Cómo desangrar una fintech de pagos inmediatos: cuando una credencial se convierte en la identidad

En marzo de 2025, un hombre de 48 años salió de un bar en São Paulo. Alguien lo estaba esperando afuera. Sabía dónde trabajaba, sabía qué hacía, y traía una oferta. Lo que pasó tres meses después es el manual, paso a paso, de cómo se desangra una fintech.

João Nazareno Roque había sido electricista y técnico de televisión por cable. A los 42 años entró a estudiar tecnología; unos años después era desarrollador back-end júnior en C&M Software, una empresa que casi nadie conocía y de la que dependía medio sistema financiero brasileño: C&M conecta a decenas de bancos y fintechs con el Banco Central y con Pix, el riel de pagos inmediatos más exitoso del mundo.

El hombre del bar le ofreció cinco mil reales, unos novecientos dólares, por su usuario y su contraseña. El pago llegó en efectivo, en billetes de cien, entregado por un motoboy. Dos semanas después, la misma voz ofreció diez mil más para que ejecutara comandos dentro de la plataforma, desde su propio computador de trabajo. Roque nunca conoció a nadie: las instrucciones llegaban por WhatsApp y por una cuenta de Notion, y por precaución él cambiaba de celular cada quince días. Desde mayo, los comandos de los atacantes corrieron dentro de C&M. Nadie los vio.

Cuatro de la madrugada

El 30 de junio de 2025, hacia las 4:00 a.m., sonó el teléfono de un ejecutivo de BMP, una fintech de banking-as-a-service. Al otro lado, otro banco le avisaba de una transferencia de 18 millones de reales que acababa de salir de su cuenta de reserva en el Banco Central. Mientras contestaba la llamada, había más órdenes en curso.

En cuestión de horas, los atacantes vaciaron cuentas de reserva de al menos seis instituciones financieras: 541 millones de reales confirmados, unos 100 millones de dólares, y algunas estimaciones llegan a 800 millones y más. Parte del dinero se convirtió en Bitcoin, Ethereum y USDT esa misma mañana, a través de mesas OTC de la región. Es, hasta hoy, el mayor ataque al sistema financiero brasileño.

Conviene detenerse en un detalle que se pierde entre los ceros: no tocaron el dinero de los clientes finales. Vaciaron las cuentas de reserva de las entidades, el dinero propio, el que las respalda ante el Banco Central. El fraude del cliente se provisiona; el saqueo de la reserva se sufre.

El riel funcionó perfectamente

Y aquí está la parte incómoda: Pix no falló. Nadie rompió su criptografía. Cada mensaje que ordenó cada transferencia era técnicamente válido: bien formado, bien autenticado, aceptado. El riel hizo exactamente aquello para lo que fue diseñado (liquidar en segundos, sin revisión humana) para quien se presentó con las credenciales correctas. Los atacantes no rompieron la cerradura.

Compraron la llave. Y la llave costó quince mil reales. No es una anomalía brasileña: es una anatomía. En 2016, el Banco Central de Bangladesh perdió 81 millones de dólares por la misma vía: credenciales válidas de su terminal SWIFT. Y el trabajo más fino del malware no fue mover el dinero, sino borrar el rastro: interceptaba las confirmaciones y manipulaba los reportes que salían por la impresora, para que la mañana siguiente pareciera una mañana cualquiera. Una década separa los dos casos. La lección es la misma, y sigue sin aprenderse.

Una credencial que se puede copiar no es una identidad

En un sistema de pagos inmediatos, quien posee la credencial es la entidad. No la representa: la reemplaza. Y una contraseña, una API key, un certificado cuya llave privada vive en un archivo o en un gestor de secretos comparten el mismo defecto de nacimiento: se pueden copiar. Una copia no deja rastro. Nadie nota la ausencia de algo que sigue estando ahí.

Por eso el caso C&M no es una historia de “faltó un antivirus” ni de “faltó capacitar al empleado”. Es una historia de arquitectura, y deja tres verdades sobre la mesa.

• La primera: una identidad seria no es un secreto que se guarda, sino una llave que nace dentro de un módulo de seguridad de hardware (HSM), firma desde adentro y no tiene operación de exportación. “La llave nunca sale” deja de ser una política que un insider puede violar y pasa a ser una propiedad física del sistema. A Roque le compraron la contraseña porque la contraseña era comprable; una llave que no puede abandonar el hardware no tiene precio, porque no tiene cómo entregarse.
• La segunda: una operación seria no depende de una sola persona. Roque ejecutó comandos solo, durante semanas, desde su propio puesto de trabajo. Con doble control M-de-N, donde toda operación sensible queda pendiente hasta que la aprueba un segundo operador distinto del solicitante, el atacante ya no necesita comprar un empleado: necesita comprar una conspiración. El precio del ataque sube órdenes de magnitud, y cada intento fallido deja registro.
• La tercera: una defensa seria asume que también atacarán la memoria. En Bangladesh la evidencia era editable, y la editaron. Una bitácora encadenada por hash, en la que alterar, borrar o reordenar cualquier entrada histórica rompe la cadena de forma detectable, convierte el “borrar el rastro” en la parte imposible del plan.

Colombia ya vive en esta película: pago inmediato

Bre-B ya opera, y su arquitectura es, correctamente, la misma de todos los rieles inmediatos del mundo: participantes conectados por canales mTLS con certificados X.509, mensajes ISO 20022 firmados digitalmente, liquidación en máximo 20 segundos, sin revisión humana. Es el diseño correcto.

Y es, exactamente, el diseño en el que la firma del mensaje es el único control entre una orden legítima y una falsificada, y en el que la llave privada es la cédula de la entidad ante el riel.

Quien la posea, es la entidad. Vale la pena mirar también cómo terminó la historia en Brasil: en septiembre de 2025, el Banco Central creó de urgencia un régimen de habilitación para los proveedores tecnológicos que conectan al riel, con requisitos de seguridad, directores personalmente responsables y segregación de ambientes.

La regulación llegó, como casi siempre, después del incidente. En Colombia todavía puede llegar antes; pero para cada entidad la pregunta no es si el supervisor endurecerá las exigencias sobre quienes tocan el riel, sino de qué lado quiere estar cuando lo haga: del lado que ya cumplía, o del lado que protagonizó el incidente que motivó la norma.

Mientras tanto, tres preguntas para esta semana. ¿Dónde vive, físicamente, la llave privada que representa a su entidad ante Bre-B, y quién podría copiarla sin dejar rastro? ¿Cuántas personas de su equipo pueden, solas, crear, activar o usar material criptográfico? Y si alguien editara esta noche sus bitácoras, ¿cómo lo sabría usted mañana? Si alguna respuesta lo incomodó, ya sabe cuánto vale esa incomodidad: quince mil reales el ataque, quinientos cuarenta y un millones el daño.

La llave que no se puede comprar

En Cyte construimos el plano de control criptográfico que hace que las respuestas correctas sean las únicas posibles: llaves que nacen, viven y firman dentro de un HSM (el de su nube o el de su centro de datos: nosotros no fabricamos la caja fuerte, la gobernamos), sin operación de exportación; firma y verificación ISO 20022 en modo fail-closed para cada orden hacia el riel; doble control M-de-N sobre toda operación sensible, con evidencia de cada aprobación; y una cadena de evidencia inalterable, sellada con firmas híbridas clásicas y post-cuánticas, verificable dentro de décadas, incluso ante el adversario que aún no ha encendido su máquina.

No procesa pagos. No toca el dinero. Custodia lo único que en un riel inmediato de verdad importa: la identidad de su entidad, para que nadie pueda comprarla a la salida de un bar.