Publicado el · Brasil
Brasil: una contraseña vendida por 2.700 dólares y cientos de millones desaparecidos de los bancos
A finales de junio de 2025 unos delincuentes usaron el acceso de C&M Software, la empresa que conecta varios bancos brasileños con el sistema de pagos instantáneos PIX, para ordenar transferencias fraudulentas. No encontraron un fallo en el software: un empleado del departamento de informática había vendido su usuario y contraseña por unos 2.700 dólares.
En 30 segundos
- Un empleado de informática de C&M Software vendió sus credenciales por unos 2.700 dólares.
- Con ese acceso los delincuentes ordenaron transferencias desde cuentas de reserva de varios bancos: cientos de millones de reales.
- La lección: nadie debe poder abrir solo nuevos accesos. Las operaciones delicadas las aprueban dos personas.
- Cuándo
- Finales de junio de 2025
- Quién
- C&M Software, conectada al sistema PIX, Brasil
- Por dónde entraron
- Credenciales vendidas por un empleado
- Cuánto
- Más de 540 millones de reales según la policía, 800 millones según otras fuentes
Qué pasó
C&M Software es una empresa brasileña que conecta varias instituciones financieras con PIX, el sistema de pagos instantáneos del Banco Central de Brasil. A finales de junio de 2025 los delincuentes usaron su acceso para entrar en las cuentas de reserva de algunas instituciones y ordenar transferencias fraudulentas.
Las fuentes no coinciden en las cifras. La policía, citada por Associated Press, habla de más de 540 millones de reales robados a al menos una institución, y probablemente más a otras. Otras fuentes hablan de unos 800 millones de reales, alrededor de 140 millones de dólares.
Por dónde entraron
Aquí la vía de entrada es conocida. Según la policía y la prensa brasileña, un empleado del departamento de informática de C&M fue abordado en un bar y vendió su usuario y su contraseña por unos 2.700 dólares, pagados en dos veces en efectivo.
Después, siguiendo las instrucciones de los delincuentes, creó otras cuentas en el sistema y activó el acceso remoto. Fue detenido pocos días más tarde.
Por qué afecta también a una pequeña empresa
No se vulneró ningún programa: el punto débil era una persona con demasiado poder ella sola. Podía entregar su acceso, crear nuevos usuarios y abrir el acceso remoto, sin que nadie más tuviera que aprobarlo.
En una pequeña empresa pasa lo mismo con quien tiene las contraseñas de todo: el técnico externo, el socio que lleva la banca online, el administrador de la web.
Qué revisar hoy en tu empresa
- Las operaciones delicadas, como nuevos usuarios, acceso remoto y transferencias grandes, las aprueban dos personas, no una.
- El acceso remoto queda apagado cuando no hace falta, y cada vez que se enciende queda escrito quién y cuándo.
- Activa avisos automáticos para los movimientos fuera de lo normal en la cuenta y en los programas importantes.
- Nadie tiene más permisos de los que usa de verdad: revisa la lista cada tres meses.