Pix é brasileiro e movimenta bilhões entre ataques e doações

O pix é brasileiro, está no centro da rotina financeira do país e, nesta semana, aparece ao mesmo tempo como arma em um ataque hacker sofisticado, como ferramenta de vaquinha solidária em torno de Virginia Fonseca e como motor de crescimento para a fintech Cashin, que já movimenta centenas de milhões de reais em premiações corporativas.

O que aconteceu no ataque hacker ao banco brasileiro que expôs riscos ao Pix?

Um grupo cibercriminoso brasileiro batizado de SLIM SPIDER desenvolveu uma ferramenta para automatizar transferências Pix não autorizadas em massa a partir de contas bancárias comprometidas, explorando justamente o avanço de bancos e fintechs para a nuvem. A descoberta foi feita durante a investigação de uma invasão a uma instituição financeira nacional neste ano, quando especialistas em segurança digital seguiram rastros deixados nos sistemas internos.

Leia também: Pix é brasileiro: ataque hacker e startup mostram riscos e ganhos

Segundo o vice-presidente de engenharia de vendas para a América Latina da CrowdStrike, Marcos Ferreira, o grupo não força portas digitais nem depende de golpes clássicos com links falsos. Ele se infiltra usando credenciais legítimas, obtidas dentro da própria infraestrutura de nuvem das instituições. “Trata-se de um adversário que não arromba a porta. Ele opera com identidades válidas, dentro do ambiente considerado confiável, onde as defesas tradicionais não enxergam”, afirma.

Na invasão acompanhada pelos investigadores, o SLIM SPIDER acessou um serviço de metadados da nuvem do banco, coletou credenciais temporárias e chegou a um cofre digital de informações sensíveis. Dali, roubou pelo menos seis segredos ligados a ativos financeiros digitais, incluindo dados de custódia de criptoativos e uma chave privada de carteira digital, o que permitiria movimentar esse dinheiro longe dos olhos do cliente final.

Os criminosos usaram os acessos para alcançar o ambiente de desenvolvimento de software da instituição. A partir daí, se aproveitaram dos próprios mecanismos de atualização de sistemas do banco para instalar códigos maliciosos de forma discreta. Entre as ferramentas mapeadas pelos analistas há três painéis de controle: um para mapear serviços bancários vulneráveis, outro para vasculhar e-mails corporativos invadidos e um terceiro, o mais sensível, voltado a disparar transferências Pix em série.

Esse painel foi desenhado para aceitar todos os tipos de chave Pix — CPF, CNPJ, e-mail, celular ou chaves aleatórias — e organizar envios fraudulentos em grande volume, a partir de contas já comprometidas. A investigação não conseguiu comprovar que o sistema tenha sido efetivamente usado para roubar dinheiro, mas o simples fato de a ferramenta estar pronta acendeu o alerta no setor financeiro.

Quais os riscos atuais para a infraestrutura do Pix após o ataque hacker?

O que está sob ataque no caso do SLIM SPIDER não é o Pix em si, nem o sistema central de pagamentos instantâneos do Banco Central, mas a borda do ecossistema: os sistemas internos de bancos e fintechs que oferecem esse tipo de transação. É ali que ficam credenciais, chaves privadas e rotinas automáticas capazes de autorizar transferências em segundos.

O relatório de ameaças que embasou a investigação registrou aumento de 171% na atividade criminosa em ambientes de nuvem no mundo entre julho de 2025 e junho de 2026, com foco justamente em acesso a ativos financeiros. No Brasil, os ataques exploram a migração acelerada do setor financeiro para a nuvem, movimento impulsionado pela necessidade de escalar operações e lançar novos serviços, mas nem sempre acompanhado por investimentos proporcionais em cibersegurança.

Na prática, o risco maior hoje está nos bastidores: identidades de serviço com permissões excessivas, cofres de segredos mal configurados e processos automatizados que podem ser sequestrados para executar ordens indevidas. “O risco está na nuvem, nas identidades e nas rotinas de desenvolvimento e entrega de softwares das instituições”, resume Marcos Ferreira.

Especialistas recomendam limitar rigorosamente permissões de acesso, reforçar a proteção de credenciais e monitorar em tempo real atividades anômalas na nuvem — especialmente em contas técnicas usadas por sistemas, que costumam ter poderes amplos e pouca supervisão. Também ganham força tecnologias de detecção de comportamento anormal, justamente para flagrar o “invasor legítimo” que entra com usuário e senha válidos.

Para o consumidor, isso significa que o aplicativo de Pix no celular continua funcionando como antes, mas a chance de golpes pode aumentar se a retaguarda dos bancos não acompanhar a sofisticação dos criminosos. Autoridades regulatórias e instituições tendem a reagir com novas regras, auditorias mais frequentes e exigência de controles adicionais para quem opera em nuvem.

Entenda o contexto

O que significa Pix, na prática, hoje, vai além de ser apenas “transferência instantânea pelo celular”. Criado e administrado pelo Banco Central, o sistema virou infraestrutura básica da economia digital brasileira. Ao mesmo tempo, abre espaço para disputas por mercado entre bancos e fintechs, cria oportunidades de negócio e de fraude, e se transforma em ferramenta de mobilização social — como mostram a polêmica em torno de Virginia Fonseca e a expansão da Cashin.

Por que Virginia Fonseca foi criticada por pedir Pix para a babá após festa da filha?

Virginia Fonseca passou a semana no centro de um debate sobre uso do Pix nas redes sociais depois de pedir que seguidores fizessem doações para a babá de seus filhos, Jaqueline Bianca, que teve o apartamento destruído por um incêndio em Goiânia (GO). “Quem puder ajudar doando qualquer valor… Também irei fazer minha parte”, disse a influenciadora, ao divulgar a chave Pix em um vídeo.

Jaqueline perdeu tudo no incêndio, que teria sido causado por um curto-circuito em um carregador de celular. Ninguém ficou ferido, mas o imóvel foi completamente danificado. O apelo por ajuda financeira, no entanto, veio um dia depois da festa de aniversário de 4 anos de Maria Flor, filha de Virginia, marcada por ostentação: um bolo avaliado em R$ 250 mil, que precisou de oito homens para ser descarregado, e um presente de uma bolsa de grife estimada em R$ 15,9 mil.

Nas redes, o contraste entre o luxo exibido na comemoração e o pedido de dinheiro ao público para socorrer uma funcionária provocou críticas. Usuários questionaram por que uma influenciadora com alto padrão de vida e contratos milionários não arcaria sozinha com os custos da reconstrução do apartamento. Outros defenderam a iniciativa, dizendo que o Pix é uma ferramenta legítima de solidariedade e que cada um contribui se quiser.

A reação expôs uma faceta social do Pix: em minutos, pedidos de ajuda se espalham por milhões de pessoas, misturando causas urgentes com exposições da intimidade e cobranças sobre responsabilidade de quem pede. O episódio reacende discussões sobre o papel de influenciadores em mobilizações financeiras, a linha tênue entre solidariedade e exploração da audiência e o incômodo com desigualdades evidentes nas timelines.

O Pix mostra desigualdade e mobilização nas redes

O caso de Virginia ilustra como o Pix se consolidou como ferramenta padrão para vaquinhas emergenciais, de cirurgias a enchentes, passando por tragédias familiares como o incêndio na casa de Jaqueline. O mesmo mecanismo que permite transferir R$ 10 para um amigo em segundos se torna palco de disputas morais quando envolve figuras públicas com vida de luxo escancarada.

Para especialistas em comportamento digital, episódios assim tendem a se repetir à medida que mais influenciadores recorrem ao Pix para causas pessoais ou de terceiros. Isso deve pressionar o debate sobre transparência no uso dos valores arrecadados, exposição de pessoas em situação de vulnerabilidade e até possíveis regras de plataformas para campanhas financeiras informais.

Cashin surfa o boom do Pix e cresce 66,6% em um ano

Enquanto bancos tradicionais correm para blindar suas operações e influenciadores entram em polêmica com pedidos de ajuda, uma leva de fintechs tenta transformar o Pix em produto corporativo de alto valor. É o caso da Cashin, startup fundada por Luciana Ramos e Nani Gordon, que virou referência em pagamentos de premiações e incentivos via Pix para empresas.

Em 2025, a Cashin movimentou R$ 250 milhões em transações, um salto de 66,6% em relação ao ano anterior, e registrou receita contábil auditada de R$ 4,6 milhões. O desempenho levou as fundadoras a planejarem agora uma rodada de investimentos Série A de até R$ 20 milhões para acelerar a expansão, desenvolver recursos de inteligência artificial e ampliar a base de clientes.

A plataforma nasceu de um problema recorrente no mundo corporativo: prêmios que não conversam com a realidade dos funcionários. “A empresa dava uma viagem para a Disney como superprêmio, mas o funcionário ligava para o RH dizendo que não tinha dólares para gastar lá e que precisava, na verdade, pagar a conta de luz atrasada”, conta Nani Gordon, vice-presidente e cofundadora da Cashin. A solução foi dar liberdade de escolha, usando o Pix como canal central.

Hoje, a Cashin oferece uma interface digital em que empresas definem campanhas de incentivo e os premiados recebem valores que podem sacar ou usar de diferentes formas: Pix, TED, boletos, cartões físicos ou virtuais e cartões-presente de mais de 100 parceiros. A comunicação com usuários foge do padrão bancário. “Enquanto os bancos legados apostavam no visual clínico e corporativo, nós viemos do varejo com uma interface colorida e simples. Até hoje nosso SAC recebe ligações de usuários dizendo ‘cliquei no botão rosa para transferir meu Pix’. A simplicidade visual virou um dos maiores ativos da marca”, afirma Nani.

A startup atende principalmente grandes indústrias, distribuidores e empresas com redes de representantes autônomos e vendedores terceirizados, que precisam pagar comissões e bônus de forma rápida, muitas vezes fora da folha de pagamento tradicional. O modelo também vem sendo usado para reembolsos de pequenas despesas e pagamentos no mercado imobiliário.

Fintechs apostam em IA e novos usos para pagamentos instantâneos

De olho em um mercado em que o Pix virou padrão para transferências entre pessoas físicas e pequenos negócios, empresas como a Cashin agora disputam o terreno de pagamentos corporativos e de benefícios flexíveis. A aposta em inteligência artificial inclui desde análise de dados de campanhas — para indicar quais prêmios geram mais engajamento — até mecanismos de prevenção a fraudes dentro da própria plataforma.

O avanço dessas soluções pressiona bancos tradicionais a modernizar seus próprios canais e interfaces, ao mesmo tempo em que aumenta o número de sistemas plugados ao ecossistema de pagamentos instantâneos. Isso amplia a superfície de ataque que grupos como o SLIM SPIDER tentam explorar, reforçando o dilema de conciliar inovação, conveniência e segurança.

No meio desse tabuleiro, o Pix se firma como uma espécie de infraestrutura nacional multiuso: é a base de negócios de alto crescimento, o elo frágil que criminosos tentam quebrar e a ferramenta que abre, em segundos, uma janela para a solidariedade — ou para a próxima controvérsia nas redes sociais.