Pix é brasileiro: ataque hacker e startup mostram riscos e ganhos

Enquanto bancos brasileiros correm para blindar suas nuvens contra um grupo hacker que criou um sistema para automatizar transferências Pix fraudulentas, a influenciadora Virginia Fonseca é alvo de críticas por pedir doações via Pix para a babá após uma festa de luxo, e a startup Cashin celebra um salto de 66,6% nas transações, apostando no mesmo meio de pagamento para turbinar campanhas de incentivo. Três histórias distintas que mostram como o Pix, criado e operado pelo Banco Central, virou o centro de disputas, polêmicas e oportunidades no país.

O que aconteceu no ataque hacker ao banco brasileiro que expôs riscos ao Pix?

O banco alvo não teve o nome divulgado, mas a investigação feita em março por especialistas em cibersegurança revelou que o grupo brasileiro SLIM SPIDER invadiu a infraestrutura de nuvem da instituição, roubou credenciais legítimas e chegou até sistemas ligados a ativos financeiros digitais e pagamentos instantâneos.

Leia também: Pix é brasileiro e movimenta bilhões entre ataques e doações

Em vez de explorar falhas visíveis para o usuário final, o grupo mirou o coração tecnológico dos serviços: ambientes de nuvem usados por bancos e fintechs para armazenar chaves de acesso, segredos de custódia de criptoativos e rotinas de desenvolvimento de software. A partir daí, desenvolveu painéis de controle equipados com inteligência artificial para mapear serviços vulneráveis e automatizar golpes.

Os investigadores identificaram pelo menos três painéis usados pelo SLIM SPIDER. Um rastreava serviços bancários e de pagamento que poderiam ser comprometidos. Outro vasculhava e-mails corporativos em busca de informações sensíveis. O mais crítico foi projetado para disparar transferências Pix não autorizadas em massa a partir de contas já comprometidas, aceitando qualquer tipo de chave cadastrada no sistema.

Segundo os especialistas, esse painel de pagamentos estava pronto para operar, mas não há prova de que o grupo tenha efetivamente movimentado dinheiro com a ferramenta. Mesmo assim, a simples existência do sistema acende o alerta nas instituições financeiras, porque mostra que criminosos brasileiros já conseguem orquestrar golpes em escala industrial, com Pix no centro da operação.

Marcos Ferreira, vice-presidente de engenharia de vendas para América Latina de uma grande empresa de cibersegurança que acompanhou o caso, resume o desafio para os bancos: “Trata-se de um adversário que não arromba a porta. Ele opera com identidades válidas, dentro do ambiente considerado confiável, onde as defesas tradicionais não enxergam”.

O caso foi incluído em um relatório global que apontou aumento de 171% na atividade criminosa focada em ambientes de nuvem no período recente, mostrando que o problema não é isolado. No Brasil, o risco maior está nos bastidores da infraestrutura que sustenta o Pix e outros meios de pagamento, e não na interface que o cliente vê no aplicativo.

Entenda o contexto

O Pix é brasileiro, foi criado e é operado pelo Banco Central, e virou em pouco tempo o principal sistema de pagamentos instantâneos do país. Diferente de transferências tradicionais, como TED e DOC, ele funciona 24 horas por dia, todos os dias, e liquida o dinheiro em segundos. As chaves Pix — que podem ser CPF, e-mail, telefone ou um código aleatório — servem apenas como atalho para identificar o destinatário, mas por trás delas há uma infraestrutura sofisticada de compensação.

O que significa Pix, na prática, para o usuário? Um sistema que permite transferir ou receber dinheiro na hora, de graça na maioria dos casos, usando o aplicativo do banco ou de uma fintech. Quem criou o Pix no Brasil foi o próprio Banco Central, que desenhou as regras, desenvolveu o sistema de liquidação e obrigou as instituições participantes a seguirem padrões de segurança e disponibilidade.

Hoje, o Pix Brasil é acessado por meio dos aplicativos dos bancos e de carteiras digitais, não por um app oficial único. Quando o cliente autoriza uma transação, o banco se comunica com a infraestrutura central para liquidar a operação. É essa ponte, entre sistemas internos e a nuvem, que virou alvo de grupos como o SLIM SPIDER, que tentam usar credenciais de dentro da instituição para simular operações legítimas.

Risco é estrutural, não do usuário

Os ataques identificados até agora miram principalmente os bastidores dos bancos, não um suposto “furo” no arranjo central do Pix ou no app do usuário. Os criminosos buscam invadir servidores, roubar chaves digitais e usar processos internos de desenvolvimento de software para instalar ferramentas maliciosas sem chamar atenção.

Entre os artefatos achados pelos investigadores está um programa apelidado de “spi”, em referência ao Sistema de Pagamentos Instantâneos, infraestrutura do Banco Central que dá suporte às operações do Pix. O alvo, porém, eram os sistemas de bancos e fintechs que se conectam a essa infraestrutura. Na prática, isso significa que as instituições precisam reforçar autenticação, monitorar atividades suspeitas na nuvem e limitar permissões de acesso, sob risco de ver criminosos usando identidades internas para disparar fraudes.

Para o usuário comum, a recomendação segue a mesma: manter aplicativos atualizados, desconfiar de pedidos de transferência urgentes, e nunca compartilhar senhas ou códigos de confirmação. Mas a principal fronteira de proteção, neste momento, está do lado dos bancos, que terão de investir mais em segurança de nuvem e em sistemas capazes de detectar usos anômalos de credenciais legítimas.

Por que Virginia Fonseca foi criticada por pedir Pix para a babá após festa da filha?

Virginia Fonseca pediu que seguidores contribuíssem com qualquer valor via Pix para ajudar a babá de seus filhos, Jaqueline Bianca, depois que o apartamento da funcionária em Goiânia foi destruído por um incêndio. A chave Pix foi divulgada nas redes sociais, em um apelo que rapidamente viralizou.

O pedido, porém, veio um dia depois da festa de aniversário da filha Maria Flor, que exibiu um bolo de R$ 250 mil e um presente de bolsa de grife avaliada em quase R$ 16 mil. O contraste entre a ostentação mostrada nas comemorações e a solicitação de ajuda financeira ao público acendeu uma onda de críticas nas redes.

“Quem puder ajudar doando qualquer valor… Também irei fazer minha parte”, disse Virginia ao divulgar a campanha, sem detalhar na hora quanto ela e o marido, o cantor Zé Felipe, doariam diretamente. Muitos seguidores questionaram por que um casal com alto poder aquisitivo não assumiu sozinho os custos da reconstrução do imóvel da funcionária, evitando expor a situação como vaquinha pública.

Defensores da influenciadora argumentam que o pedido de Pix permitiu que fãs demonstrassem apoio e solidariedade, ampliando a ajuda. Críticos, por outro lado, veem na atitude um símbolo da tensão entre vida de luxo e uso de causas pessoais para engajar audiências, em um momento em que o Pix se consolida como ferramenta rápida para doações e vaquinhas, mas também expõe desigualdades.

A repercussão reacende o debate sobre até que ponto influenciadores, que monetizam a própria imagem e rotina, devem recorrer aos seguidores em situações que poderiam ser resolvidas com recursos próprios. E sobre como pedidos de Pix para causas pessoais podem afetar a reputação de quem vive sob holofotes.

Pix no centro da vida cotidiana — do golpe à doação

A mesma tecnologia que permite que um grupo hacker planeje saques em massa de contas comprometidas é a que viabiliza doações instantâneas como a campanha para a babá de Virginia. De um lado, criminosos exploram o fato de o Pix funcionar em segundos, a qualquer hora. De outro, pessoas e empresas se apoiam nessa rapidez para arrecadar dinheiro em emergências, organizar vaquinhas e fazer campanhas de solidariedade.

Esse uso múltiplo ajuda a explicar por que o Pix notícias hoje aparecem não apenas nas editorias de economia e tecnologia, mas também em política, cotidiano e celebridades. O sistema atravessa discussões sobre golpes, decisões judiciais envolvendo nomes sociais em chaves Pix, emendas parlamentares pagas por transferências instantâneas e, como no caso de Virginia, a fronteira entre solidariedade real e exposição midiática.

Quem é considerado o ‘pai do Pix’ no Brasil?

Dentro do Banco Central, o projeto do Pix foi concebido por uma equipe técnica que desenhou o arranjo de pagamentos instantâneos, as regras de participação e a infraestrutura. No debate público, costuma-se associar a criação ao próprio Banco Central, e não a uma pessoa específica, porque o sistema é política pública de Estado, não de um governo isolado.

Em buscas como “Quem criou o Pix Wikipédia” ou “Quem criou o Pix governo”, a resposta converge: o desenho e a implementação são creditados ao Banco Central do Brasil, que coordena o sistema e define suas normas. O desenvolvimento envolveu servidores de carreira, economistas, especialistas em sistemas de pagamentos e em tecnologia da informação.

Quais países usam Pix ou sistemas semelhantes?

O Pix é exclusividade do Brasil, mas a ideia de pagamentos instantâneos via app bancário já aparece em outros países com nomes e regras diferentes. Há sistemas que permitem transferências em tempo real na Europa, nos Estados Unidos e em partes da Ásia, mas nenhum replica exatamente o modelo brasileiro de chaves Pix integradas, amplo alcance e gratuidade para a maior parte das transações.

Na prática, quando alguém pergunta “Quais países usam Pix?”, está querendo saber onde é possível usar algo igual ao que existe aqui. A resposta é: o Pix, como marca e arranjo, é nacional; o que existe fora são sistemas de pagamento instantâneo próprios de cada região, com características inspiradas em experiências como a brasileira.

Startup que apostou em Pix para incentivos cresce 66,6%

Na outra ponta do universo Pix, a startup brasileira Cashin vem surfando o apetite de empresas por formas mais simples e flexíveis de pagar premiações e incentivos a times de vendas, promotores e parceiros comerciais. Em 2025, a plataforma movimentou R$ 250 milhões em transações, um crescimento de 66,6% em relação ao ano anterior, e registrou receita contábil auditada de R$ 4,6 milhões.

Fundada por Nani Gordon e Luciana Ramos, a Cashin nasceu com a proposta de substituir prêmios tradicionais — como viagens e brindes físicos de difícil logística — por dinheiro depositado na hora via Pix, TED, boletos, cartões físicos ou virtuais e QR Code. O beneficiário recebe o valor em segundos e decide como gastar, o que aumenta o engajamento em campanhas de incentivo.

Nani destaca que a linguagem visual da plataforma foi pensada para o varejo, não para o padrão bancário clássico. “Enquanto os bancos legados apostavam no visual clínico e corporativo, nós viemos do varejo com uma interface colorida e simples. Até hoje nosso SAC recebe ligações de usuários dizendo ‘cliquei no botão rosa para transferir meu Pix’. A simplicidade visual virou um dos maiores ativos da marca”, afirma a cofundadora.

De olho na expansão, a Cashin prepara agora uma rodada de investimentos Série A de até R$ 20 milhões, que deve financiar a abertura de novos mercados, reforço do time e o desenvolvimento de ferramentas de inteligência artificial para automatizar ainda mais a gestão de campanhas. A meta é consolidar a empresa como uma espécie de “cérebro” dos programas de incentivo, usando dados para indicar formatos de premiação que realmente aumentem vendas e produtividade.

Pix, crédito e o futuro dos incentivos

Com o avanço do Pix, o Banco Central vem ajustando regras para permitir novas modalidades, como operações de crédito atreladas ao sistema, com intervalos mínimos e consentimento do cliente, e mecanismos de devolução em caso de golpe. Ao mesmo tempo, fintechs testam modelos em que o pagamento instantâneo é usado não só para transferências diretas, mas também para quitação de parcelas, cashback e recompensas corporativas.

Startups que trocam prêmios tradicionais por Pix ganharam espaço nesse cenário. Em um caso emblemático, uma empresa do setor de incentivos chegou a movimentar cerca de R$ 1 bilhão ao migrar campanhas baseadas em viagens para pagamentos instantâneos em dinheiro, mostrando que a preferência de muitos colaboradores é receber o valor diretamente na conta, com liberdade total de uso.

A trajetória da Cashin indica que esse movimento está longe do auge. Com mais empresas adotando o Pix como pilar de relacionamento com equipes e parceiros, a disputa se desloca do simples envio do dinheiro para quem oferece a melhor experiência, segurança e inteligência de dados por trás de cada transferência.

Desafios: segurança, imagem e confiança

Os três episódios — o ataque do SLIM SPIDER, o pedido de Pix de Virginia e o crescimento da Cashin — revelam diferentes camadas do mesmo fenômeno. A infraestrutura que sustenta o Pix precisa ficar cada vez mais robusta para segurar uma onda de fraudes que nasce dentro da própria nuvem dos bancos. Influenciadores e marcas, por sua vez, lidam com a percepção pública sobre quando é legítimo pedir dinheiro ao público por meio de chaves Pix. E startups tentam ocupar o espaço entre esses dois mundos, oferecendo conveniência sem abrir mão de segurança.

Nesse cenário, a confiança passa a ser o ativo mais valioso. Do usuário que hesita em escanear um QR Code até o executivo que aprova um orçamento milionário de cibersegurança, a pergunta é a mesma: até onde o Pix pode ir sem se tornar vítima do próprio sucesso?