Ciberataques ao sistema financeiro atingem recorde e BC sinaliza novas regras

O sistema financeiro brasileiro registrou 57 incidentes cibernéticos relevantes no primeiro semestre deste ano, número 42,5% superior aos 40 do mesmo período de 2025 — o maior patamar para um semestre desde o início da obrigatoriedade de comunicação ao Banco Central (BC), em 2018. Até a segunda semana de agosto, o total chegou a 68, aproximando-se dos 76 incidentes de todo o ano passado. Dos 68 casos, 49 foram fraudes, caracterizadas por tentativa de subtração de recursos.

Os dados, obtidos via Lei de Acesso à Informação, refletem tanto o aumento da criminalidade quanto o monitoramento mais próximo do regulador. O BC utiliza ferramentas de inteligência artificial para identificar fluxos atípicos e, desde o fim do ano passado, implementou regra de gerenciamento das Contas de Pagamentos Instantâneos (Contas PI) no Pix, com envio automático de comunicados em situações suspeitas. As instituições reguladas são obrigadas a reportar incidentes relevantes conforme a Resolução CMN 4.893/21 e a Resolução BCB 85/21.

Medidas em curso e no radar

Em agosto, o BC editou a Resolução BCB 584/26, que determina a retenção cautelar de ativos virtuais por 24 horas em operações destinadas a carteiras autocustodiadas ou entidades do exterior, quando o valor superar US$ 10 mil. A medida responde ao uso crescente de criptoativos como “principal instrumento de escoamento dos recursos” em fraudes, conforme destacou o Comitê de Estabilidade Financeira (Comef) em ata de reunião de 28 de agosto.

Para 2027, o BC prepara normas sobre uso de APIs e serviços de terceiros por instituições reguladas. A regulação de Banking as a Service (BaaS) também está em discussão, com possibilidade de tornar as regras mais prescritivas. O mercado ainda se adapta às exigências da Resolução CMN 5.274/25 e da Resolução BCB 538/25, que tratam de segurança cibernética.

Prazo para PSAVs

Os Prestadores de Serviços de Ativos Virtuais (PSAVs) têm até 30 de outubro para enviar ao BC os pedidos de autorização de funcionamento, conforme a Instrução Normativa 739/26. Entre as exigências está a entrega de relatório de asseguração razoável sobre mecanismos de prevenção a fraudes e lavagem de dinheiro.

Especialistas ouvidos pelo JOTA apontam a sofisticação crescente dos ataques, com uso de inteligência artificial. Ricardo Ulisses, da Tempest, defende proteção multidimensional: “É necessário ter conscientização dos funcionários, testes de segurança, inteligência de como esses ataques estão funcionando para tentar se antecipar”. Rafaela Helbing, da Data Rudder, avalia que o mercado está mais preparado que no ano passado, mas o setor financeiro segue “sob ataque” e exige colaboração entre instituições, telecomunicações e big techs.