O ataque hacker que atingiu a BMP em junho de 2025, com prejuízo superior a R$ 540 milhões, expôs uma vulnerabilidade incômoda que muitos gestores de empresas de infraestrutura financeira preferem ignorar: o crescimento acelerado sem reforço proporcional em controles internos pode custar centenas de milhões e comprometer a confiança do mercado. Segundo reportagem do NeoFeed, a BMP, até então referência em infraestrutura para fintechs, precisou rever profundamente sua governança, ampliar equipes de compliance e transformar sua resposta em uma nova frente de negócios voltada à segurança digital.

O ataque e suas consequências: prejuízo e pressão regulatória

O episódio que colocou a BMP no centro do maior ataque hacker já registrado no sistema financeiro nacional não foi um evento isolado, mas resultado de um ambiente em que a velocidade de expansão superou a maturidade dos controles. A invasão, detalhada pelo NeoFeed, envolveu uma fornecedora de tecnologia (C&M) e permitiu a transferência indevida de recursos mantidos pela BMP no Banco Central. O impacto financeiro imediato foi de mais de R$ 540 milhões, mas as consequências se estenderam à reputação e à necessidade de adaptação a um ambiente regulatório mais rigoroso.

Além do ataque, a Operação Cliente Fantasma, da Polícia Federal, investigou falhas na identificação de clientes e na comunicação de operações suspeitas, levantando suspeitas de facilitação à lavagem de dinheiro. A BMP declarou colaboração total com as autoridades e enfatizou que os fatos envolviam operações antigas de ex-clientes. O contexto regulatório se agravou em novembro de 2025, quando Banco Central e Conselho Monetário Nacional publicaram resolução conjunta para disciplinar o modelo de Banking as a Service (BaaS), pressionando ainda mais empresas do setor a fortalecerem controles e compliance.

Reestruturação: reforço em governança e mudanças de comando

O choque provocado pelo ataque acelerou uma reorganização interna. De acordo com o NeoFeed, a BMP revisou sua governança corporativa e contratou executivos experientes do setor financeiro e de tecnologia. Marcelo Schucman, ex-Stone e cofundador da Swap, assumiu como COO, enquanto Carlos Benitez, fundador, passou a se dedicar mais à estratégia e menos à rotina operacional. O time de governança, riscos e compliance (GRC) saltou de cinco para mais de 50 pessoas, refletindo a prioridade dada à prevenção de fraudes e ao atendimento das novas exigências regulatórias.

O novo modelo operacional foi segmentado em três eixos: comercial; produtos, operações e tecnologia; e governança e suporte. Processos manuais foram automatizados, e a estrutura de comando passou a incluir um conselho consultivo, com planos de evoluir para um conselho de administração, aguardando aprovação do Banco Central. Segundo Schucman, citado pelo NeoFeed, “a BMP teve uma história de muito sucesso comercial. Crescemos muito rápido e as dores do crescimento vieram”.

Cyberdome: resposta tecnológica e nova aposta comercial

Transformar o trauma em oportunidade é a estratégia da BMP com o desenvolvimento do Cyberdome, plataforma de segurança, gestão de riscos e compliance. Inicialmente concebida para uso interno, a solução integra dados de diferentes áreas (operação, riscos, compliance, auditoria) e utiliza inteligência artificial para identificar padrões suspeitos e recomendar ações. O CTO Rodrigo Melgar afirmou ao NeoFeed que parte da infraestrutura é capaz de processar até 100 mil eventos por segundo, o que permite monitoramento em grande escala.

O primeiro teste do Cyberdome identificou uma fraude interna de quase R$ 2 milhões, reforçando a proposta de valor da ferramenta. O lançamento comercial está previsto para 2027, com modelo de cobrança baseado no volume de eventos processados e na capacidade dos agentes de inteligência artificial contratados. A plataforma também busca facilitar o compartilhamento de informações sobre ameaças entre instituições, sem custo para o intercâmbio de dados entre participantes de associações do setor. A receita virá da análise transacional e dos serviços de IA.

A BMP aposta que demonstrar a eficácia do Cyberdome em sua própria operação será fundamental para conquistar clientes no mercado financeiro, onde a confiança em controles internos é pré-requisito para qualquer contratação relevante.

O que está em jogo para empresas do setor financeiro

O caso BMP é um alerta para gestores de empresas de infraestrutura, fintechs e qualquer organização que opere em ambientes regulados: o custo da negligência em governança e compliance pode ser devastador, não apenas financeiramente, mas também em termos de reputação e continuidade de negócios. A rápida expansão, sem o devido reforço em controles, abre brechas exploradas por criminosos e atrai o escrutínio de órgãos reguladores e policiais.

O ambiente de Banking as a Service, que cresce no Brasil, está sob vigilância cada vez mais intensa do Banco Central e da Polícia Federal. Empresas que não se anteciparem às exigências de controles automatizados, monitoramento em tempo real e integração de informações entre áreas de risco e compliance podem se ver excluídas de parcerias estratégicas ou mesmo impedidas de operar. A experiência da BMP mostra que, após um incidente grave, a reconstrução é lenta, cara e depende de demonstrações concretas de mudança.

Ao mesmo tempo, a iniciativa de transformar defesas em produto, como faz a BMP com o Cyberdome, sinaliza uma tendência de mercado: ferramentas de segurança e compliance deixam de ser apenas custo e passam a ser fonte de receita e diferenciação competitiva. No entanto, a credibilidade dessas soluções dependerá da capacidade de provar, na prática, que os controles funcionam sob pressão real.

Contrapontos, incertezas e o que falta saber

Embora a BMP tenha divulgado amplamente sua reestruturação e os avanços do Cyberdome, ainda não há dados públicos sobre a recuperação financeira total após o ataque, nem sobre a eficácia dos novos controles em cenários externos. O lançamento comercial da plataforma está previsto apenas para 2027, e o modelo de compartilhamento de informações entre instituições, embora inovador, depende de adesão voluntária de associações e parceiros, o que pode limitar seu alcance inicial.

Outro ponto de atenção é a dependência da aprovação do Banco Central para mudanças estruturais na governança e para a expansão dos serviços de BaaS. O ambiente regulatório segue em evolução, e novas exigências podem surgir até o lançamento do Cyberdome. Por fim, o modelo de cobrança baseado em eventos e agentes de IA ainda precisa ser testado em escala para comprovar viabilidade comercial e aderência do mercado.

O caso também suscita debates sobre a real capacidade de plataformas automatizadas prevenirem fraudes sofisticadas, especialmente quando as ameaças partem de dentro das próprias organizações ou de fornecedores terceirizados. O histórico recente do setor mostra que tecnologia, embora essencial, não substitui cultura organizacional de controle e vigilância constante.

Implicações para empresas de Manaus e do Polo Industrial

Organizações localizadas em Manaus e no Polo Industrial, especialmente aquelas que operam em setores regulados ou com alto volume transacional, enfrentam desafios semelhantes aos da BMP: crescimento rápido, pressão por inovação e necessidade de compliance rigoroso. O episódio reforça a importância de investir não apenas em tecnologia, mas também em processos e pessoas dedicadas à governança e ao monitoramento contínuo de riscos.

Para empresas que dependem de conectividade estável e segura para operar sistemas críticos, a lição é clara: a infraestrutura de TI deve ser planejada para suportar não só o volume de transações, mas também as demandas de auditoria, compliance e resposta a incidentes. A experiência da BMP mostra que, diante de um ataque ou de uma investigação regulatória, a capacidade de integrar informações entre áreas e responder rapidamente pode ser o fator decisivo entre a sobrevivência e o colapso operacional.

O caso BMP evidencia que, no cenário atual, a robustez da infraestrutura digital e a maturidade dos controles internos são requisitos básicos para a continuidade e a expansão dos negócios, especialmente em mercados sujeitos a ataques cibernéticos e à fiscalização intensa de órgãos reguladores.

O episódio da BMP deixa claro que, para empresas que atuam em setores críticos e regulados, o verdadeiro diferencial competitivo está na capacidade de antecipar riscos, integrar controles e garantir que a infraestrutura suporte tanto a operação diária quanto a resposta a incidentes graves. O futuro do setor financeiro, e de qualquer negócio digital intensivo, será definido não apenas pela inovação, mas pela solidez dos bastidores tecnológicos e de governança.