Em 2025, dois ataques a prestadores de tecnologia do sistema financeiro expuseram o risco da cadeia de fornecedores: em julho, criminosos usaram acesso de um funcionário da C&M Software para desviar centenas de milhões; em agosto, credenciais de fornecedores da Sinqia permitiram desviar R$ 710 milhões.
Em 2025, o sistema financeiro brasileiro sofreu dois ataques cibernéticos de centenas de milhões de reais, e ambos tiveram como alvo empresas de tecnologia que conectam instituições financeiras à infraestrutura de pagamentos, e não os bancos diretamente. Em julho, um funcionário da C&M Software foi preso suspeito de facilitar o acesso de criminosos, que desviaram valores de contas de instituições clientes. Em 29 de agosto, credenciais de fornecedores de TI da Sinqia foram usadas para desviar R$ 710 milhões no ambiente Pix da empresa, atingindo HSBC e a sociedade de crédito Artta.
O que aconteceu na C&M Software?
Segundo a CNN Brasil, a Polícia Civil de São Paulo informou um desvio de cerca de R$ 541 milhões a R$ 542 milhões da instituição de pagamento BMP, cliente da C&M. Um operador de TI da empresa, de 48 anos, foi preso na noite de 3 de julho de 2025 e, segundo a polícia, confessou ter sido recrutado para ajudar os criminosos a acessar o sistema e solicitar transferências via Pix. O portal Startups informou que ele teria recebido R$ 15 mil e que o desvio total, de contas reserva de seis instituições, poderia chegar a cerca de R$ 1 bilhão.
A C&M atribuiu o incidente a engenharia social usada para compartilhar indevidamente credenciais de acesso, e não a falhas em seus sistemas. O Banco Central desconectou a empresa de seu ambiente e, depois, autorizou o retorno controlado, apenas em dias úteis e horário comercial.
O que aconteceu na Sinqia?
| Item | Detalhe |
|---|---|
| Data do ataque | 29/08/2025 |
| Empresa | Sinqia, controlada pela Evertec, que conecta instituições ao Pix |
| Valor desviado | R$ 710 milhões, segundo a Sinqia |
| Instituições afetadas | HSBC (R$ 670 milhões) e Artta (R$ 40 milhões), segundo relatório da Evertec |
| Forma de acesso | Credenciais legítimas de fornecedores de TI da Sinqia |
| Valores recuperados inicialmente | R$ 366 milhões, segundo o Poder360 |
| Reação | Sinqia desconectada do Banco Central e ambiente isolado |
Segundo o Tecnoblog, HSBC e Artta afirmaram que contas de clientes não foram afetadas. A Sinqia disse que o incidente se restringiu ao seu ambiente Pix no Brasil e que o Banco Central revisaria e aprovaria o ambiente reconstruído antes da reconexão.
O que os dois casos têm em comum?
- Alvo indireto: em vez de atacar bancos, os criminosos atacaram empresas que fazem a ponte entre instituições e o sistema de pagamentos;
- Credenciais legítimas: nos dois casos, o acesso usou credenciais válidas, obtidas por aliciamento de funcionário ou de fornecedores;
- Grandes volumes: os desvios somaram centenas de milhões de reais em cada caso, com transferências "em massa" no caso C&M, segundo a polícia;
- Resposta do regulador: o Banco Central desconectou os prestadores e condicionou o retorno.
Que lições ficam para quem contrata tecnologia?
- Fornecedores com acesso a sistemas críticos devem ser avaliados com o mesmo rigor aplicado à própria empresa.
- Acessos privilegiados precisam de monitoramento de comportamento, limites e alertas para operações atípicas.
- Credenciais de terceiros devem ser revisadas e revogadas com frequência.
- Planos de resposta a incidentes precisam prever a desconexão rápida de um fornecedor.
O que isso significa hoje?
Em 2026, a segurança da cadeia de fornecedores entrou definitivamente na pauta de qualquer empresa que lida com dinheiro ou dados sensíveis. Ao contratar um fornecedor de tecnologia, peça evidências de controles de acesso privilegiado e de testes de segurança independentes. A Citeo reúne empresas de cibersegurança que podem avaliar riscos de terceiros.
Fontes
- CNN Brasil: Ataque hacker desviou R$ 541 milhões "em massa", diz polícia (04/07/2025)
- Startups: Funcionário da C&M é preso após facilitar ataque hacker (04/07/2025)
- Tecnoblog: Ataque hacker a empresa que opera o Pix desviou R$ 710 milhões
- Poder360: Sinqia diz que recuperou parte de R$ 710 mi desviados em ataque hacker (02/09/2025)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Como a C&M Software foi atacada?
Segundo a polícia, um funcionário da empresa foi aliciado e facilitou o acesso dos criminosos ao sistema, que foi usado para solicitar transferências via Pix. A C&M atribuiu o caso a engenharia social, e não a falhas em seus sistemas.
Quanto foi desviado no ataque à Sinqia?
R$ 710 milhões, segundo a Sinqia, sendo R$ 670 milhões do HSBC e R$ 40 milhões da Artta, de acordo com relatório da Evertec. Parte foi recuperada.
O Pix foi invadido nesses ataques?
Não. Os ataques atingiram ambientes de empresas prestadoras que conectam instituições ao Pix. Segundo o Tecnoblog, o sistema Pix em si não foi afetado no caso Sinqia.