O Banco Central (BC) anunciou, nesta sexta-feira (5), um conjunto de ações para aumentar a segurança do Sistema Financeiro Nacional depois de quatro ataques sucessivos que exploraram vulnerabilidades no Pix. As medidas, que serão publicadas às 18h, foram detalhadas pelo presidente da autoridade monetária, Gabriel Galípolo, ao lado dos diretores Izabela Correa (Relacionamento, Cidadania e Supervisão de Conduta) e Gilneu Vivan (Regulação).
Limite operacional
A partir de agora, transações via Pix e TED realizadas por instituições de pagamento ainda não autorizadas e por aquelas que acessam a rede do sistema financeiro por meio de prestadores de serviços de tecnologia da informação (PSTI) ficam restritas a R$ 15 mil. Esse teto poderá ser retirado em até 90 dias se o participante comprovar a adoção dos novos controles de segurança exigidos pelo BC.
Autorização prévia antecipada
O BC também antecipou para maio de 2026 o prazo final para que instituições de pagamento sem licença obtenham autorização de funcionamento — anteriormente fixado em dezembro de 2029. A partir de hoje, nenhuma nova instituição poderá iniciar operações sem prévia aprovação do regulador.
Ataques identificados
Desde julho, quatro incidentes foram registrados:
• 2 de julho: invasão ao sistema de mensageria do Pix da C&M, com desvio estimado em mais de R$ 1 bilhão;
• 29 de agosto: ataque ao sistema de mensageria do Pix da Sinqia, com prejuízo de R$ 710 milhões;
• 2 de setembro: violação nos sistemas de Pix e TED da Monetarie, com perda de R$ 4,9 milhões;
• 4 de setembro: tentativa contra o sistema de mensageria do Pix de uma fintech não identificada, sem indícios de desvio ou roubo de dados.
Imagem: Fabio Rodrigues-Pozzebom
Novos requisitos
• Responsabilidade no Pix: instituições dos segmentos S1, S2, S3 e S4 — exceto cooperativas — poderão responder por operações de instituições de pagamento sem licença. Contratos vigentes devem ser atualizados em 180 dias.
• Avaliação independente: o BC poderá exigir laudos técnicos de empresas qualificadas para confirmar o cumprimento das exigências regulatórias. Caso o pedido de autorização seja negado, a instituição deverá encerrar atividades em até 30 dias.
• Capital mínimo para PSTIs: prestadores de serviços de tecnologia da informação precisam comprovar capital mínimo de R$ 15 milhões. Empresas já atuantes têm quatro meses para se adequar; enquanto isso, ficam sujeitas ao limite de R$ 15 mil por transação.
Galípolo frisou que as ações representam “um primeiro passo” diante da gravidade dos ataques e afirmou que novas providências estão em estudo para reduzir ainda mais as brechas exploradas por criminosos.
Com informações de Gazeta do Povo
