Por Ruan Andriani
Primeiro artigo de uma nova série semanal, dedicada a analisar os riscos cibernéticos específicos de cada setor da economia.
Começar essa série pelo setor financeiro não é acaso. Poucos segmentos concentram tanto valor transacionado, tanta pressa regulatória para inovar (Pix, Open Finance, pagamentos instantâneos) e tanto apetite do crime organizado ao mesmo tempo. Depois de um 2025 marcado pelo maior ataque já registrado contra o ecossistema financeiro brasileiro, o setor entra em 2026 com uma superfície de risco ainda mais ampla e os números dos primeiros meses do ano confirmam que a ameaça não deu trégua.
A escala do problema em 2026
O sistema financeiro brasileiro registrou 12 ataques cibernéticos relacionados ao ecossistema do Pix apenas nos quatro primeiros meses de 2026 uma média de três por mês, segundo dado revelado pela Associação Brasileira de Bancos (ABBC) durante evento setorial em maio. Em março, veículos como O Globo e G1 noticiaram que o BTG Pactual teria sido alvo de um incidente de segurança que resultou em desvio de recursos via Pix, reacendendo a discussão sobre a resiliência cibernética do sistema de pagamentos mais usado do país, hoje presente na rotina de cerca de 170 milhões de pessoas.
O problema não é exclusivamente brasileiro, mas o Brasil aparece em posição de destaque nas projeções globais. Segundo o relatório Scamscope, da ACI Worldwide em parceria com a GlobalData, o país deve registrar o maior crescimento em fraudes de pagamentos em tempo real do mundo, com perdas relacionadas a golpes via Pix projetadas para chegar a R$ 11 bilhões até 2028. Em escala global, a Interpol estimou perdas de US$ 442 bilhões em 2025 associadas a fraudes e crimes cibernéticos correlacionados um volume que torna o setor financeiro um dos alvos mais lucrativos do cibercrime organizado.
Por que a instantaneidade virou vulnerabilidade
O Pix foi desenhado para resolver um problema real pagamentos rápidos, baratos e acessíveis mas a mesma característica que o tornou popular também o tornou atraente para fraudadores. Segundo análise publicada pela FTI Consulting, as fraudes no Pix deixaram de ser eventos isolados e passaram a assumir características de incidentes cibernéticos complexos, combinando engenharia social, exploração de falhas de processo, uso de contas intermediárias (as chamadas “contas laranjas”) e dissipação rápida dos recursos antes que qualquer bloqueio seja possível.
Isso cria um desafio estrutural: em um sistema de pagamento instantâneo, a janela entre a fraude e a possibilidade de reação é medida em segundos, não em dias o que exige uma abordagem de segurança fundamentalmente diferente da usada em transações tradicionais, mais lentas e com múltiplas etapas de validação.
As frentes de ataque específicas do setor em 2026
Diferente de outros setores, onde o objetivo principal costuma ser sequestro de dados ou interrupção operacional, no setor financeiro o alvo é, na maioria das vezes, dinheiro em movimento o que molda um conjunto de táticas bastante específico:
Vulnerabilidades em APIs de terceiros. O Banco Central já alertou publicamente que muitos provedores terceirizados conectados ao sistema financeiro não implementam validações robustas em suas APIs, ampliando a superfície de ataque justamente nos pontos de integração um padrão que já discutimos em outro artigo desta série sobre exposição via aplicações de terceiros conectadas a sistemas principais.
Fraude de identidade sintética. Criminosos combinam dados reais de pessoas com informações fictícias para criar perfis “novos”, dificultando a detecção por processos convencionais de verificação de identidade (KYC) uma tendência que deve se intensificar à medida que fintechs competem por processos de onboarding cada vez mais rápidos, muitas vezes às custas de camadas de verificação mais rigorosas.
Deepfakes de voz e vídeo. Golpes de sequestro virtual e extorsão combinam deepfakes simulando parentes ou executivos com engenharia social em tempo real, enquanto ataques de tomada de conta em massa usam sites e comunicações falsas altamente realistas, geradas com IA, para roubar credenciais e códigos de autenticação de clientes de bancos e carteiras digitais.
Contas laranjas como infraestrutura de lavagem. O uso de contas intermediárias para dissipar rapidamente recursos obtidos por fraude se tornou parte estrutural das operações criminosas a ponto de o Brasil ter promulgado, em abril de 2026, a Lei 15.397/2026, que tipifica pela primeira vez o “aluguel” de contas bancárias para movimentação de recursos ilícitos e endurece as penas associadas a essa prática.
Regulação correndo atrás do problema
O ambiente regulatório do setor financeiro brasileiro tem respondido com uma velocidade incomum, se comparado a outros setores. Além da nova lei sobre contas laranjas, o Banco Central publicou a Resolução BCB nº 559/2026, prevendo exclusão de participantes do sistema, auditoria obrigatória e maior poder de convocação de representantes envolvidos em incidentes. Segundo levantamento da Pesquisa de Riscos Digitais 2025, conduzida pelo MiTi com patrocínio da FTI Consulting, a maturidade em cibersegurança do setor financeiro no Brasil já gira em torno de 77% um nível superior à média de outros segmentos, mas ainda insuficiente diante da criticidade dos ativos envolvidos e da velocidade com que os ataques evoluem.
Por que isso importa além dos bancos
Um erro comum é achar que esse tema interessa só a bancos e grandes fintechs. Na prática, qualquer empresa que processe pagamentos, integre APIs de Open Finance, opere uma carteira digital própria ou simplesmente movimente volumes financeiros relevantes por Pix está exposta a variações dos mesmos riscos especialmente fraude de identidade em onboarding de clientes e exposição via integrações mal validadas com terceiros.
O padrão que conecta esses ataques ao restante desta série continua o mesmo: identidade comprometida, seja de pessoa ou de sistema, como porta de entrada; terceiros e integrações como superfície de risco crescente; e velocidade de detecção, de resposta, de dissipação de recursos como fator decisivo entre um incidente contido e um prejuízo consumado.
O que vem a seguir
Essa é a primeira de uma série semanal dedicada a olhar para riscos cibernéticos específicos de cada setor. Na próxima semana, seguimos para outro segmento com dinâmica de risco bem particular. Se você tem um setor específico que gostaria de ver analisado saúde, varejo, indústria, agronegócio é só avisar.
Como a WTSNet pode ajudar
Na WTSNet, entendemos que o setor financeiro exige uma postura de segurança muito mais rigorosa do que simplesmente proteger sistemas internos. Quando o risco envolve Pix, Open Finance, integrações com terceiros, APIs expostas, identidade comprometida e fraude em alta velocidade, a estratégia precisa ir além da prevenção tradicional.
Por isso, ajudamos instituições e empresas que operam com pagamentos digitais a fortalecer sua postura de cibersegurança com uma abordagem que combina proteção de identidade, detecção contínua, resposta rápida e recuperação confiável. Nossa atuação integra soluções como Microsoft Security, Sophos, Acronis, monitoramento de exposição, proteção de endpoints, backup resiliente e serviços gerenciados, sempre com foco em reduzir riscos sem aumentar a complexidade operacional.
Mais do que implementar ferramentas, nosso papel é ajudar organizações a construir uma arquitetura de segurança alinhada à realidade do negócio, às exigências regulatórias e à velocidade com que as ameaças evoluem no setor financeiro.
Sua operação financeira está preparada para a velocidade do ataque?
No setor financeiro, a janela entre fraude e reação pode ser medida em segundos. Isso significa que a segurança não pode depender apenas de controles isolados, mas de uma estratégia integrada, monitorada e pronta para agir antes que o prejuízo aconteça.
Se sua empresa processa pagamentos, opera com Pix, integra APIs de terceiros ou movimenta volumes financeiros relevantes, talvez seja o momento de revisar como sua estrutura está preparada para esse cenário.
Converse com os especialistas da WTSNet e descubra como fortalecer sua estratégia de cibersegurança para o setor financeiro com mais controle, resiliência e previsibilidade.
Fontes: Associação Brasileira de Bancos (ABBC); Finsiders Brasil; FTI Consulting / Capital Aberto (Pesquisa de Riscos Digitais 2025); Security Leaders; Interpol (Global Crime Trend Report 2025); ACI Worldwide e GlobalData (Relatório Scamscope); Kronoos.
