# C&M e Sinqia em 2025: os ataques a fornecedores que conectam bancos ao Pix — Citeo

> Em 2025, dois ataques a prestadores de tecnologia do sistema financeiro expuseram o risco da cadeia de fornecedores: em julho, criminosos usaram acesso de...

Fonte: https://mail.citeo.com.br/artigo/2025-ataques-c-m-software-e-sinqia · Atualizado em 21/10/2026

[Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) 

 Retrospectiva 2025 · Segurança# C&M e Sinqia em 2025: os ataques a fornecedores que conectam bancos ao Pix

 **Redação Citeo** Publicado em 31/12/2025 Revisado em 17/10/2026 **Período analisado: 2025** 3 min de leitura 

  Resposta rápidaEm 2025, dois ataques a prestadores de tecnologia do sistema financeiro expuseram o risco da cadeia de fornecedores: em julho, criminosos usaram acesso de um funcionário da C&M Software para desviar centenas de milhões; em agosto, credenciais de fornecedores da Sinqia permitiram desviar R$ 710 milhões.

 

Em 2025, o sistema financeiro brasileiro sofreu dois ataques cibernéticos de centenas de milhões de reais, e ambos tiveram como alvo empresas de tecnologia que conectam instituições financeiras à infraestrutura de pagamentos, e não os bancos diretamente. Em julho, um funcionário da C&M Software foi preso suspeito de facilitar o acesso de criminosos, que desviaram valores de contas de instituições clientes. Em 29 de agosto, credenciais de fornecedores de TI da Sinqia foram usadas para desviar R$ 710 milhões no ambiente Pix da empresa, atingindo HSBC e a sociedade de crédito Artta.

## O que aconteceu na C&M Software?

Segundo a CNN Brasil, a Polícia Civil de São Paulo informou um desvio de cerca de R$ 541 milhões a R$ 542 milhões da instituição de pagamento BMP, cliente da C&M. Um operador de TI da empresa, de 48 anos, foi preso na noite de 3 de julho de 2025 e, segundo a polícia, confessou ter sido recrutado para ajudar os criminosos a acessar o sistema e solicitar transferências via Pix. O portal Startups informou que ele teria recebido R$ 15 mil e que o desvio total, de contas reserva de seis instituições, poderia chegar a cerca de R$ 1 bilhão.

A C&M atribuiu o incidente a engenharia social usada para compartilhar indevidamente credenciais de acesso, e não a falhas em seus sistemas. O Banco Central desconectou a empresa de seu ambiente e, depois, autorizou o retorno controlado, apenas em dias úteis e horário comercial.

## O que aconteceu na Sinqia?

ItemDetalheData do ataque29/08/2025EmpresaSinqia, controlada pela Evertec, que conecta instituições ao PixValor desviadoR$ 710 milhões, segundo a SinqiaInstituições afetadasHSBC (R$ 670 milhões) e Artta (R$ 40 milhões), segundo relatório da EvertecForma de acessoCredenciais legítimas de fornecedores de TI da SinqiaValores recuperados inicialmenteR$ 366 milhões, segundo o Poder360ReaçãoSinqia desconectada do Banco Central e ambiente isolado

Segundo o Tecnoblog, HSBC e Artta afirmaram que contas de clientes não foram afetadas. A Sinqia disse que o incidente se restringiu ao seu ambiente Pix no Brasil e que o Banco Central revisaria e aprovaria o ambiente reconstruído antes da reconexão.

## O que os dois casos têm em comum?

- **Alvo indireto**: em vez de atacar bancos, os criminosos atacaram empresas que fazem a ponte entre instituições e o sistema de pagamentos;
- **Credenciais legítimas**: nos dois casos, o acesso usou credenciais válidas, obtidas por aliciamento de funcionário ou de fornecedores;
- **Grandes volumes**: os desvios somaram centenas de milhões de reais em cada caso, com transferências "em massa" no caso C&M, segundo a polícia;
- **Resposta do regulador**: o Banco Central desconectou os prestadores e condicionou o retorno.

## Que lições ficam para quem contrata tecnologia?

1. Fornecedores com acesso a sistemas críticos devem ser avaliados com o mesmo rigor aplicado à própria empresa.
2. Acessos privilegiados precisam de monitoramento de comportamento, limites e alertas para operações atípicas.
3. Credenciais de terceiros devem ser revisadas e revogadas com frequência.
4. Planos de resposta a incidentes precisam prever a desconexão rápida de um fornecedor.

## O que isso significa hoje?

Em 2026, a segurança da cadeia de fornecedores entrou definitivamente na pauta de qualquer empresa que lida com dinheiro ou dados sensíveis. Ao contratar um fornecedor de tecnologia, peça evidências de controles de acesso privilegiado e de testes de segurança independentes. A Citeo reúne [empresas de cibersegurança](/empresas/cyber) que podem avaliar riscos de terceiros.

## Fontes

- [CNN Brasil: Ataque hacker desviou R$ 541 milhões "em massa", diz polícia (04/07/2025)](https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/)
- [Startups: Funcionário da C&M é preso após facilitar ataque hacker (04/07/2025)](https://startups.com.br/ciberseguranca/funcionario-da-cm-e-preso-apos-facilitar-ataque-hacker/)
- [Tecnoblog: Ataque hacker a empresa que opera o Pix desviou R$ 710 milhões](https://tecnoblog.net/noticias/ataque-hacker-a-empresa-que-opera-o-pix-desviou-r-710-milhoes/)
- [Poder360: Sinqia diz que recuperou parte de R$ 710 mi desviados em ataque hacker (02/09/2025)](https://www.poder360.com.br/poder-economia/sinqia-diz-que-recuperou-parte-de-r-710-mi-desviados-em-ataque-hacker/)

 **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.

 

 [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) 

 

## Perguntas frequentes

### Como a C&M Software foi atacada?

Segundo a polícia, um funcionário da empresa foi aliciado e facilitou o acesso dos criminosos ao sistema, que foi usado para solicitar transferências via Pix. A C&M atribuiu o caso a engenharia social, e não a falhas em seus sistemas.

### Quanto foi desviado no ataque à Sinqia?

R$ 710 milhões, segundo a Sinqia, sendo R$ 670 milhões do HSBC e R$ 40 milhões da Artta, de acordo com relatório da Evertec. Parte foi recuperada.

### O Pix foi invadido nesses ataques?

Não. Os ataques atingiram ambientes de empresas prestadoras que conectam instituições ao Pix. Segundo o Tecnoblog, o sistema Pix em si não foi afetado no caso Sinqia.

  

## Leia também

  [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres)

 18 de out · 5 min de leitura 

 [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena)

 18 de out · 5 min de leitura 

 [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd)

 18 de out · 6 min de leitura 

 [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados)

 18 de out · 6 min de leitura