Novas regras reforçam segurança de fintechs após ataque hacker

O Banco Central reforçou as regras para fintechs de menor porte, depois que ataques cibernéticos e uma operação contra o crime organizado expuseram falhas de segurança.

O regulador impôs um limite de R$ 15.000 para transferências bancárias, inclusive por meio do Pix, para instituições que ainda não receberam autorização do Banco Central.

Os reguladores também anteciparam o prazo para as firmas obterem essa autorização, de dezembro de 2029 para maio de 2026.

Fintechs maiores, como Nubank e Mercado Pago, não são afetadas, porque controlam subsidiárias que já são autorizadas pelo Banco Central.

As novas medidas são necessárias porque grupos do crime organizado têm atacado firmas de pagamento e bancos, informou a direção do BC em um comunicado nesta sexta-feira (5). O presidente da autoridade monetária, Gabriel Galípolo, disse em uma coletiva de imprensa que as fintechs e o setor monetário brasileiro são vítimas, e que mais medidas estão em andamento para resolver o problema.

Um ataque cibernético à Sinqia, uma firma brasileira controlada pela Evertec, movimentou cerca de R$ 710 milhões pelo Pix, afetando bancos e a filial brasileira do HSBC. Outro ataque no início de julho contra a C&M Software desviou cerca de R$ 400 milhões, segundo o jornal Valor Econômico.

Esses ataques ocorreram por meio de provedores de tecnologia que bancos e fintechs usam para ter acesso aos sistemas do Banco Central, como o Pix.

Na semana passada, as autoridades brasileiras lançaram operações de repressão ao crime organizado que tiveram como alvo algumas fintechs menores, como a BK Instituição de Pagamento. Investigadores afirmaram que essas entidades eram usadas para ajudar o grupo criminoso Primeiro Comando da Capital (PCC) a movimentar dinheiro originado de atividades criminosas. As fintechs negaram qualquer irregularidade.

“De fato existe uma camada de mercado que ainda não foi regulada”, disse Marcelo Schucman, presidente da Associação de Bancos como Serviço, em entrevista. “Antes, víamos muitas fraudes contra o usuário final. Uma vez que os fraudadores foram capazes de entrar a fundo no sistema, isso elevou os riscos.”