O Banco Central (BC) anunciou nesta sexta-feira (5) um pacote de ações para elevar a segurança do Pix e demais operações do Sistema Financeiro Nacional (SFN), após uma série de ataques que desviou recursos de diversas instituições.
Durante coletiva em Brasília, o presidente do BC, Gabriel Galípolo, afirmou que as medidas são “um primeiro passo” diante da “excepcionalidade” dos incidentes. Também participaram do anúncio os diretores Izabela Correa (Relacionamento, Cidadania e Supervisão de Conduta) e Gilneu Vivan (Regulação).
Principais medidas
Limite de R$ 15 mil para Pix e TED
Válido apenas para instituições de pagamento (IPs) ainda não autorizadas pelo BC e para empresas que acessam a rede do SFN por meio de prestadores de serviços de tecnologia da informação (PSTIs). O teto pode ser suspenso após comprovação de novos controles de segurança; os participantes têm 90 dias para apresentar a certificação.
Autorização obrigatória antecipada
A partir de agora, nenhuma IP poderá iniciar operações sem autorização prévia do BC. O prazo final para que instituições em atividade solicitem autorização foi antecipado de dezembro de 2029 para maio de 2026.
Responsabilidade de grandes bancos
Instituições dos segmentos S1, S2, S3 e S4 (exceto cooperativas) poderão responder pelo Pix de IPs não autorizadas. Contratos atuais deverão ser atualizados em até 180 dias.
Avaliação por empresa independente
O BC poderá exigir laudos técnicos emitidos por firmas especializadas para validar requisitos de segurança. Se o pedido de autorização for negado, a IP terá 30 dias para encerrar atividades.
Imagem: Fabio Rodrigues-Pozzebom
Capital mínimo para PSTIs
Prestadores de tecnologia precisarão de capital mínimo de R$ 15 milhões para atuar. Quem já opera terá quatro meses para adequação; até lá, continua sujeito ao limite de R$ 15 mil por transação. O descumprimento pode levar a medidas cautelares ou descredenciamento.
Contexto dos ataques
Desde julho, quatro invasões exploraram vulnerabilidades no sistema de mensageria do Pix:
- 2 de julho – C&M: desvio estimado em mais de R$ 1 bilhão;
- 29 de agosto – Sinqia: perda de R$ 710 milhões;
- 2 de setembro – Monetarie: desvio de R$ 4,9 milhões;
- 4 de setembro – fintech não divulgada: sem evidência de roubo de valores ou dados.
Segundo Galípolo, novas ações estão em estudo para reduzir riscos, ainda que “zerar a possibilidade de ataques” seja impossível.
Com informações de Gazeta do Povo
