Ataque a Sinqia desvía R$ 710 millones y el BCB limita Pix y TED a R$ 15.000 en instituciones sin licencia
Dos meses después del caso C&M Software, otro proveedor de tecnología del Pix fue vulnerado con credenciales de proveedores de TI. El 5 de septiembre, el Banco Central de Brasil respondió con un tope de R$ 15.000 por operación, capital mínimo y autorización obligatoria.
Referencia histórica: 9 de septiembre de 2025. Publicado en este sitio el 2 de noviembre de 2026. Las fechas del texto identifican el período tratado.
En este artículo
En resumen
- El 29 de agosto de 2025, atacantes usaron credenciales de proveedores de TI de Sinqia para hacer Pix no autorizados. Su controlante, Evertec, estima R$ 710 millones; según la prensa, R$ 670 millones de HSBC y R$ 40 millones de Artta.
- El 5 de septiembre, el Banco Central de Brasil (BCB) publicó las Resoluciones BCB 494 a 498: tope de R$ 15.000 por Pix o TED en instituciones de pago no autorizadas o conectadas al sistema por proveedores de TI (PSTI).
- Los PSTI pasan a necesitar capital y patrimonio neto de al menos R$ 15 millones, y las instituciones de pago sin autorización deben pedir la licencia entre el 1.º y el 31 de mayo de 2026.
- Para las empresas que pagan a proveedores mediante fintechs, la regla cambia el límite por operación: conviene verificar si la institución utilizada está autorizada.
São Paulo, 9 de septiembre de 2025 — Dos meses después del ataque a C&M Software, el sistema de pagos brasileño sufrió un segundo golpe en un eslabón parecido: un proveedor de tecnología que conecta instituciones financieras al Pix, el sistema de pagos instantáneos de Brasil. El viernes 29 de agosto, atacantes usaron credenciales legítimas de proveedores de TI para mover fondos en el entorno Pix de Sinqia, controlada por Evertec, empresa que cotiza en Estados Unidos. Evertec estima en R$ 710 millones las transacciones no autorizadas contra dos instituciones clientes. El viernes siguiente, 5 de septiembre, el Banco Central de Brasil (BCB) respondió con reglas que cambian la vida de quienes operan fuera del perímetro de las instituciones autorizadas.
- Transacciones no autorizadas, según Evertec (2/9); las primeras noticias hablaban de R$ 420 M
- R$ 710 M
- Monto que las autoridades lograron asegurar en los primeros días, según Poder360
- R$ 366 M
- Tope por operación de Pix y TED en las instituciones alcanzadas por la nueva regla
- R$ 15.000
- Capital mínimo exigido a los proveedores de TI que acceden al sistema financiero
- R$ 15 M
Qué ocurrió el 29 de agosto
Sinqia provee software al mercado financiero y opera un entorno que conecta instituciones al Pix y al resto de la infraestructura del Banco Central. En ese entorno, el día 29 se hicieron transferencias no autorizadas. La empresa aisló el entorno Pix y, hacia las 15:30, fue desconectada del acceso al Banco Central, sin fecha de regreso. La investigación preliminar, descrita por Evertec en un comunicado a la SEC, el regulador estadounidense, el 2 de septiembre, indica que los atacantes usaron indebidamente credenciales de proveedores de TI de Sinqia. Esas credenciales fueron canceladas, y el incidente parece limitado al entorno Pix, que atiende a 24 instituciones.
El dinero salió de cuentas que las instituciones mantienen en el Banco Central para liquidar operaciones entre sí, y no de cuentas de clientes. Evertec no nombró a las víctimas; según Tecnoblog, R$ 670 millones eran de HSBC y R$ 40 millones de Artta, empresa de crédito. Ambas dijeron que los clientes y los saldos no fueron afectados. La primera estimación, publicada por NeoFeed, era de R$ 420 millones.
- 29/08/2025Transacciones no autorizadas en el entorno Pix de Sinqia. La empresa es desconectada del Banco Central al final de la tarde.
- 31/08/2025Reunión de Artta con el Banco Central, Sinqia y HSBC, según Poder360.
- 02/09/2025Evertec informa a la SEC R$ 710 millones en transacciones no autorizadas y dice que parte fue recuperada.
- 05/09/2025El Banco Central publica las Resoluciones BCB 494 a 498, con tope de R$ 15.000, capital mínimo y autorización previa.
- 1 al 31/05/2026Ventana para que las instituciones de pago sin autorización pidan la licencia.
Qué cambió el Banco Central el 5 de septiembre
El paquete fue presentado por el presidente del Banco Central, Gabriel Galípolo, quien citó la participación del crimen organizado en los ataques recientes a instituciones financieras y de pago. Las medidas apuntan a dos figuras: las instituciones de pago que aún operan sin autorización y los proveedores de servicios de tecnología de la información (PSTI), las empresas que, como Sinqia y C&M, conectan instituciones menores al sistema financiero.
| Medida | Qué dice | Cuándo rige |
|---|---|---|
| Tope por operación (Res. 496 y 497) | Pix de como máximo R$ 15.000 cuando la cuenta del pagador está en una institución de pago no autorizada o en un participante conectado por un PSTI; TED de R$ 15.000 o más prohibida a instituciones conectadas por un PSTI | Inmediato; deja de regir cuando el PSTI es acreditado y la institución comprueba los controles de seguridad con un informe independiente |
| Autorización previa (Res. 494) | Las instituciones de pago que ya actúan sin autorización deben pedir la licencia entre el 1.º y el 31 de mayo de 2026 (el plazo anterior llegaba hasta diciembre de 2029); quien no la pida podrá operar solo 30 días más | Inmediato |
| Capital de los PSTI (Res. 498) | Capital y patrimonio neto de al menos R$ 15 millones, comprobados con estados financieros auditados; directores de seguridad, riesgos y gestión de crisis; auditoría independiente anual y seguro | Inmediato para los nuevos; quienes ya operan tienen cuatro meses para pedir la acreditación |
| Contratos | Los contratos de PSTI con instituciones de pago no autorizadas deben adaptarse, según Tecnoblog | 180 días |
| Sede y certificación (Res. 494 y 495) | Sede física de uso exclusivo, sin oficina virtual ni coworking, salvo dentro del mismo conglomerado; el BCB puede exigir certificación independiente | Inmediato |
Según Reuters, el tope no afecta al 99% de las transferencias que hacen hoy las empresas y alcanza a cerca del 3% de las cuentas del sistema financiero. La institución alcanzada puede pedir una dispensa, que dura hasta 90 días o hasta cumplir las exigencias de seguridad, lo que ocurra primero.
Los bancos y fintechs ya autorizados por el Banco Central, que no dependen de un PSTI no acreditado, siguen con sus propios límites. El tope rige para la cuenta de donde sale el dinero, no para quien lo recibe.
Por qué los proveedores de tecnología se volvieron blanco
Para conectarse directamente al Pix, una institución necesita una infraestructura cara y certificada. Muchas fintechs contratan un PSTI que lo hace por ellas. El arreglo es eficiente, pero concentra riesgo: quien vulnera al proveedor llega a varias instituciones a la vez, muchas veces mediante credenciales de terceros, como mostró este caso. Fue el mismo diseño del ataque a C&M Software, a fines de junio, y el mismo punto débil de la filtración de Coinbase: un acceso legítimo en las manos equivocadas.
El Banco Central también señaló el riesgo de que instituciones sin licencia operen a escala sin la supervisión de quienes tienen el capital, la gobernanza y la auditoría exigidos. En la conferencia de prensa del 5 de septiembre, el director Gilneu Vivan citó las cuentas-bolsón (contas-bolsão), abiertas por fintechs en bancos tradicionales, como posible próximo blanco y dijo que la regulación de criptoactivos debería salir en los próximos meses. Completará la ley de 2022 que ya exige autorización a los proveedores de activos virtuales.
Qué deben verificar ahora las empresas
- Si la empresa paga a proveedores mediante una fintech o cuenta digital, confirmar que la institución esté autorizada por el Banco Central y que use un PSTI acreditado.
- Revisar los pagos de R$ 15.000 o más: pueden ser bloqueados hasta que la institución regularice su situación.
- Mantener una segunda cuenta, en una institución autorizada, aprobada por finanzas para pagos mayores.
Los controles internos contra el acceso indebido, como el mínimo privilegio, los límites y la doble aprobación, son los mismos que se discutieron en el caso de C&M: las credenciales de proveedores de TI son una puerta de entrada y exigen autenticación fuerte y revisión periódica.
Qué todavía no está claro
Hasta el 9 de septiembre, no se había divulgado el monto final recuperado. Según Evertec, Sinqia solo volverá a procesar transacciones en el sistema de pagos después de que el Banco Central apruebe las medidas adoptadas. Tampoco hay detalles públicos sobre cómo se obtuvieron las credenciales. Las investigaciones policiales y la regulación complementaria siguen en curso, y las cifras de este reportaje pueden cambiar.
Preguntas frecuentes
¿Cuánto se desvió en el ataque a Sinqia?
Evertec, controlante de Sinqia, estimó R$ 710 millones en transacciones no autorizadas, en un comunicado a la SEC del 2 de septiembre de 2025. Según la prensa, fueron R$ 670 millones de HSBC y R$ 40 millones de Artta. Parte del monto fue recuperada: las autoridades habían asegurado R$ 366 millones en los primeros días, según Poder360.
¿Se vio afectado el dinero de los clientes?
Según Sinqia, HSBC y Artta, no. El dinero salió de cuentas de reserva de las instituciones en el Banco Central, usadas en la liquidación entre ellas. Aun así, el incidente llevó a la desconexión de Sinqia del sistema.
¿El tope de R$ 15.000 rige para todos los Pix?
No. Desde el 5 de septiembre de 2025, rige para los Pix pagados desde cuentas en instituciones de pago no autorizadas o en instituciones conectadas al sistema por un proveedor de TI, y para las TED emitidas por esas instituciones conectadas a un proveedor. Los bancos y fintechs autorizados con conexión propia siguen con sus límites. El tope se levanta cuando el proveedor es acreditado y la institución comprueba los controles exigidos.
¿Qué es un PSTI?
Es un prestador de servicios de tecnología de la información que conecta instituciones financieras al sistema financiero nacional y al Pix. Según la Resolución BCB 498, necesita al menos R$ 15 millones de capital y patrimonio neto, auditoría independiente anual de seguridad de la información, seguro y directores responsables de seguridad, riesgos y gestión de crisis.
¿Hasta cuándo pueden pedir autorización las fintechs sin licencia?
El Banco Central adelantó el plazo: las solicitudes deben presentarse entre el 1.º y el 31 de mayo de 2026. Antes, el plazo llegaba hasta diciembre de 2029. Quien no la pida debe cerrar sus actividades en 30 días.
¿Te resultó útil? Compártelo con quien paga a proveedores en el exterior.
Fuentes
- Ataque hacker a empresa que opera o Pix desviou R$ 710 milhões · Tecnoblog, 2 sept 2025
- Sinqia diz que recuperou parte de R$ 710 mi desviados em ataque hacker · Poder360, 2 sept 2025
- Após ataque ao Pix, Banco Central reforça segurança do sistema financeiro · Tecnoblog, 5 sept 2025
- BC endurece regras para fintechs e cria teto de Pix e TED para coibir crimes · Forbes Brasil, 5 sept 2025
- Form 8-K, Evertec, Inc., item 8.01 (incidente na Sinqia) · SEC, 2 sept 2025
- Resolução BCB nº 496, de 5 de setembro de 2025 (Pix) · Banco Central do Brasil, 5 sept 2025
- Resolução BCB nº 497, de 5 de setembro de 2025 (TED) · Banco Central do Brasil, 5 sept 2025
Contenido informativo, sin recomendación de inversión. Las marcas de terceros citadas pertenecen a sus titulares; la mención es periodística y no indica asociación ni vínculo con Swapo Finance.
Pagos internacionales con la velocidad del Pix y las reglas del Banco Central.
Convierte reales en USDT y envíalos al proveedor en la red TRON. Tarifa única mostrada antes, política de segregación patrimonial, atención humana. Activo virtual sin cobertura del FGC; solicitud de autorización presentada ante el BCB.
