Le dimanche 22 mars 2026, des pirates ont détourné environ 100 millions de reais (soit environ 16,4 millions de dollars américains) de BTG Pactual, la plus grande banque d'investissement indépendante d'Amérique latine, via le système de paiement instantané brésilien connu sous le nom de Pix. La Banco Central do Brasil a détecté des mouvements atypiques à partir de 6 heures du matin. BTG a suspendu ses opérations Pix à titre préventif. Dès le lundi 23 mars, les services ont commencé à être rétablis. 73 millions de reais ont été récupérés. Entre 20 et 40 millions de reais restent manquants.
Les fonds volés ne provenaient pas des comptes clients. Il s'agissait des réserves de règlement propres à BTG, détenues auprès de la Banco Central do Brasil. Aucune donnée personnelle n'a été exposée. Aucun compte d'investisseur n'a été consulté. La brèche était interne.
Pour quiconque suit le système financier brésilien, ou y investit, cet incident soulève une question directe : Pix est-il réellement sûr ?
Chronologie de l'attaque contre BTG Pactual
Les attaquants ont choisi une fenêtre prévisible : tôt le dimanche matin, quand la surveillance est à son minimum. Ils ont accédé au compte de règlement de BTG auprès de la Banco Central do Brasil et ont exécuté une série de virements Pix vers des comptes dans plusieurs établissements : Banco Inter, Banco do Brasil, Bradesco, Caixa Econômica Federal, PicPay, Itaú et Mercado Pago.
La Police fédérale brésilienne et le CyberGaeco (une unité spécialisée dans la cybercriminalité) ont été appelés. Les enquêteurs examinent l'utilisation potentielle d'un identifiant obsolète lié à un ancien prestataire de technologie bancaire qui avait fourni des services à BTG. La possibilité d'une implication interne, notamment d'employés ayant accès aux identifiants du compte de réserve, n'a pas été écartée.
Après avoir dispersé les fonds sur plusieurs comptes, les attaquants ont converti une partie en cryptomonnaies pour entraver le traçage. Il ne s'agit pas d'une nouvelle tactique : c'est le mode opératoire standard de toutes les grandes attaques contre le système financier brésilien depuis 2025.
| Événement | Date | Détail |
|---|---|---|
| Détection par la Banco Central | Dimanche 22 mars, 6h | ~100 millions de reais détournés |
| BTG suspend Pix | Dimanche 22 mars | Mesure préventive |
| Reprise du service | Lundi 23 mars | 73 millions de reais récupérés |
| Fonds non récupérés | En cours d'enquête | 20 à 40 millions de reais |
Un schéma récurrent : 800 millions, 710 millions, puis 100 millions de reais
L'attaque contre BTG ne s'est pas produite de façon isolée. Depuis 2025, le système financier brésilien a subi au moins trois incidents majeurs liés à Pix, avec des pertes totales dépassant 1,5 milliard de reais.
Juillet 2025 : C&M Software (800 millions de reais). Des pirates ont compromis C&M Software, un prestataire de technologie au service de plus de 8 établissements financiers. L'attaque a entraîné le détournement d'environ 800 millions de reais, le plus grand incident de la série.
Septembre 2025 : Sinqia (710 millions de reais). Le prestataire de technologie Sinqia a été ciblé dans une attaque qui a détourné 710 millions de reais : 669 millions associés à HSBC et 41 millions à la société de crédit Artta. Une part importante a été bloquée par la Banco Central do Brasil.
Janvier 2026 : Banco do Nordeste. La banque a suspendu Pix après qu'un prestataire tiers a été compromis. C'était le premier incident de ce type impliquant l'établissement depuis le lancement de Pix.
Le schéma est cohérent : les attaques ne ciblent pas le système Pix lui-même, mais les systèmes internes des institutions et, de manière critique, leurs prestataires de technologie tiers. Des identifiants obsolètes, des lacunes dans les accès tiers et des défaillances de gouvernance interne constituent les points d'entrée.
Avertissement
Depuis 2025, les attaques contre les prestataires de technologie bancaire ont entraîné des pertes dépassant 1,5 milliard de reais (soit environ 250 millions de dollars américains). Le maillon le plus faible n'est pas Pix lui-même : ce sont les systèmes intermédiaires des institutions participantes.
Le système Pix lui-même n'a pas été compromis
Voici la distinction la plus importante : l'infrastructure Pix, exploitée par la Banco Central do Brasil, reste intacte.
Pix fonctionne comme une autoroute. Les transferts transitent sur cette autoroute en toute sécurité, avec un chiffrement de bout en bout, une authentification multicouche et une surveillance en temps réel par la Banco Central. Ce qui a été compromis lors de chaque attaque depuis 2025, ce sont les « véhicules » circulant sur cette autoroute : les systèmes internes des banques et de leurs prestataires.
Dans le cas de BTG, les pirates n'ont enfreint aucun protocole Pix. Ils ont obtenu les identifiants que la banque utilise pour opérer dans le système. C'est analogue au clonage d'une clé de voiture plutôt qu'à une percée dans la route elle-même.
La Banco Central do Brasil a confirmé que le Système de Paiement Instantané (SPI) n'avait pas été violé. Ce qui a échoué, c'est la gestion des identifiants d'une institution participante.
Pour contextualiser, Pix traite plus de 200 millions de transactions quotidiennement au Brésil. L'architecture centrale du système, maintenue par la Banco Central do Brasil, n'a jamais été directement compromise depuis son lancement en novembre 2020.
Info
La Banco Central do Brasil surveille toutes les transactions Pix en temps réel. C'est cette surveillance qui a détecté les mouvements atypiques de BTG à 6 heures du matin le dimanche, permettant une intervention rapide.
La cryptomonnaie comme voie d'évasion
Dans chaque grande attaque depuis 2025, les fonds volés ont suivi le même chemin : dispersion sur plusieurs comptes bancaires, puis conversion en cryptomonnaies.
La logique est simple. Les virements bancaires sont traçables : chaque transaction Pix porte le numéro d'identification fiscale de l'expéditeur et du destinataire. Les cryptomonnaies, bien qu'enregistrées sur la blockchain, permettent des mouvements entre portefeuilles pseudonymes qui rendent l'identification des bénéficiaires finaux significativement plus difficile.
Dans l'attaque contre BTG, les fonds ont été dispersés sur au moins 7 établissements différents avant d'être partiellement convertis en crypto. La Police fédérale a récupéré 73 millions de reais, mais la partie convertie en actifs numériques représente l'aspect le plus difficile de l'enquête.
Ce schéma accélère un débat déjà en cours au Brésil : la réglementation des cryptomonnaies. La capacité à tracer les opérations crypto et à identifier les bénéficiaires finaux est au cœur de la capacité des forces de l'ordre à répondre efficacement à la cybercriminalité financière.
Protéger votre argent
Les attaques de 2025 et 2026 ont ciblé l'infrastructure institutionnelle, et non les comptes individuels. Mais cela ne signifie pas que les précautions personnelles sont inutiles, surtout pour l'utilisation quotidienne de Pix.
Fixez des limites de transfert. Chaque banque brésilienne vous permet d'ajuster vos limites Pix par transaction et par période. Réduisez votre limite nocturne (20h à 6h) à un montant faible ou à zéro. La plupart des attaques physiques contre des individus se produisent par contrainte, et des limites basses réduisent les dommages potentiels.
Activez l'authentification à deux facteurs (2FA). Biométrie, tokens ou confirmation par un appareil secondaire. Chaque couche d'authentification supplémentaire rend l'accès non autorisé plus difficile.
Utilisez des clés Pix aléatoires. Préférez les clés aléatoires à celles liées à votre CPF (identifiant fiscal), votre adresse e-mail ou votre numéro de téléphone. Les clés liées à des données personnelles facilitent les tentatives d'ingénierie sociale.
Évitez le Wi-Fi public pour les transactions financières. Les réseaux ouverts sont des vecteurs d'interception connus. Utilisez votre réseau mobile ou un VPN de confiance.
Connaissez le MED (Mécanisme de Retour Spécial). Si vous êtes victime d'une fraude Pix, vous disposez de 80 jours pour demander un remboursement via le MED auprès de votre banque. La banque doit notifier l'établissement destinataire dans les 30 minutes pour bloquer les fonds. Plus vous signalez rapidement, plus vos chances de récupération sont élevées.
Conseil
Définissez votre limite Pix nocturne dès maintenant. La plupart des banques vous permettent de la réduire à 0 réal entre 20h et 6h, avec une prise d'effet dans les 24 à 48 heures à titre de mesure de sécurité.
Ce que cela signifie pour les investisseurs
La sécurité du système financier concerne directement chaque investisseur. Les attaques de 2025 et 2026 n'ont pas compromis Pix en tant qu'infrastructure, mais elles ont mis en évidence l'urgent besoin pour les institutions financières d'investir continuellement dans la cybersécurité, la gouvernance des identifiants et l'audit des prestataires tiers.
Pour les investisseurs individuels, la leçon est double : le système central est robuste, mais la sécurité personnelle dépend de vos propres pratiques. Des limites configurées, une authentification forte et la vigilance face aux tentatives d'ingénierie sociale restent vos meilleures défenses.
Chez Royal Binary, la sécurité des fonds des investisseurs est une priorité opérationnelle. Avec des opérations gérées par l'équipe de Sidnei Oliveira, forte de plus de 6 ans d'expérience sur les marchés financiers, et avec une transparence opérationnelle totale (CNPJ 64.020.950/0001-60, Avenida Paulista 807, São Paulo, Brésil), notre modèle est conçu pour atténuer le risque à chaque étape.
Les rendements sur le marché financier sont des revenus variables. Les résultats passés ne garantissent pas les résultats futurs.
Conseil
Vous souhaitez comprendre comment fonctionne le trading géré de Royal Binary ? Explorez nos plans et notre historique de trading sur app.royalbinary.io.