Ataque à Sinqia desvia R$ 710 milhões e leva o Banco Central a limitar Pix e TED a R$ 15 mil em instituições sem licença
Dois meses depois do caso C&M Software, um segundo provedor de tecnologia do Pix foi invadido com credenciais de fornecedores de TI. O Banco Central respondeu em 5 de setembro com teto de R$ 15 mil por operação, capital mínimo e autorização obrigatória.
Referência histórica: 9 de setembro de 2025. Publicado neste site em 2 de novembro de 2026. As datas no texto identificam o período retratado.
Neste artigo
Em resumo
- Em 29 de agosto de 2025, invasores usaram credenciais de fornecedores de TI da Sinqia para fazer Pix não autorizados. A controladora Evertec estima R$ 710 milhões; segundo a imprensa, R$ 670 milhões do HSBC e R$ 40 milhões da Artta.
- Em 5 de setembro, o Banco Central publicou as Resoluções BCB 494 a 498: teto de R$ 15 mil por Pix ou TED em instituições de pagamento não autorizadas ou ligadas ao sistema por provedores de TI (PSTI).
- Os PSTI passam a precisar de capital e patrimônio líquido de pelo menos R$ 15 milhões, e as instituições de pagamento sem autorização têm de pedir a licença entre 1º e 31 de maio de 2026.
- Para empresas que pagam fornecedores por fintechs, a regra muda o limite por operação: vale conferir se a instituição usada é autorizada.
São Paulo, 9 de setembro de 2025 — Dois meses depois do ataque à C&M Software, o sistema de pagamentos brasileiro sofreu um segundo golpe em um elo parecido: um provedor de tecnologia que conecta instituições financeiras ao Pix. Na sexta-feira, 29 de agosto, invasores usaram credenciais legítimas de fornecedores de TI para movimentar o ambiente Pix da Sinqia, controlada pela Evertec, empresa listada nos Estados Unidos. A Evertec estima em R$ 710 milhões as transações não autorizadas contra duas instituições clientes. Na sexta seguinte, 5 de setembro, o Banco Central respondeu com regras que mudam a vida de quem opera fora do perímetro de instituições autorizadas.
- Transações não autorizadas, segundo a Evertec (2/9); as primeiras notícias falavam em R$ 420 mi
- R$ 710 mi
- Valor que as autoridades conseguiram assegurar nos primeiros dias, segundo o Poder360
- R$ 366 mi
- Teto por operação de Pix e TED nas instituições atingidas pela nova regra
- R$ 15 mil
- Capital mínimo exigido dos provedores de TI que acessam o sistema financeiro
- R$ 15 mi
O que aconteceu em 29 de agosto
A Sinqia fornece software para o mercado financeiro e opera um ambiente que conecta instituições ao Pix e ao restante da infraestrutura do Banco Central. Nesse ambiente, no dia 29, foram feitas transferências não autorizadas. A empresa isolou o ambiente Pix e, por volta das 15h30, foi desconectada do acesso ao Banco Central, sem data para voltar. A apuração preliminar, descrita pela Evertec em comunicado à SEC, o regulador americano, em 2 de setembro, indica que os invasores usaram indevidamente credenciais de fornecedores de TI da Sinqia. Essas credenciais foram canceladas, e o incidente parece restrito ao ambiente Pix, que atende 24 instituições.
O dinheiro saiu de contas que as instituições mantêm no Banco Central para liquidar operações entre si, e não de contas de clientes. A Evertec não nomeou as vítimas; segundo o Tecnoblog, R$ 670 milhões eram do HSBC e R$ 40 milhões, da Artta, empresa de crédito. As duas disseram que clientes e saldos não foram afetados. A primeira estimativa, publicada pelo NeoFeed, era de R$ 420 milhões.
- 29/08/2025Transações não autorizadas no ambiente Pix da Sinqia. A empresa é desconectada do Banco Central no fim da tarde.
- 31/08/2025Reunião da Artta com o Banco Central, a Sinqia e o HSBC, segundo o Poder360.
- 02/09/2025A Evertec informa à SEC R$ 710 milhões em transações não autorizadas e diz que parte foi recuperada.
- 05/09/2025O Banco Central publica as Resoluções BCB 494 a 498, com teto de R$ 15 mil, capital mínimo e autorização prévia.
- 01 a 31/05/2026Janela para instituições de pagamento sem autorização pedirem a licença.
O que o Banco Central mudou em 5 de setembro
O pacote foi apresentado pelo presidente do Banco Central, Gabriel Galípolo, que citou o envolvimento do crime organizado nos ataques recentes a instituições financeiras e de pagamento. As medidas miram duas figuras: as instituições de pagamento que ainda operam sem autorização e os provedores de serviços de tecnologia da informação (PSTI), as empresas que, como a Sinqia e a C&M, ligam instituições menores ao sistema financeiro.
| Medida | O que diz | Quando vale |
|---|---|---|
| Teto por operação (Res. 496 e 497) | Pix de no máximo R$ 15 mil quando a conta do pagador está em instituição de pagamento não autorizada ou em participante conectado por um PSTI; TED de R$ 15 mil ou mais vedada a instituições conectadas por PSTI | Imediato; deixa de valer quando o PSTI é credenciado e a instituição comprova os controles de segurança com relatório independente |
| Autorização prévia (Res. 494) | Instituições de pagamento que já atuam sem autorização têm de pedir a licença entre 1º e 31 de maio de 2026 (o prazo anterior ia até dezembro de 2029); quem não pedir pode operar só por mais 30 dias | Imediato |
| Capital dos PSTI (Res. 498) | Capital e patrimônio líquido de pelo menos R$ 15 milhões, comprovados por demonstrações auditadas; diretores de segurança, riscos e gestão de crises; auditoria independente anual e seguro | Imediato para novos; quem já opera tem quatro meses para pedir o credenciamento |
| Contratos | Contratos de PSTI com instituições de pagamento não autorizadas precisam ser adaptados, segundo o Tecnoblog | 180 dias |
| Sede e certificação (Res. 494 e 495) | Sede física de uso exclusivo, sem escritório virtual ou coworking, salvo dentro do mesmo conglomerado; o BC pode exigir certificação independente | Imediato |
Segundo a Reuters, o teto não afeta 99% das transferências feitas hoje por empresas e alcança cerca de 3% das contas do sistema financeiro. A instituição atingida pode pedir dispensa, que dura até 90 dias ou até cumprir as exigências de segurança, o que ocorrer primeiro.
Bancos e fintechs já autorizadas pelo Banco Central, que não dependem de um PSTI não credenciado, continuam com os próprios limites. O teto vale para a conta de onde o dinheiro sai, não para quem recebe.
Por que os provedores de tecnologia viraram alvo
Para ligar-se diretamente ao Pix, uma instituição precisa de infraestrutura cara e certificada. Muitas fintechs contratam um PSTI que faz isso por elas. O arranjo é eficiente, mas concentra risco: quem invade o provedor chega a várias instituições ao mesmo tempo, muitas vezes por meio de credenciais de terceiros, como o caso mostrou. Foi o mesmo desenho do ataque à C&M Software, no fim de junho, e o mesmo ponto fraco do vazamento da Coinbase: um acesso legítimo nas mãos erradas.
O Banco Central também apontou o risco de instituições sem licença operarem em escala sem a supervisão de quem tem capital, governança e auditoria exigidos. Na entrevista de 5 de setembro, o diretor Gilneu Vivan citou as contas-bolsão, abertas por fintechs em bancos tradicionais, como possível próximo alvo e disse que a regulação de criptoativos deve sair nos próximos meses. Ela completará a lei de 2022 que já exige autorização das prestadoras de ativos virtuais.
O que empresas devem conferir agora
- Se a empresa paga fornecedores por uma fintech ou conta digital, confirmar se a instituição é autorizada pelo Banco Central e se usa um PSTI credenciado.
- Revisar pagamentos de R$ 15 mil ou mais: eles podem ser barrados até a instituição regularizar a situação.
- Manter uma segunda conta, em instituição autorizada, aprovada pelo financeiro para pagamentos maiores.
Os controles internos contra acesso indevido, como menor privilégio, limites e dupla aprovação, são os mesmos discutidos no caso da C&M: credenciais de fornecedores de TI são porta de entrada e pedem autenticação forte e revisão periódica.
O que ainda não está claro
Até 9 de setembro, o valor final recuperado não havia sido divulgado. Segundo a Evertec, a Sinqia só volta a processar transações no sistema de pagamentos depois que o Banco Central aprovar as medidas adotadas. Também não há detalhes públicos sobre como as credenciais foram obtidas. As investigações policiais e a regulamentação complementar seguem em andamento, e os números desta reportagem podem mudar.
Perguntas frequentes
Quanto foi desviado no ataque à Sinqia?
A Evertec, controladora da Sinqia, estimou R$ 710 milhões em transações não autorizadas, em comunicado à SEC de 2 de setembro de 2025. Segundo a imprensa, foram R$ 670 milhões do HSBC e R$ 40 milhões da Artta. Parte do valor foi recuperada: as autoridades haviam assegurado R$ 366 milhões nos primeiros dias, segundo o Poder360.
O dinheiro de clientes foi atingido?
Segundo a Sinqia, o HSBC e a Artta, não. O dinheiro saiu de contas de reserva das instituições no Banco Central, usadas na liquidação entre elas. Mesmo assim, o incidente levou à desconexão da Sinqia do sistema.
O teto de R$ 15 mil vale para todos os Pix?
Não. Desde 5 de setembro de 2025, vale para Pix pagos a partir de contas em instituições de pagamento não autorizadas ou em instituições ligadas ao sistema por um provedor de TI, e para TED emitidas por essas instituições ligadas a provedor. Bancos e fintechs autorizadas com conexão própria seguem com seus limites. O teto sai quando o provedor é credenciado e a instituição comprova os controles exigidos.
O que é um PSTI?
É um prestador de serviços de tecnologia da informação que conecta instituições financeiras ao sistema financeiro nacional e ao Pix. Pela Resolução BCB 498, ele precisa de pelo menos R$ 15 milhões de capital e patrimônio líquido, auditoria independente anual de segurança da informação, seguro e diretores responsáveis por segurança, riscos e gestão de crises.
Até quando as fintechs sem licença podem pedir autorização?
O Banco Central antecipou o prazo: os pedidos devem ser protocolados entre 1º e 31 de maio de 2026. Antes, o prazo ia até dezembro de 2029. Quem não pedir deve encerrar as atividades em 30 dias.
Achou útil? Compartilhe com quem paga fornecedor no exterior.
Fontes
- Ataque hacker a empresa que opera o Pix desviou R$ 710 milhões · Tecnoblog, 02/09/2025
- Sinqia diz que recuperou parte de R$ 710 mi desviados em ataque hacker · Poder360, 02/09/2025
- Após ataque ao Pix, Banco Central reforça segurança do sistema financeiro · Tecnoblog, 05/09/2025
- BC endurece regras para fintechs e cria teto de Pix e TED para coibir crimes · Forbes Brasil, 05/09/2025
- Form 8-K, Evertec, Inc., item 8.01 (incidente na Sinqia) · SEC, 02/09/2025
- Resolução BCB nº 496, de 5 de setembro de 2025 (Pix) · Banco Central do Brasil, 05/09/2025
- Resolução BCB nº 497, de 5 de setembro de 2025 (TED) · Banco Central do Brasil, 05/09/2025
Conteúdo informativo, sem recomendação de investimento. Marcas de terceiros citadas pertencem aos respectivos titulares; a menção é jornalística e não indica parceria ou vínculo com a Swapo Finance.
Pagamento internacional com a velocidade do Pix e regra do Banco Central.
Converta real em USDT e envie ao fornecedor na rede TRON. Tarifa única exibida antes, política de segregação patrimonial, atendimento humano. Ativo virtual sem cobertura do FGC; pedido de autorização protocolado no BCB.
