Banco Central propõe restrições para instituições financeiras frágeis após ataques hackers

O Banco Central (BC) estuda a imposição de restrições de acesso ao sistema Pix para instituições financeiras consideradas vulneráveis em termos de cibersegurança. A iniciativa surge como resposta a ataques hackers ocorridos em 2025, que resultaram em perdas financeiras significativas e afetaram empresas que interligam bancos e outras entidades ao Pix.

Entre as medidas em discussão para fintechs que não atenderem aos requisitos de segurança estão a limitação de horário, dia e valor para transações via Pix, a proibição do registro de novas chaves Pix e a aplicação mais célere de ações preventivas. O objetivo é incentivar as instituições a investirem mais em segurança cibernética, tornando a proteção um fator crucial para a operação.

Na visão do especialista em cibersegurança Sebastián Stranieri, CEO da VU, as novas regras criam um forte incentivo econômico e operacional. "Quando uma fragilidade passa a afetar diretamente a capacidade de operar Pix, o tema deixa de ser apenas técnico e passa a ser prioridade de negócio", avalia.

Atualmente, o Banco Central não pode impor restrições imediatas a instituições que descumprem regras de segurança cibernética sem antes instaurar um processo formal, o que pode ser demorado e questionado judicialmente. Durante esse período, a instituição vulnerável continua operando. O BC pretende alterar essa dinâmica, permitindo que a área de supervisão adote medidas preventivas ao identificar riscos à segurança do sistema financeiro, visando reduzir a possibilidade de novos ataques antes que causem danos.

Para identificar as entidades com segurança cibernética mais fragilizada, a autoridade monetária enviou um questionário extenso, com cerca de 400 perguntas, às instituições financeiras. O levantamento abrange a análise de riscos, controles de tecnologia da informação, proteção de dados pessoais e o uso de Inteligência Artificial. A estratégia visa identificar brechas em empresas que servem como intermediárias entre o Pix e as instituições menores, que possuem menor capacidade de gestão de riscos.

Os ataques recentes exploraram falhas de segurança em empresas que fazem a ponte entre o sistema Pix do BC e outras instituições, especialmente as de menor porte. Esses incidentes levaram ao desvio de centenas de milhões de reais. Em julho de 2025, um ataque contra a C&M Software resultou no desvio de R$ 813 milhões. Cerca de dois meses depois, a Sinqia foi alvo, com hackers desviando aproximadamente R$ 700 milhões. Em março de 2026, o BTG teve R$ 100 milhões desviados após um ataque hacker.

Especialistas apontam que a fragilidade reside não no Pix em si, mas na cadeia de acesso ao sistema financeiro, com a terceirização de infraestrutura crítica sem controle adequado e a supervisão proporcional ao risco. Falhas em controles de acesso e a custódia de certificados digitais por empresas de tecnologia, em vez das próprias instituições financeiras, foram apontadas como vulnerabilidades críticas.