A digitalização acelerada dos serviços financeiros e a crescente interconectividade entre os participantes do ecossistema econômico trouxeram ganhos expressivos de eficiência, inclusão e agilidade. No entanto, esse mesmo ambiente hiperconectado expandiu a superfície de exposição a riscos tecnológicos, transformando os incidentes cibernéticos e as fraudes virtuais em uma das principais ameaças à segurança operacional das instituições e à estabilidade do Sistema Financeiro Nacional (SFN).

Compreender a dinâmica atual das fraudes cibernéticas exige examinar não apenas a frequência com que ocorrem, mas também o grau de sofisticação das táticas criminosas, os canais de vulnerabilidade explorados — como a terceirização de serviços e o uso de interfaces de programação de aplicações (APIs) — e as consequências diretas e indiretas para a estabilidade macrofinanceira.

O Panorama dos Incidentes e a Predominância das Fraudes

Os registros oficiais demonstram uma trajetória ascendente nos alertas e relatórios de incidentes cibernéticos encaminhados ao Banco Central. Até setembro de 2026, foram contabilizados 99 incidentes, superando os 76 registros de todo o ano de 2025 e os 59 de 2024. Esse crescimento, contudo, não deve ser interpretado de forma isolada: ele é fruto tanto da expansão da digitalização quanto do aprimoramento contínuo dos mecanismos de detecção, monitoramento e reporte pelas instituições supervisionadas e pela própria autoridade monetária.

O dado mais alarmante reside na natureza desses eventos: as fraudes passaram a representar a parcela predominante dos incidentes reportados, atingindo 68 ocorrências (69% do total) em 2026. Esse volume traduz um salto expressivo em relação aos períodos anteriores, evidenciando que os grupos criminosos têm direcionado esforços sistemáticos para a apropriação indevida de recursos por meios digitais.

A análise dos incidentes recentes revela que as organizações criminosas possuem um conhecimento técnico aprofundado sobre a arquitetura operacional do SFN, incluindo os fluxos de mensageria do Sistema de Pagamentos Brasileiro (SPB), a gestão de contas de liquidação e os processos internos das instituições. O diretor de Fiscalização do BACEN, Ailton Aquino, já havia destacado que os criminosos cooptam colaboradores e recorrem à engenharia social.

Dois episódios de 2025 ajudam a dimensionar o problema. Em julho, o ataque à C&M Software, prestadora que conecta instituições menores ao Pix e ao Sistema de Pagamentos Brasileiro (SPB), resultou no desvio estimado de cerca de R$ 800 milhões de contas de oito instituições. A empresa informou que o ataque envolveu o uso fraudulento de credenciais de clientes, e a Polícia Civil de São Paulo prendeu um ex-funcionário suspeito de colaborar com os criminosos. Em agosto, uma fraude na Sinqia movimentou cerca de R$ 710 milhões em transações não autorizadas via Pix, atingindo principalmente o HSBC e a fintech Artta. Os dois casos têm em comum o ponto de entrada: não foi o grande banco, mas o elo tecnológico da cadeia.

Entre os principais vetores de vulnerabilidade explorados, destacam-se:

Prestadores de serviços terceirizados. O ecossistema financeiro depende fortemente de fornecedores de tecnologia. Falhas em ambientes de terceiros, como a obtenção indevida de chaves privadas e certificados digitais válidos que não haviam sido desativados após mudanças nas conexões, permitiram a emissão de ordens de pagamento fraudulentas com aparência de total legitimidade.

Comprometimento de credenciais e contas privilegiadas. Engenharia social, phishing e comprometimento de dispositivos permitiram a obtenção de credenciais válidas de colaboradores, desenvolvedores e contas técnicas. Como pertenciam a acessos legítimos, a detecção tempestiva pelas equipes de segurança tornou-se bem mais complexa.

Exploração de APIs. A integração por APIs tem sido usada para automatizar transações fraudulentas em massa. Exposições indevidas, falhas de autenticação e ausência de validação rigorosa de dados permitiram contornar fluxos de aprovação convencionais e executar desvios em intervalos curtíssimos.

Fragilidades em ecossistemas conectados. Incidentes também atingiram infraestruturas de registro e liquidação de recebíveis de arranjos de pagamento, revelando lacunas no controle de ingresso de participantes e na validação de contratos e informações de liquidação.

Os incidentes monitorados até agora geraram perdas relevantes em casos específicos, mas não comprometeram o funcionamento do SFN nem sua solvência de forma generalizada. Ainda assim, as consequências econômicas e operacionais são motivo de atenção:

Velocidade de dispersão e recuperação de recursos: a automação permite que os recursos desviados sejam pulverizados em segundos entre múltiplas contas e instituições, o que dificulta o bloqueio preventivo e a recuperação tempestiva.
Apesar da inovação do Mecanismo Especial de Devolução (MED 2.0), a experiência na prática indica que o instrumento ainda não se mostrou apto a facilitar a recuperação dos valores. Ao pesquisar um produto farmacêutico, cheguei a um site clonado de uma grande rede de drogarias e só percebi a fraude no momento de pagar por Pix. Como o valor era pequeno (R$ 36,00), efetuei o pagamento para testar o MED 2.0, muito divulgado pelo Banco Central. Três minutos depois, contestei a operação como fraudulenta, o que de fato era. A instituição recebedora rejeitou a contestação e os recursos não retornaram. É um caso isolado, mas ilustra a distância entre o desenho do mecanismo e o seu funcionamento na prática.

Efeito contágio e risco sistêmico: a interconectividade e a dependência de prestadores de serviços tecnológicos comuns criam canais de propagação de choques. Uma falha grave em um fornecedor central pode paralisar simultaneamente múltiplos participantes, gerando pressões de liquidez, perda de confiança e disfunções operacionais.

Impacto reputacional e custo de compliance: a materialização de fraudes de grande proporção eleva os custos operacionais com reforço de segurança, provisionamentos e demandas regulatórias, além de corroer a confiança dos usuários finais nos meios eletrônicos de pagamento.

O tema também está na agenda internacional. Em maio de 2026, o Fundo Monetário Internacional alertou que perdas extremas por incidentes cibernéticos, inclusive ataques potencializados por inteligência artificial, podem desencadear tensões de financiamento, aumentar preocupações de solvência e perturbar mercados mais amplos, e defendeu maior coordenação internacional e compartilhamento de informações.

O SFN vem investindo de forma consistente para mitigar os riscos e as causas das fraudes virtuais, e a resposta regulatória já é visível. Em setembro de 2025, o Banco Central impôs limite de R$ 15 mil por transação em Pix e TED para instituições de pagamento não autorizadas e para as que acessam o sistema por meio de prestadores de serviços de tecnologia da informação (PSTIs). A restrição foi apresentada como excepcional e transitória, podendo ser suspensa quando comprovada a adoção de novos processos de segurança. Esses prestadores passaram a ter de cumprir capital mínimo de R$ 15 milhões e regras mais rígidas de governança, gestão de riscos e supervisão, sob pena de medidas cautelares ou descredenciamento. Normas posteriores, como as Resoluções BCB 498/2025 e 547/2026, endureceram as exigências para esse segmento, e as Resoluções CMN 5.274 e BCB 538 atualizaram o marco de segurança cibernética.

O Relatório de Estabilidade Financeira (REF) do BACEN aponta para a necessidade imperativa de adotar uma postura de defesa em profundidade, combinando controles preventivos robustos com mecanismos dinâmicos de detecção e resposta.

É fundamental intensificar a gestão de terceiros com avaliação prévia, monitoramento contínuo, classificação de criticidade e procedimentos seguros de encerramento de contratos com fornecedores de tecnologia, mitigando riscos de vazamento de dados e credenciais. Na prática, quatro frentes se destacam:

1- Gestão de terceiros. É fundamental intensificar a avaliação prévia de fornecedores, com monitoramento contínuo, classificação de criticidade e procedimentos seguros de encerramento de contratos, incluindo a revogação de chaves e certificados, para mitigar o risco de vazamento de dados e credenciais.

2- Controles de identidade. O endurecimento exige a adoção ampla de autenticação multifator (MFA) não apenas nas redes corporativas, mas em todas as soluções de TI críticas, contas privilegiadas e serviços expostos externamente, além de revisões periódicas e tempestivas de permissões.

3- Governança e segurança de APIs. São essenciais limites operacionais, validações estritas de dados, barreiras contra injeção de códigos maliciosos e auditorias frequentes das interfaces de integração, para bloquear tráfego anômalo.

4- Monitoramento transacional avançado. Trata-se de uma evolução do monitoramento tradicional, que exige integração imediata das ocorrências de fraude à gestão de incidentes, apoio de inteligência artificial para análise comportamental em tempo real e conciliação automatizada de operações.