Por Redação O Sul | 6 de julho de 2026
Após registrar desvios que somam mais de R$ 1,5 bilhão provocados por ataques hackers a instituições financeiras nos últimos 12 meses, o Banco Central (BC) se prepara para restringir o acesso a sistemas de pagamento, como o Pix, de bancos e fintechs que tenham controles de segurança cibernética considerados fracos. O objetivo é que as sanções funcionem como incentivo para as empresas investirem no fortalecimento de políticas internas a fim de reduzir a ação de criminosos no sistema financeiro.
Desde junho do ano passado, quando hackers desviaram aproximadamente R$ 800 milhões de instituições financeiras via Pix, no chamado “roubo do ano”, o BC aumentou sua atenção e começou a mapear vulnerabilidades. Na ocasião, o ataque se deu à provedora de tecnologia C&M Software, uma empresa que liga bancos pequenos aos sistemas do Banco Central.
Em 2024, apenas 15% dos incidentes cibernéticos que atingiram bancos e fintechs foram fraudes, 9 de 59. O restante foi classificado como falhas de TI ou vazamento de informações não sensíveis, como dados cadastrais, tipo de ataque aos sistemas das instituições que visava coletar elementos para depois aplicar golpes nos clientes.
No ano passado, não só os incidentes aumentaram quase 30%, para 76, mas principalmente as fraudes subiram de forma relevante, representando mais da metade do total (39).
Mesmo após o BC endurecer regras sobre segurança cibernética em 2025, o número de casos continuou a aumentar. De 43 incidentes até o fim de maio, 34 foram fraudes (79%). O regulador, no entanto, ainda vai colocar em prática um conjunto de sanções para aquelas instituições que não estão cumprindo os requisitos mínimos exigidos.
Para isso, no entanto, está montando um mapa de TI de todo o sistema financeiro. Em maio, foi enviado um amplo questionário para o universo das instituições autorizadas (1.745) sobre a aplicação dos controles exigidos pelas normas, incluindo o manual de segurança do Pix, e de eventuais controles adicionais, que podem ser desejáveis a depender do nível de risco de cada banco ou fintech.
Caso o BC encontre inconsistências entre as respostas e o monitoramento cotidiano que faz, pode exigir documentos ou outras ações de supervisão para ter maior confiança sobre as informações. Com o pente-fino, a autoridade monetária vai poder aplicar punições a quem não cumprir os requisitos mínimos exigidos.
Pelas regras, os bancos ou fintechs podem ficar sujeitos a limites de horário ou valores no Pix ou serem suspensos temporariamente do meio de pagamento. É possível, por exemplo, que as transações só sejam aceitas até o valor de R$ 15 mil, medida já adotada no ano passado para uma parte de bancos e fintechs, ou que determinada instituição fique impedida de fazer operações à noite. Poderá também ficar impedida de angariar novos clientes e ter de pagar multas, além de estar sujeita a processos sancionadores.
O entendimento é que um banco ou fintech com controles fracos representa um risco para o sistema financeiro. Apesar de este ser um dos setores que mais investem em segurança, com a migração do crime financeiro do ambiente físico para o digital, a avaliação é que o investimento ainda precisa aumentar proporcionalmente ao risco do segmento.
Uma pesquisa de tecnologia bancária feita pela Federação Brasileira de Bancos (Febraban) mostra que investimentos em tecnologia têm subido ano a ano, com foco principalmente na cibersegurança. Em 2025, o orçamento foi de R$ 46,8 bilhões e, neste ano, a previsão é aumentar para R$ 50,4 bilhões. A associação bancária defende que é necessário também aumentar as punições contra fraudes, inclusive do ponto de vista penal.
Com base no mapa, o BC também vai ter mais elementos para discutir se são necessárias novas regras. O regulador espera, no entanto, que, com a nova política, o impacto dos ataques diminua. Por outro lado, o aumento dos incidentes verificado neste ano é atribuído a um “radar mais apurado” do órgão, que passou a cobrar das instituições que reportem todos os episódios, mesmo os pequenos.
O BC passou, inclusive, a alertar as próprias instituições sobre comportamentos atípicos, por meio do monitoramento do Pix, indicando que podem ser possíveis fraudes. Uma vez identificado que houve realmente um ataque, o episódio é tratado como uma “queda de avião”.
O banco ou fintech precisa contratar uma empresa forense para investigar o crime digital e entender quais foram as causas do problema. O relatório da investigação tem de ser apresentado ao regulador, junto com um plano de contenção. O objetivo é evitar que o caso se repita e subsidiar eventuais novas decisões regulatórias, assim como aplicar as sanções cabíveis aos responsáveis.
Para Aylton Gonçalves, advogado e professor de regulação financeira, a atividade sancionadora do BC era justamente o que faltava em relação ao tema da segurança cibernética. Em sua avaliação, não há necessidade de mudança normativa neste momento, mas sim uma postura mais severa na fiscalização e na sanção, a depender do comportamento das instituições.
“Não entendo que haja lacuna normativa, uma falta de norma, mas entendo que seja um trabalho de sanção do BC, que tende naturalmente a aumentar nos próximos tempos e que tende a ter um caráter dissuasório diante da falta de cuidados de segurança cibernética.” As informações são do jornal O Globo.
Verificação de Email - você receberá um email de confirmação após enviar o seu primeiro comentário, mas ele só será publicado depois que você clicar no link de verificação enviado para a sua conta de e-mail para confirma-lo. Os próximos comentários serão publicados automaticamente por 30 dias!