Une nuit a suffi. Le 30 juin, des cybercriminels ont vidé les comptes de réserve de six banques brésiliennes, subtilisant l’équivalent de 140 millions de dollars grâce à des identifiants fournis par un simple employé.
L’affaire, désormais qualifiée de plus vaste attaque bancaire de l’année au Brésil, secoue le système PIX, moteur des paiements instantanés adopté par plus de 76 % de la population.
Un braquage numérique d’une ampleur inédite
Le maillon faible s’appelle C&M Software, société qui relie les banques au réseau PIX de la Banque centrale. Des hackers ont acheté pour 2 700 $ les codes d’accès internes d’un technicien de 48 ans, puis ont programmé une rafale de faux transferts dans la nuit du 30 juin au 1er juillet.
En effet, les flux sortants ont atteint 800 millions de réals en moins de trois heures, laissant les établissements démunis devant leur écran.
Toutefois, les clients finaux n’ont pas été touchés : seules les banques ont vu leurs comptes de réserve fondre. La Banque centrale a immédiatement suspendu une partie des services de C&M pour circonscrire « une faille strictement opérationnelle, non technique », selon son communiqué.
Des failles humaines avant tout
Les premiers éléments de l’enquête montrent que l’attaque repose presque entièrement sur la complicité interne. Selon la police fédérale, l’employé arrêté admet avoir transmis ses accès, ouvrant la porte à des scripts capables d’imiter la signature numérique des ordres PIX.
En d’autres termes, les dispositifs anti-fraude ont obéi à un assaillant légitimé par l’entreprise elle-même.
Cette dimension « inside job » rappelle qu’un protocole, aussi robuste soit-il, reste vulnérable à l’ingénierie sociale. D’ailleurs, l’explosion des usages a déjà alimenté des arnaques, comme nous l’analysions dans cet article d’Actufinance.
Les cryptos, outil de « blanchiment express »
Après le siphonnage, environ 30 à 40 millions de dollars ont été convertis en Bitcoin, Ether et USDT, puis dispersés via des bureaux OTC latino-américains, indique CoinMarketCap. Toutefois, le traçage on-chain progresse ; plusieurs portefeuilles suspects ont déjà été gelés.
On June 30 hackers breached C&M Software, a service provider to Brazil’s Central Bank reserve system, and gained illicit access to six banks’ reserve accounts. Losses total roughly R$800 m (~US$ 140m).
Attack path was an Insider sold his corporate login for just R$ 15 k (US$ 2.8…
— Leviathan News (@leviathan_news) July 4, 2025
Pour la communauté crypto, l’affaire illustre une fois de plus le double tranchant des actifs numériques : ils facilitent l’exfiltration ultra-rapide, mais la transparence des blockchains permet aussi une surveillance réactive.
En effet, les enquêteurs brésiliens collaborent désormais avec des sociétés d’analyse on-chain pour suivre le flux des fonds.
Quelles leçons pour les banques et les fintech ?
- Renforcer la segmentation des accès : ne jamais laisser un seul employé disposer de clés maîtresses.
- Authentification multifactorielle matérielle, plus difficile à monnayer que de simples mots de passe.
- Automatiser les alertes de transferts anormaux pour réagir avant l’épuisement des fonds.
Cependant, la meilleure défense reste la culture de sécurité ; former chaque salarié à repérer les tentatives de corruption est crucial. À défaut, les black-hats continueront d’exploiter le maillon humain pour transformer des lignes de code en hold-up à neuf chiffres.
Sources
Sur le même sujet
Partager
