O sistema financeiro brasileiro atravessa um momento de tensão após a repetição de ataques direcionados a intermediários tecnológicos responsáveis por conectar instituições financeiras ao Banco Central.
Em menos de três meses, três incidentes distintos mostraram que criminosos passaram a explorar elos invisíveis da cadeia de pagamentos, deslocando o foco do ataque das grandes instituições para empresas terceirizadas e fornecedores de tecnologia.
No episódio ocorrido em 29 de agosto, criminosos conseguiram processar cerca de R$ 710 milhões em transferências não autorizadas por meio do ambiente Pix de uma intermediária do sistema. Parte expressiva desse valor foi bloqueada graças à atuação do Banco Central, mas o episódio evidenciou, novamente, a fragilidade de dependências críticas pouco visíveis para o público.
Pouco antes, em 1º de julho, outra empresa do setor havia sido comprometida, desta vez a partir de um insider com acesso a contas de liquidação interbancária. O montante desviado foi estimado entre R$ 400 milhões e R$ 1 bilhão, configurando um dos maiores incidentes de fraude da história recente do sistema financeiro nacional.
Já em 2 de setembro, uma terceira ocorrência de menor escala mostrou que os atacantes não diminuíram a ofensiva: cerca de R$ 4,9 milhões foram movimentados de forma irregular, embora quase todo o valor tenha sido recuperado.
A tríade de ataques revela um padrão comum: a exploração de identidades válidas e integrações críticas como principal vetor de intrusão, seja por acessos privilegiados de funcionários, credenciais de fornecedores de TI ou vulnerabilidades em APIs de mensageria financeira.
Como funcionam os intermediários do sistema
Para compreender a gravidade dos incidentes, é preciso entender o papel das chamadas empresas prestadoras de serviços de tecnologia da informação dentro do Sistema de Pagamentos Instantâneos. Essas empresas são autorizadas a operar como intermediárias, permitindo que bancos, fintechs e instituições de pagamento se conectem à Rede do Sistema Financeiro Nacional (RSFN) e, a partir dela, ao Sistema de Pagamentos Instantâneos (SPI) do Banco Central.
Na prática, elas funcionam como pontes digitais, fornecendo APIs, certificados digitais e infraestrutura de comunicação. É por meio delas que diversas instituições oferecem Pix aos seus clientes. Se um intermediário desse ecossistema é comprometido, múltiplas instituições podem ser afetadas em efeito cascata, já que compartilham a mesma camada tecnológica.
É exatamente esse o risco que se confirmou nos últimos ataques: os alvos não foram os bancos em si, mas os elos intermediários da cadeia de suprimentos tecnológica.
Vetores de ataque: da conta-reserva ao uso de credenciais válidas
Nos três incidentes, os atacantes seguiram rotas diferentes para atingir o mesmo objetivo: movimentar recursos de contas operacionais de liquidação mantidas junto ao Banco Central.
- Julho: uso de acesso privilegiado de funcionário (insider threat), que manipulou diretamente as contas-reserva;
- Agosto: exploração de credenciais legítimas de fornecedores de TI, utilizadas para acessar o ambiente Pix da empresa atacada. Esse vetor corresponde à técnica T1078 (Valid Accounts) do framework MITRE ATT&CK;
- Setembro: tentativa de exploração de vulnerabilidades em APIs e mensageria, com impacto financeiro mais limitado.
Esse padrão reafirma o que já é uma tendência global: em vez de lançar ataques massivos contra as camadas mais protegidas do sistema (como o núcleo do Banco Central), os criminosos buscam elos mais frágeis, porém com acessos legítimos.
A resposta imediata do Banco Central
Diante da repetição dos ataques, o Banco Central anunciou em 5 de setembro um pacote de medidas emergenciais e estruturais. As ações foram desenhadas para atacar tanto o risco imediato quanto a resiliência de longo prazo.
Medidas operacionais de contenção
- Limite de R$ 15 mil por transação (Pix e TED): válido para instituições de pagamento não autorizadas e para qualquer instituição que utilize intermediários que ainda não estão em conformidade;
- Aplicação imediata: as transações acima do limite são automaticamente bloqueadas pelos próprios sistemas do Banco Central, e não apenas pelas regras internas das instituições;
- Racional técnico: segundo o próprio regulador, a maioria das transações de pessoas jurídicas ficam abaixo de R$ 15 mil. Assim, o limite atinge apenas uma fração mínima das operações legítimas, mas dificulta a movimentação rápida de grandes somas pelos criminosos, obrigando-os a pulverizar tentativas e aumentando a chance de detecção.
Medidas estruturais para intermediários (PSTIs)
- Credenciamento obrigatório: não basta mais uma avaliação técnica, será preciso autorização formal do BCB;
- Requisitos de governança e gestão de risco: alinhados a padrões internacionais, incluindo Segurança da Informação e segregação de funções;
- Capital mínimo de R$ 15 milhões: exigência inédita, que força consolidação no setor;
- Prazo de adequação: quatro meses, sob pena de descredenciamento.
Medidas estruturais para instituições de pagamento (IPs)
- Antecipação do prazo de autorização: de 2029 para maio de 2026;
- Proibição de novas operações sem autorização: nenhuma instituição poderá iniciar atividades sem o aval prévio do BCB;
- Representação no Pix: apenas instituições classificadas como S1, S2, S3 ou S4 poderão atuar como responsáveis por IPs não autorizadas; cooperativas e participantes menores foram excluídos;
- Aumento de capital mínimo: a depender das atividades, pode chegar a R$ 7 milhões;
- Certificação técnica independente: exigência de auditorias externas emitidas por empresas credenciadas pelo BCB;
- Encerramento rápido de operações indeferidas: se um pedido de autorização for negado, a instituição terá até 30 dias para encerrar atividades.
O que muda na governança
Um dos aspectos mais relevantes das novas regras é o reconhecimento de que os intermediários passaram a ser infraestruturas críticas para o sistema financeiro. Antes vistos apenas como fornecedores técnicos, agora são tratados pelo BCB como elos de risco sistêmico.
Além disso, a regulação deixa claro que as instituições contratantes também serão responsabilizadas. Bancos e fintechs não poderão simplesmente transferir suas obrigações de segurança para os intermediários, precisarão fiscalizar, auditar e comprovar que os parceiros atendem aos novos padrões.
Na prática, o BCB está seguindo um modelo de responsabilidade compartilhada, o mesmo conceito já adotado em ambientes de computação em nuvem, no qual cada parte deve responder por sua camada de controle.
Lições de cibersegurança
Os incidentes recentes oferecem várias lições que extrapolam o setor financeiro:
- Identidade como perímetro: quando credenciais válidas são abusadas, firewalls e criptografia não são suficientes. É preciso implementar controles como PAM (Privileged Access Management), MFA (autenticação multifator) e monitoramento de comportamento de usuários (UEBA);
- Segurança de APIs: como o Pix depende de certificados digitais para autenticação e criptografia, o ciclo de vida de chaves e certificados precisa ser gerido com rigor. Vulnerabilidades conhecidas em mensageria, como a CVE-2023-46604 em ActiveMQ, podem ter impacto devastador se não houver HSM/KMS e patching ágil;
- Auditorias independentes: compliance regulatório não garante segurança. Relatórios de testes de invasão e auditorias externas devem ser exigidos recorrentemente dos intermediários;
- Monitoramento transacional inteligente: a medida de R$ 15 mil é um exemplo de como políticas de risco dinâmicas podem criar atrito para criminosos sem afetar o fluxo normal de clientes. Instituições podem aplicar lógica semelhante internamente, estabelecendo “quatro olhos” para saídas críticas e monitoramento em tempo real.
O risco sistêmico já não é hipótese
Até pouco tempo atrás, falava-se em risco sistêmico como uma possibilidade teórica. Agora, com dois ataques milionários em empresas diferentes do mesmo setor em menos de dois meses, o risco tornou-se palpável. Se o Banco Central não tivesse bloqueado rapidamente parte das transações, os prejuízos poderiam ter alcançado cifras ainda mais elevadas.
Com sete prestadores ativos nesse mercado e dois já comprometidos, mais de um quarto da infraestrutura crítica do Pix foi impactada em curto espaço de tempo. Isso evidencia a necessidade urgente de planos de continuidade, segregação de ambientes e auditorias frequentes.
O caminho à frente
O pacote de medidas anunciado pelo BCB é duro, mas necessário. No curto prazo, cria barreiras para que criminosos não consigam movimentar grandes volumes rapidamente. No médio e longo prazo, força uma consolidação no setor de intermediários e obriga instituições de pagamento a elevar padrões de governança e capital.
Para as instituições financeiras, o recado é claro: não basta confiar em fornecedores homologados. Será preciso construir uma relação de supervisão contínua, exigir laudos independentes e implementar controles internos capazes de detectar comportamentos anômalos, mesmo quando partem de parceiros autorizados.
Ao mesmo tempo, os episódios recentes reforçam que o sistema financeiro brasileiro continua a ser alvo prioritário de grupos criminosos organizados, que agora miram em brechas menos óbvias, mas de alto impacto.
Conclusão
A sequência de ataques e a reação regulatória demonstram que o Pix, embora seja uma das maiores inovações financeiras dos últimos anos, trouxe consigo novos vetores de risco que precisam ser geridos de forma rigorosa. O desafio agora não é apenas de tecnologia, mas de governança, auditoria e coordenação entre todos os elos da cadeia.
O que se viu nos últimos meses é um lembrete contundente: a segurança do sistema financeiro não depende apenas dos grandes bancos ou do Banco Central, mas também da solidez de cada intermediário e da responsabilidade das instituições que os contratam.
