Após uma série de ataques hacker, o Banco Central (BC) anunciou nesta sexta-feira (5) um conjunto de medidas para aumentar a proteção do sistema financeiro nacional. As decisões foram aprovadas pela diretoria da autarquia e passam a valer de forma imediata em alguns casos.
O presidente do Banco Central, Gabriel Galípolo, explicou em coletiva que os ataques recentes foram organizados por grupos criminosos e que tanto os grandes bancos quanto as fintechs foram vítimas da ação. Ele destacou que o crime não está nas instituições, mas nos grupos que exploram suas estruturas.
“Antigamente, quando tinha assalto a um carro forte, ou a um banco, ficava mais evidente porque você via fisicamente. Agora como a coisa ficou virtual, mais opaco, se confunde um pouquinho e leva a esse receio. O tema da segurança não há margem para ter qualquer tipo de tolerância”, acrescentou o presidente do Banco Central.
Principais medidas anunciadas pelo BC
Limites de transferências
Para instituições de pagamento não autorizadas e conectadas ao sistema financeiro via Prestadores de Serviços de Tecnologia da Informação (PSTI), o limite de transferência via TED e Pix será de R$ 15 mil.
O valor poderá ser ampliado apenas quando comprovada a adoção de novos controles de segurança.
Autorização obrigatória
Nenhuma instituição de pagamento poderá operar sem aprovação prévia do Banco Central. O prazo para que empresas já em atividade solicitem autorização foi antecipado: de dezembro de 2029 para maio de 2026.
Regras mais rígidas para o Pix
Apenas instituições classificadas nos segmentos S1, S2, S3 ou S4 (exceto cooperativas) poderão ser responsáveis pelo Pix em nome de instituições de pagamento não autorizadas. Contratos existentes terão até 180 dias para se adequar.
Certificação técnica
O BC poderá exigir avaliações independentes para garantir que instituições atendam aos requisitos mínimos de operação. Empresas que tiverem pedidos de autorização negados deverão encerrar atividades em até 30 dias.
Novas exigências para prestadores de serviços de tecnologia
Os PSTIs precisarão comprovar capital mínimo de R$ 15 milhões. Também terão que adotar controles mais robustos de governança e gestão de riscos. O prazo para adequação é de quatro meses.
Casos recentes de ataques hackers
- Monbank: em setembro, sofreu desvio de R$ 4,9 milhões; a fintech afirma já ter recuperado R$ 4,7 milhões.
- Sinqia: também em setembro, informou perdas de cerca de R$ 710 milhões em transações não autorizadas.
- C&M Software: em julho, comunicou ao BC um ataque à sua infraestrutura tecnológica.
