← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Cibersegurança no setor financeiro: C&M, Sinqia e as novas regras

Os ataques à C&M Software e à Sinqia expuseram o risco dos fornecedores. Veja o que mudou com as Resoluções BCB 498, CMN 5.274 e as lições para o setor.

2026-10-21

Em pouco mais de dois meses de 2025, criminosos usaram credenciais legítimas para desviar centenas de milhões de reais de instituições financeiras brasileiras, sem quebrar nenhuma criptografia. Os alvos não eram os bancos diretamente, mas empresas de tecnologia que os conectam ao Pix e ao Sistema de Pagamentos Brasileiro (SPB). A resposta do Banco Central e do Conselho Monetário Nacional (CMN) mudou as regras de cibersegurança do setor.

Caso 1: C&M Software (junho–julho de 2025)

A C&M Software presta serviços a instituições que oferecem contas transacionais, conectando-as ao Banco Central. Por volta das 4h30 de 30 de junho de 2025, começaram transferências via Pix a partir da conta da BMP, cliente da empresa, segundo o Baguete. A polícia de São Paulo estimou em R$ 541 milhões o valor enviado para contas em outras instituições, e a Justiça determinou o bloqueio de R$ 270 milhões numa conta que teria recebido parte dos recursos (CNN Brasil).

O ponto de entrada foi humano. Um operador de TI da C&M, preso em 3 de julho, confessou ter vendido login e senha por R$ 15 mil depois de ser abordado num bar (Baguete). A empresa afirmou que houve engenharia social para compartilhamento indevido de credenciais, e não falha de sistema (CNN Brasil). No mesmo dia da prisão, o BC autorizou a C&M a voltar a operar parcialmente, só em dias úteis e em horário restrito, condicionado à anuência das instituições participantes e ao reforço do monitoramento de fraudes.

Caso 2: Sinqia/Evertec (agosto de 2025)

Em 29 de agosto de 2025, atacantes acessaram o ambiente Pix da Sinqia, que conecta bancos ao sistema e pertence à americana Evertec, usando credenciais comprometidas de funcionários de TI. Segundo comunicado da Evertec à SEC, citado pelo Canaltech, foram desviados cerca de R$ 710 milhões, sendo R$ 670 milhões do HSBC e R$ 41 milhões da fintech Artta. Cerca de R$ 589 milhões, ou 83%, foram bloqueados. O BC suspendeu a conexão da Sinqia ao Pix, condicionando o retorno à aprovação de novas medidas de segurança.

Incidente	Data	Valor desviado	Vetor
C&M Software / BMP	30/06/2025	R$ 541 milhões (estimativa policial)	Credencial vendida por funcionário
Sinqia / HSBC e Artta	29/08/2025	cerca de R$ 710 milhões (83% bloqueados)	Credenciais de funcionários de TI comprometidas

A resposta regulatória

Setembro de 2025: limite emergencial e credenciamento de PSTIs

Em 5 de setembro de 2025, o BC publicou a Resolução BCB nº 498, que exige credenciamento dos prestadores de serviços de tecnologia da informação (PSTIs) conectados à Rede do Sistema Financeiro Nacional (RSFN). Segundo o Machado Meyer, os requisitos incluem capital mínimo e patrimônio de R$ 15 milhões, diretores específicos para segurança cibernética e gestão de crises, centro de processamento secundário, monitoramento de fraudes 24 horas com capacidade de interromper todo o fluxo de transações, trilhas de auditoria, testes de intrusão, certificação de segurança, auditoria externa anual e seguro de responsabilidade civil e risco operacional.

Ao mesmo tempo, as Resoluções BCB 496 e 497 fixaram um limite de R$ 15 mil por transação em Pix e TED para instituições conectadas à RSFN por meio de PSTI, que vale até a conclusão do credenciamento. Em janeiro de 2026, o BC endureceu o credenciamento e ampliou o prazo de adaptação de quatro para oito meses (Jornal de Brasília).

Dezembro de 2025: nova política de segurança cibernética

Em 18 de dezembro de 2025, o CMN e o BC publicaram a Resolução CMN nº 5.274 e a Resolução BCB nº 538, com prazo de adequação até 1º de março de 2026. Entre as exigências descritas pela Finsiders:

Autenticação multifator na comunicação com a RSFN, especialmente nos ambientes Pix e STR.
Testes de intrusão anuais por profissionais independentes, com resultados guardados por cinco anos.
Controles de segurança estendidos a sistemas de terceiros.
Proibição de acesso de terceiros às chaves privadas das instituições.
Isolamento de ambientes e monitoramento de credenciais.
Gestão de certificados digitais, rastreabilidade e controles de acesso.

A comunicação de dados com a RSFN passou a ser classificada como serviço relevante para fins de contratação, sujeita a gestão de risco e supervisão do BC. Especialistas ouvidos pela TI Inside destacam a exigência de diretor responsável por segurança cibernética e a necessidade de evidências auditáveis.

Lições para o setor

Credencial válida é o novo arrombamento. Nos dois casos, o atacante entrou com login legítimo. Autenticação multifator e monitoramento de comportamento são obrigatórios na prática.
O elo mais fraco é o fornecedor. Bancos sólidos foram atingidos por meio de prestadores. Due diligence de terceiros passou a ser tema regulatório.
Velocidade de bloqueio importa. No caso Sinqia, a maior parte do dinheiro foi travada; a capacidade de interromper o fluxo é agora requisito expresso.
Pessoas são alvo. O aliciamento de um funcionário com acesso privilegiado mostra a importância de segregação de funções, monitoramento de acessos e cultura de reporte.
Rastreio e cripto. Segundo análise publicada na TI Inside, os ataques do período seguiram um padrão de ordens de alto valor e dispersão rápida, em parte para criptoativos.

O que observar em 2026

Com o prazo de março vencido e o credenciamento de PSTIs em curso, a supervisão do BC deve passar a cobrar evidências. Instituições que dependem de um único provedor de conectividade e não revisaram contratos e planos de saída estão mais expostas.