Cybersécurité au Brésil : le réveil après le casse du PIX

À 4 heures du matin, le 30 juin 2025, un dirigeant de la fintech BMP Money Plus reçoit un appel inattendu : 18 millions de réaux viennent de quitter son compte de réserve à la Banque centrale, sans autorisation¹. En quelques heures, le Brésil découvre qu’il est victime du plus grand cybercrime de son histoire. La cible n’était pas une banque, mais un maillon discret de la plomberie financière : la société C&M Software.

Le casse qui a révélé une faille systémique

Le mode opératoire glace le sang par sa simplicité. Les attaquants ont obtenu, via de l’ingénierie sociale visant un employé de C&M, les identifiants internes et les certificats numériques de plusieurs institutions clientes¹. Munis de ces sésames, ils ont injecté de faux ordres directement dans l’infrastructure du système de paiement instantané PIX. Comme les transactions étaient signées avec des certificats valides, la Banque centrale les a traitées comme légitimes, débitant aussitôt les comptes de réserve des victimes².

Le préjudice total est estimé à environ 800 millions de réaux ; quelque 400 millions ont été siphonnés du seul compte de BMP, dont 160 millions ont pu être récupérés¹. La Banque centrale a ordonné la déconnexion d’urgence de C&M, ce qui a affecté les opérations PIX de plus de 300 institutions financières dépendant de ses services². Un employé impliqué a été arrêté². L’incident a exposé une vérité dérangeante : la sécurité d’un système entier peut dépendre d’un seul prestataire vulnérable.

Deuxième cible mondiale

Cet épisode n’est pas un accident isolé. Le Brésil est désormais le deuxième pays le plus visé au monde par les cyberattaques, derrière les seuls États-Unis³. Les rançongiciels y prospèrent : février 2025 a établi un record avec plus de 960 attaques en un seul mois³. À l’échelle régionale, le pays concentre à lui seul environ 30 % des victimes identifiées en Amérique latine, loin devant le Mexique et l’Argentine⁴.

Les institutions publiques paient le prix fort. Entre 2023 et 2024, elles représentaient la plus grande part des cyberattaques au Brésil, soit 26 %³. Le secteur de la santé est particulièrement exposé : le groupe KillSec a ainsi dérobé plus de 34 gigaoctets de données à MedicSolution, un éditeur de logiciels médicaux, exposant résultats de laboratoire, radiographies et dossiers de patients mineurs⁵. Cette numérisation accélérée, moteur de la transformation numérique du Brésil, élargit mécaniquement la surface d’attaque.

Une riposte institutionnelle qui se structure

L’État brésilien a réagi, et le calendrier compte. Contrairement à une idée répandue, l’architecture actuelle est récente : la Politique nationale de cybersécurité (PNCiber) a été instaurée par le décret n° 11 856 du 26 décembre 2023, créant l’Agence nationale de cybersécurité (ANCiber), supervisée par un Comité national (CNCiber) et un bureau de gestion des crises cyber⁶.

L’étape la plus marquante est intervenue après le casse du PIX. Le 4 août 2025, le décret n° 12 573 a établi la nouvelle stratégie nationale E-Ciber, qui remplace la version de 2020⁷. Elle s’articule autour de quatre thèmes — protection et sensibilisation des citoyens, résilience des infrastructures critiques, coopération public-privé, souveraineté nationale — et décline une quarantaine d’actions stratégiques assorties d’échéances et de mécanismes de gouvernance⁷. Un plan opérationnel, P-Ciber, doit en préciser la mise en œuvre. Le Comité national CNCiber, créé en décembre 2023, réunit administrations fédérales, institutions scientifiques et représentants de la société civile et du privé — un effort de gouvernance partagée inédit⁷.

Données personnelles et pénurie de talents

Le cadre juridique s’est aussi musclé. La Loi générale sur la protection des données (LGPD) impose désormais aux organisations d’investir dans la sécurité sous peine d’amendes pouvant atteindre 50 millions de réaux, soit environ 10 millions de dollars⁸. Une résolution de 2024 a durci les règles encadrant les transferts internationaux de données, tirant mécaniquement vers le haut la demande de compétences⁸.

Or c’est là que le bât blesse. Le Brésil manque cruellement de spécialistes : le déficit est estimé à quelque 300 000 professionnels de la cybersécurité⁸. Près d’un tiers des experts en poste souffriraient d’épuisement, beaucoup envisageant de changer de métier⁸. Dans le même temps, le marché national de la cybersécurité doit passer de 4,61 milliards de dollars en 2025 à près de 7 milliards en 2030⁸. Cette tension entre besoins croissants et talents rares constitue, autant que la technologie, le véritable défi du pays.

Forces armées et infrastructures critiques

La défense ne se limite pas au civil. Les forces armées brésiliennes ont développé des unités spécialisées et participent à des exercices internationaux pour protéger leurs systèmes d’information. Cette dimension militaire complète l’effort plus large d’autonomie technologique du pays, qu’illustre aussi le développement de son industrie de défense indigène autour d’Embraer.

La protection des infrastructures critiques — réseaux électriques, transports, santé, finance — reste le talon d’Achille. L’attaque du PIX l’a démontré : la résilience exige des partenariats étroits entre la Banque centrale, les régulateurs et un secteur privé qui, à São Paulo notamment, concentre l’innovation fintech et les écosystèmes de start-up.

Armée de terre, marine et aviation ont chacune constitué des unités dédiées à la cyberdéfense, chargées de protéger les systèmes d’information militaires et de participer à des exercices internationaux. Cette montée en compétence s’inscrit dans la logique de souveraineté du pays, mais elle peine encore à diffuser vers le tissu civil. Or les cybermenaces ignorent la frontière entre le militaire et le civil : un réseau électrique, un hôpital ou un prestataire financier compromis peuvent paralyser le pays aussi sûrement qu’une attaque contre une base. Le grand chantier de la décennie sera donc de décloisonner — de faire circuler le renseignement sur les menaces entre l’État, les forces armées et les entreprises, afin qu’une faille détectée quelque part profite à la défense de tous. C’est précisément l’ambition affichée par E-Ciber ; reste à la traduire en routines opérationnelles.

Perspectives

Le Brésil a basculé en 2025 d’une cybersécurité subie à une cybersécurité assumée. Le casse du PIX a joué le rôle d’électrochoc, et la stratégie E-Ciber lui donne enfin un cadre cohérent. Reste l’épreuve décisive : l’exécution. Une quarantaine d’actions sur le papier ne valent que par leur mise en œuvre et par les moyens accordés à l’ANCiber. Le signal à surveiller en 2026 sera la publication du plan P-Ciber et la capacité du pays à éviter qu’un nouveau maillon faible — un prestataire, un certificat volé — ne rejoue le scénario de juin 2025.