In the first days of July 2025, news of an invasion of C&M Software's infrastructure reverberated throughout the Brazilian financial sector and even abroad. The repercussion was not without reason, as the technology service provider is used by various fintechs and banks for integration with the Brazilian Payment System and Pix.

One of C&M Software's employees was arrested as a suspect of selling his access passwords to the invaders. As a result, criminals managed to access the company's systems and compromise reserve accounts of at least five financial institutions by making illicit transfers. Up to the time of writing this Intelligence Bulletin, C&M Software has not disclosed the amount affected by the incident, but BMP, one of its clients, reported having suffered a loss of R$ 541 million. The investigation has already led to the arrest of a former C&M Software employee, accused of selling his credentials to criminals, the suspension of several financial institutions, and the blocking of an account at Soffy Payment Solutions.

The episode raises some vulnerabilities in the Brazilian Banking-as-a-Service (BaaS) model, a strategy used by C&M Software. According to a study by Future Market Insights, the expectation is that this market will generate more than US$ 16 million by 2034. The system allows the company to offer financial services to its clients, mainly through APIs. However, the invasion was so well-planned that it managed to create a domino effect, hitting several of these institutions at the same time.

With this in mind, this Intelligence Bulletin created by SEK seeks to point out some technical opinions about the cyberattack and its repercussion. In addition, the SEK team aims to anticipate what lessons this episode can teach companies in the BaaS sector and the financial area, both in Brazil and Latin America. The intention is to prevent the next criminal attack from being so devastating.

C&M Software operates as an IT service provider focused on Brazil's financial market. Authorized by the Central Bank to operate since 2001, the company is practically a bridge between smaller financial institutions and the Brazilian Payment System. In practice, the company allows banks and fintechs to connect to BACEN systems to offer TED, Pix, and other modalities operations to their customers. Besides C&M Software, only eight other companies also have Central Bank authorization for this operation.

As pointed out in the summary of this Bulletin, C&M Software's business model fits into the BaaS concept. The modality allows companies to offer financial products and services to their customers without necessarily becoming formal banking institutions. Thus, C&M Software consumers can provide financial products in their portfolio and, certainly, under their own brands.

According to Mordor Intelligence, the Banking-as-a-Service market size is projected to reach more than US$ 3 billion by 2030 in Latin America, a growth rate of 7% per year. The issue here, however, is that the model also presents problems from a cybersecurity perspective, mainly due to technology monopolization – and that's exactly what the C&M Software attack demonstrated.

Cyberattack Chronology

The events that culminated in the attack began long before its discovery on July 2, 2025. Below, SEK presents a chronology of everything that happened in relation to the invasion up to the writing of this Intelligence Bulletin.

The technical analysis of the cyberattack on C&M Software allows us to better understand the sophistication of the methods employed, as well as reveal critical points of failure in security controls common to the Banking-as-a-Service (BaaS) model. Although there are still ongoing investigations, it is possible, based on available public information, to map stages and plausible hypotheses about the criminal operation.

Social engineering as initial vector

The attack had the co-optation of an employee of the company itself as its entry point, which classifies the incident as an insider threat case. According to testimonies given by developer João Nazareno Roque, he was approached in a meeting planned by criminals who already had specific information about his position and function. This type of approach suggests prior use of Open Source Intelligence (OSINT) techniques, such as data collection on social networks, public records and even platforms like LinkedIn.

This type of operation indicates a significant degree of planning and coordination. The social engineering employed here goes beyond traditional phishing or pretexting attacks — the criminals acted in person and with successive approaches, demonstrating a well-structured operation.

Credential abuse and access control failures

The success of the intrusion also exposes weaknesses in C&M Software's access controls and user behavior monitoring. The use of Roque's credentials occurred in a prolonged manner and, according to reports, involved the execution of specific commands by him, based on instructions received from third parties.

There are still no public technical details about exactly how the authentication process took place. One hypothesis is that the attackers took advantage of the employee's continuous collaboration to execute all necessary steps, including eventual multi-factor authentications. On the other hand, it is also not possible to completely rule out the possibility that security mechanisms, such as MFA, were poorly configured, ineffective or even absent, which could have facilitated unauthorized access.

Regardless of the correct hypothesis, the time spent within C&M's infrastructure (at least two months) without detecting anomalous activities raises doubts about the presence (or effectiveness) of User and Entity Behavior Analytics (UEBA) systems, which could have identified deviations from the standard in user behavior.

Persistence and discreet movement

Roque claims that malicious commands were executed as early as May, more than a month before the final attack. This demonstrates a stealthy presence within the systems, with potential lateral movement for asset reconnaissance and transaction preparation.

Although there are still no public technical details about how the attackers maintained this prolonged access, it is technically plausible that they used techniques known as "Living off the Land" (LotL). In this type of approach, attackers avoid external tools and use legitimate binaries already present in the system (LOLBins), such as powershell.exe, cmd.exe, wmic or rundll32, to execute commands without triggering antivirus or EDR alerts.

The combination of persistence and use of native tools would have allowed cybercriminals to recognize the reserve accounts maintained by financial institutions connected to C&M and orchestrate attacks with precision.

Coordinated execution and post-invasion evasion

The main attack was executed at dawn on July 1 to 2, outside business hours. This moment was strategically chosen to coincide with windows of reduced monitoring by institutions and C&M Software itself. 166 transactions via Pix were recorded within hours, directed to dozens of different financial institutions.

Based on practices observed in previous attacks, it is possible that criminals used automated scripts to trigger transfers in series. The subsequent conversion of values into cryptoassets — according to preliminary investigations — is a typical tactic to hinder financial tracking and the asset recovery process.

This type of movement may also involve the use of mixing services (cryptoasset mixers) and decentralized digital wallets to hide the origin of funds.

Systemic vulnerabilities in the BaaS model

C&M Software's business model, based on Banking-as-a-Service, functioned as a multiplier vector of impact. The centralization of critical services in a single provider without effective segmentations caused a single violation to generate a domino effect, affecting dozens of institutions simultaneously.

This scenario reinforces the importance of practices such as:

• Logical isolation between customer environments;
• Segmentation of privileged access;
• Continuous review of exposed APIs;
• Audit of integrations and third-party dependencies.

Furthermore, public information is lacking about whether C&M used continuous monitoring with SIEM, automated response playbooks (SOAR) or specific security controls for APIs (such as WAF with rules for JSON/XML).

Even with the arrest of one of the suspects of the invasion, the attack on C&M Software remains under intense investigation by the competent authorities, with many technical aspects still being investigated by the Federal Police and the Central Bank. Damage estimates vary significantly between sources, and details about the exact methods used by criminals remain under investigative secrecy. This limitation of information is natural in cases of this magnitude, but it does not diminish the severity of the vulnerabilities exposed nor the urgency of preventive actions in the sector.

The coordinated response between the Central Bank, Federal Police and C&M Software itself was fundamental to contain a potentially catastrophic damage. The isolation of the affected environment, as well as communication to BACEN and the precautionary suspension of the company's operations were very important to prevent the expansion of the attack. Without this quick and coordinated action, the damages could have been exponentially greater.

From the analysis of the attack on C&M Software, it is possible to identify structural failures that go beyond specific technical vulnerabilities and reveal gaps in modern models of financial service provision, such as Banking-as-a-Service (BaaS). To face challenges of this magnitude, it is essential that organizations adopt an integrated and proactive approach to cybersecurity. Below, SEK presents a set of strategic recommendations.

1. Strengthening third-party governance (Third-Party Risk Management – TPRM)

Companies that delegate critical functions to suppliers must implement robust policies for continuous evaluation of these third parties.

• Critically evaluate the security controls of providers with direct access to critical environments, such as Pix connectors.
• Establish contractual clauses requiring compliance with standards such as ISO/IEC 27001 and 27036.
• Conduct periodic audits, with offensive security testing and independent technical validations. SEK offers specialized consulting for contract review, security policies and implementation of compliance frameworks focused on secure outsourcing.

2. Shielding against internal threats (Insider Threat Management)

The use of social engineering to co-opt an employee shows that internal risks must be treated with the same seriousness as external threats.

• Implement continuous education and awareness programs in security. SEK offers the Awareness service, an awareness program with practical simulations, interactive campaigns, phishing exercises and personalized lectures.
• Establish access controls based on principles of minimum privilege and segregation of duties.
• Use UEBA (User and Entity Behavior Analytics) tools to identify anomalous behaviors in real time.
• Implement DLP (Data Loss Prevention) solutions with specialized consulting from SEK. The service enables the prevention of data loss by monitoring sensitive information at rest or in transit, alerting and blocking both accidental and intentional leakage attempts.

3. Early detection and coordinated incident response

The attack was underway for months before being detected. The failure in operational visibility can be mitigated with modern detection structures.

• Establish continuous 24x7 monitoring based on indicators of compromise (IoCs).
• Integrate SIEM systems with custom rule engineering per business profile.
• Use Threat Hunting techniques to identify threats that escape traditional controls. SEK's team offers a continuous incident detection and response operation (MDR), with 24/7 coverage, client-adapted rule engineering (DEaTH), expert-coordinated response (TAR), and integration with cyber intelligence.

4. Access control and privilege segmentation

The use of a single account to orchestrate fraud in multiple institutions demonstrates the absence of granular controls.

• Establish mandatory multi-factor authentication with periodic key rotation.
• Apply logical segmentations between customer environments and infrastructure management.
• Monitor accounts with elevated privileges with real-time alerts and behavioral double-factor policies.
• Implement a Vulnerability Management program as offered by SEK, with continuous monitoring of internal and external attack surfaces and prioritization of critical failures linked to identity and access control.

5. Continuous validation of organizational resilience

It is not enough to react — it is necessary to test and validate the cybersecurity defense capacity regularly.

• Conduct tabletop exercises with realistic scenarios based on recent incidents.
• Perform attack simulations (Red Team), as offered by SEK, to test defenses from an adversarial perspective.
• Establish maturity indicators and plan long-term evolutionary actions.

6. Intelligence against emerging threats

In attacks like C&M's, often the anticipation of movements is the difference between containment and collapse.

• Integrate threat intelligence (CTI) into monitoring and response platforms.
• Consume IoC and TTP feeds in real time, especially those associated with the financial sector.
• Maintain alignment with frameworks such as MITRE ATT&CK and CISA/NIST guidelines.

• Think Ahead Report 2025
• C&M Software
• Metrópoles
• G1
• Banco do Brasil
• Banco Central do Brasil
• Future Market Insights
• CNN Brasil
• PwC
• Neofeed
• BMP
• Exame
• Agência Brasil
• G1
• GLOBO
• G1
• Valor Econômico

En los primeros días de julio de 2025, la noticia de una invasión a la infraestructura de C&M Software repercutió en el sector financiero brasileño e incluso en el exterior. La repercusión no fue sin razón, ya que el proveedor de servicios de tecnología es utilizado por diversas fintechs y bancos para la integración con el Sistema de Pagos Brasileño y el Pix.

Uno de los colaboradores de C&M Software fue arrestado como sospechoso de vender sus contraseñas de acceso a los invasores. Como resultado, los criminales lograron acceder a los sistemas de la empresa y comprometer cuentas de reserva de al menos cinco instituciones financieras al realizar transferencias ilícitas. Hasta el momento de escribir este Boletín de Inteligencia, C&M Software no ha divulgado la cantidad afectada por el incidente, pero BMP, uno de sus clientes, reportó haber sufrido una pérdida de R$ 541 millones. La investigación ya llevó al arresto de un ex-colaborador de C&M Software, acusado de haber vendido sus credenciales a los criminales, a la suspensión de varias instituciones financieras y al bloqueo de cuenta en Soffy Soluciones de Pagos.

El episodio plantea algunas vulnerabilidades en el modelo Banking-as-a-Service (BaaS) brasileño, estrategia utilizada por C&M Software. Según un estudio de Future Market Insights, la expectativa es que este mercado genere más de US$ 16 millones hasta 2034. El sistema permite que la compañía ofrezca servicios financieros a sus clientes, principalmente a través de APIs. Sin embargo, la invasión fue tan bien planeada que logró crear un efecto dominó, alcanzando varias de estas instituciones al mismo tiempo.

Teniendo esto en cuenta, este Boletín de Inteligencia creado por SEK busca señalar algunas opiniones técnicas sobre el ciberataque y su repercusión. Además, el equipo de SEK busca anticipar qué lecciones puede enseñar este episodio a empresas del sector BaaS y del área financiera, tanto de Brasil como de América Latina. La intención es evitar que la próxima acometida de criminales sea tan devastadora.

C&M Software actúa como un proveedor de servicios de TI enfocado en el mercado financiero de Brasil. Autorizada por el Banco Central para operar desde 2001, la empresa es prácticamente un puente entre instituciones financieras menores y el Sistema de Pagos Brasileño. En la práctica, la compañía permite que bancos y fintechs se conecten a los sistemas de BACEN para ofrecer operaciones de TED, Pix y de otras modalidades a sus clientes. Además de C&M Software, solamente otras ocho empresas también tienen la autorización del Banco Central para esta actuación.

Como señalado en el resumen de este Boletín, el modelo de negocio de C&M Software se inserta en el concepto de BaaS. La modalidad permite que empresas ofrezcan productos y servicios financieros a sus clientes sin necesariamente convertirse en instituciones bancarias formales. Así, los consumidores de C&M Software pueden proporcionar productos financieros en su portafolio y, por cierto, bajo sus propias marcas.

Según Mordor Intelligence, el tamaño del mercado de Banking-as-a-Service tiene la proyección de alcanzar más de US$ 3 mil millones hasta 2030 en América Latina, una tasa de crecimiento del 7% al año. La cuestión aquí, sin embargo, es que el modelo también presenta problemas bajo la perspectiva de la seguridad cibernética, principalmente por la monopolización de la tecnología – y fue exactamente eso lo que el ataque a C&M Software demostró.

Cronología del ciberataque

Los eventos que culminaron en el ataque comenzaron mucho antes de su descubrimiento, el día 2 de julio de 2025. A continuación, SEK presenta una cronología de todo lo que pasó en relación a la invasión hasta la escritura de este Boletín de Inteligencia.

El análisis técnico del ataque cibernético a C&M Software permite comprender mejor la sofisticación de los métodos empleados, además de revelar puntos críticos de falla en controles de seguridad comunes al modelo Banking-as-a-Service (BaaS). Aunque aún existen investigaciones en curso, es posible, con base en la información pública disponible, mapear etapas e hipótesis plausibles sobre la operación criminal.

Ingeniería social como vector inicial

El ataque tuvo como puerta de entrada la cooptación de un empleado de la propia empresa, lo que clasifica el incidente como un caso de amenaza interna. Según testimonios prestados por el desarrollador João Nazareno Roque, él fue abordado en un encuentro planeado por criminales que ya tenían información específica sobre su cargo y función. Este tipo de abordaje sugiere el uso previo de técnicas de Open Source Intelligence (OSINT), como levantamiento de datos en redes sociales, registros públicos e incluso plataformas como LinkedIn.

Este tipo de operación indica un grado significativo de planificación y coordinación. La ingeniería social empleada aquí extrapola los tradicionales ataques de phishing o pretexting — los criminales actuaron presencialmente y con sucesivos abordajes, lo que demuestra una operación bien estructurada.

Abuso de credenciales y fallas de control de acceso

El éxito de la intrusión también expone fragilidades en los controles de acceso y monitoreo de comportamiento de usuarios de C&M Software. El uso de las credenciales de Roque se dio de forma prolongada y, según relatos, involucró la ejecución de comandos específicos por él mismo, mediante instrucciones recibidas de terceros.

Aún no hay detalles técnicos públicos sobre cómo se dio exactamente el proceso de autenticación. Una hipótesis es que los atacantes se hayan valido de la colaboración continua del empleado para ejecutar todas las etapas necesarias, inclusive eventuales autenticaciones multifactor. Por otro lado, tampoco se puede descartar completamente la posibilidad de que mecanismos de seguridad, como MFA, hayan sido mal configurados, ineficaces o incluso ausentes, lo que podría haber facilitado el acceso indebido.

Independientemente de la hipótesis correcta, el tiempo de permanencia dentro de la infraestructura de C&M (al menos dos meses) sin la detección de actividades anómalas levanta dudas sobre la presencia (o eficacia) de sistemas de User and Entity Behavior Analytics (UEBA), que podrían haber identificado desvíos de patrón en el comportamiento del usuario.

Persistencia y movimiento discreto

Roque afirma que comandos maliciosos fueron ejecutados aún en mayo, más de un mes antes del ataque final. Esto demuestra una presencia furtiva dentro de los sistemas, con potencial movimiento lateral para reconocimiento de activos y preparación de las transacciones.

Aunque aún no hay detalles técnicos públicos sobre cómo los atacantes mantuvieron este acceso prolongado, es técnicamente plausible que hayan utilizado técnicas conocidas como "Living off the Land" (LotL). En este tipo de abordaje, los atacantes evitan herramientas externas y se valen de binarios legítimos ya presentes en el sistema (LOLBins), como powershell.exe, cmd.exe, wmic o rundll32, para ejecutar comandos sin disparar alertas de antivirus o EDRs.

La combinación entre persistencia y uso de herramientas nativas habría permitido que los cibercriminales reconocieran las cuentas de reserva mantenidas por las instituciones financieras conectadas a C&M y orquestaran los ataques con precisión.

Ejecución coordinada y evasión post-invasión

El ataque principal fue ejecutado en la madrugada del día 1 para el 2 de julio, fuera del horario comercial. Ese momento fue estratégicamente elegido para coincidir con ventanas de monitoreo reducido por parte de las instituciones y de la propia C&M Software. Fueron registradas 166 transacciones vía Pix en cuestión de horas, direccionadas para decenas de instituciones financieras diferentes.

Con base en prácticas observadas en ataques anteriores, es posible que los criminales hayan utilizado scripts automatizados para disparar las transferencias en serie. La posterior conversión de valores en criptoactivos — conforme investigaciones preliminares — es una táctica típica para dificultar el rastreo financiero y el proceso de recuperación de activos.

Este tipo de movimiento también puede involucrar el uso de servicios de mixing (mezcladores de criptoactivos) y carteras digitales descentralizadas para ocultar el origen de los fondos.

Vulnerabilidades sistémicas en el modelo BaaS

El modelo de negocio de C&M Software, basado en Banking-as-a-Service, funcionó como vector multiplicador del impacto. La centralización de servicios críticos en un único proveedor sin segmentaciones eficaces hizo que una única violación generara un efecto dominó, afectando decenas de instituciones simultáneamente.

Este escenario refuerza la importancia de prácticas como:

• Aislamiento lógico entre los ambientes de clientes;
• Segmentación de accesos privilegiados;
• Revisión continua de las APIs expuestas;
• Auditoría de integraciones y dependencias tercerizadas.

Además, faltan informaciones públicas sobre si C&M utilizaba monitoreo continuo con SIEM, playbooks de respuesta automatizados (SOAR) o controles de seguridad específicos para APIs (como WAF con reglas para JSON/XML).

Incluso con el arresto de uno de los sospechosos de la invasión, el ataque a C&M Software permanece bajo intensa investigación por las autoridades competentes, con muchos aspectos técnicos aún siendo investigados por la Policía Federal y por el Banco Central. Las estimativas de perjuicio varían significativamente entre las fuentes, y los detalles sobre los métodos exactos utilizados por los criminales continúan en sigilo investigativo. Esta limitación de informaciones es natural en casos de esta magnitud, pero no disminuye la gravedad de las vulnerabilidades expuestas ni la urgencia de acciones preventivas en el sector.

La respuesta coordinada entre Banco Central, Policía Federal y la propia C&M Software fue fundamental para contener un daño potencialmente catastrófico. El aislamiento del ambiente afectado, así como la comunicación a BACEN y la suspensión cautelar de las operaciones de la compañía fueron muy importantes para impedir la expansión del ataque. Sin esta acción rápida y coordinada, los perjuicios podrían haber sido exponencialmente mayores.

A partir del análisis del ataque a C&M Software, es posible identificar fallas estructurales que extrapolan vulnerabilidades técnicas puntuales y revelan lagunas en modelos modernos de prestación de servicios financieros, como el Banking-as-a-Service (BaaS). Para enfrentar desafíos de esta magnitud, es fundamental que las organizaciones adopten un abordaje integrado y proactivo en seguridad cibernética. A continuación, SEK presenta un conjunto de recomendaciones estratégicas.

1. Fortalecimiento de la gobernanza de terceros (Third-Party Risk Management – TPRM)

Empresas que delegan funciones críticas a proveedores deben implementar políticas robustas de evaluación continua de estos terceros.

• Evaluar críticamente los controles de seguridad de prestadores con acceso directo a ambientes críticos, como conectores Pix.
• Establecer cláusulas contractuales exigiendo conformidad con normas como ISO/IEC 27001 y 27036.
• Realizar auditorías periódicas, con tests de seguridad ofensiva y validaciones técnicas independientes. SEK ofrece consultoría especializada para revisión de contratos, políticas de seguridad e implementación de frameworks de conformidad con enfoque en tercerización segura.

2. Blindaje contra amenazas internas (Insider Threat Management)

El uso de ingeniería social para cooptación de un colaborador muestra que riesgos internos deben ser tratados con la misma seriedad que amenazas externas.

• Implementar programas continuos de educación y sensibilización en seguridad. SEK ofrece el servicio de Awareness, un programa de concientización con simulaciones prácticas, campañas interactivas, ejercicios de phishing y charlas personalizadas.
• Establecer controles de acceso con base en principios de privilegio mínimo y segregación de funciones.
• Utilizar herramientas de UEBA (User and Entity Behavior Analytics) para identificar comportamientos anómalos en tiempo real.
• Implementar soluciones de DLP (Prevención de Pérdida de Datos), con consultoría especializada de SEK. El servicio permite prevenir la pérdida de datos mediante la monitorización de información sensible en reposo o en tránsito, alertando y bloqueando intentos de filtración accidentales o intencionales.

3. Detección anticipada y respuesta coordinada a incidentes

El ataque quedó meses en curso antes de ser detectado. La falla en la visibilidad operacional puede ser mitigada con estructuras modernas de detección.

• Establecer monitoreo continuo 24x7 con base en indicadores de compromiso (IoCs).
• Integrar sistemas de SIEM con ingeniería de reglas personalizadas por perfil de negocio.
• Utilizar técnicas de Threat Hunting para identificar amenazas que escapen de controles tradicionales. El equipo de SEK ofrece una operación continua de detección y respuesta a incidentes (MDR), con cobertura 24/7, ingeniería de reglas adaptadas al cliente (DEaTH), respuesta coordinada por especialistas (TAR), e integración con inteligencia cibernética.

4. Control de accesos y segmentación de privilegios

El uso de una única cuenta para orquestar fraudes en múltiples instituciones demuestra la ausencia de controles granulares.

• Establecer autenticación multifactor obligatoria con rotación periódica de llaves.
• Aplicar segmentaciones lógicas entre los ambientes de clientes y de gestión de la infraestructura.
• Monitorear cuentas con privilegios elevados con alertas en tiempo real y políticas de doble factor comportamental.
• Implementar un programa de Gestión de Vulnerabilidades como el ofrecido por SEK, con monitoreo continuo de las superficies de ataque internas y externas y priorización de fallas críticas ligadas a la identidad y control de accesos.

5. Validación continua de la resiliencia organizacional

No basta reaccionar — es preciso testar y validar regularmente la capacidad de defensa cibernética.

• Conducir ejercicios tabletop con escenarios realistas basados en incidentes recientes.
• Realizar simulaciones de ataque (Red Team), como el ofrecido por SEK, para testar defensas bajo perspectiva adversaria.
• Establecer indicadores de madurez y planear acciones evolutivas de largo plazo.

6. Inteligencia contra amenazas emergentes

En ataques como el de C&M, muchas veces la anticipación de movimientos es el diferencial entre contención y colapso.

• Integrar inteligencia de amenazas (CTI) a las plataformas de monitoreo y respuesta.
• Consumir feeds de IoCs y TTPs en tiempo real, especialmente los asociados al sector financiero.
• Mantener alineamiento con frameworks como MITRE ATT&CK y orientaciones de CISA/NIST.

• Think Ahead Report 2025
• C&M Software
• Metrópoles
• G1
• Banco do Brasil
• Banco Central do Brasil
• Future Market Insights
• CNN Brasil
• PwC
• Neofeed
• BMP
• Exame
• Agência Brasil
• G1
• GLOBO
• G1
• Valor Econômico