operações privilegiadas.

O sexto é a implementação pelo regulador de seu próprio novo padrão. A tabela atual mostra um mercado em transição, não um campo estabelecido. Decisões de credenciamento bem-sucedidas, requisitos de capital mais altos, conclusões de garantia e limites de clientes revelarão o rigor com que a Resolução 498 é aplicada. O BCB também deve ser observado quanto a informações agregadas sobre concentração de provedores e risco de migração. Regras rígidas para provedores podem melhorar a segurança, reduzindo inadvertidamente o número de fornecedores; menos provedores, mas mais fortes, ainda podem criar uma dependência em todo o setor.

O último ponto de atenção pertence aos conselhos dos clientes. A Resolução 498 coloca deveres contínuos de monitoramento na instituição contratante. Um conselho que trata o status PSTI como um certificado de aquisição, em vez de uma condição operacional viva, perdeu a lição. Deve receber medidas de acesso privilegiado, transações anômalas, saúde do certificado, exercícios de incidente, exceções de auditoria, concentração e prontidão para saída. Deve saber o valor máximo que poderia sair antes de uma parada independente e o tempo necessário para operar através de outro caminho.

A central de comutação sob o serviço público

A conquista do Pix não é diminuída ao reconhecer suas dependências. O sistema central pode ser altamente disponível, final e seguro enquanto o acesso na borda permanece desigual. De fato, o incidente de 2025 demonstra uma forma de resiliência: o BCB isolou uma camada de provedor afetada, manteve o trilho central operando e restaurou o acesso limitado sob controles mais rigorosos. Também demonstra o custo desse isolamento para instituições cuja rota dependia da C&M.

A C & M Software construiu um negócio tornando a infraestrutura difícil utilizável. Reuniu conhecimento de mensagens de pagamento, conectou sistemas legados, ofereceu consoles operacionais e apoiou instituições que não queriam reproduzir toda a pilha RSFN. Esse é um trabalho tecnológico real. É precisamente por isso que a empresa se tornou consequente. Quanto mais próximo um fornecedor chega do ponto onde a intenção se torna liquidação irrevogável, menos adequado é avaliar o fornecedor como software empresarial comum.

O ataque de 2025 mostrou que uma credencial pode ser mais perigosa que um servidor quebrado. A linha atual de saída ordenada mostra que a continuidade deve incluir a partida, não apenas hardware redundante. O novo regime regulatório mostra que a instituição deve preservar um núcleo criptográfico e operacional que não delega: suas chaves, sua validação da intenção da transação, seu monitoramento do fornecedor e sua capacidade de mudar de rota.

Não há atalho baseado em evidências para um julgamento final sobre a C&M. O relato da empresa sobre engenharia social é plausível e parcialmente refletido em relatos policiais, mas a cadeia forense pública está incompleta. O status atual do regulador é claro, mas sua razão não é. As alegações de produto do site são visíveis, mas sua relação com o processo de saída ordenada não está resolvida. Essas tensões devem permanecer visíveis, em vez de serem suavizadas em vindicação ou condenação.

A conclusão mais duradoura diz respeito ao design do mercado. Provedores compartilhados permitem que instituições menores entrem em infraestrutura pública sofisticada. Eles também criam gargalos privados sob um serviço universal. A resposta do Brasil após 2025 — capital, seguro, garantia independente, separação de chaves, controles de fraude pré-liquidação, supervisão do cliente e saída ordenada — reconhece que um PSTI não é um tubo neutro. É uma superfície de controle crítica.

Para qualquer instituição considerando o software da C&M, migrando de seu serviço de provedor ou selecionando um sucessor, a questão decisiva não é, portanto, “Este fornecedor pode nos conectar ao Pix?” É “Que poderes esta conexão concentrará, que poderes permanecerão independentemente nossos, e podemos provar ambas as respostas na pior noite do contrato?” O Pix pode liquidar em segundos. A confiança na central de comutação subjacente tem que ser projetada para anos.