O Banco Central do Brasil anunciou um conjunto de medidas mais rígidas de supervisão e segurança cibernética após registrar, até outubro de 2025, o maior número de incidentes de segurança no sistema financeiro desde o início do monitoramento em 2018. Foram contabilizados 68 incidentes, incluindo 37 fraudes confirmadas, número que já supera todas as ocorrências registradas em 2024.

Diante desse cenário, o Banco Central revelou que novas regras estão em fase final de elaboração — normas que afetarão bancos, fintechs, instituições de pagamento, plataformas de open finance, empresas de tecnologia e qualquer operação que dependa de APIs e integrações com o sistema financeiro.

Por que o Banco Central decidiu agir agora?

O motivo principal é o salto expressivo nos ataques cibernéticos. Os 68 incidentes reportados até outubro de 2025 ocorreram em instituições de diferentes portes, evidenciando fragilidades em:

• serviços de terceiros,

• conexões diretas a redes financeiras,

• plataformas intermediadoras,

• APIs abertas,

• integrações com sistemas externos,

• fornecedores de infraestrutura digital.

O Banco Central identificou que parte significativa dos ataques se originou em parceiros externos, o que acende alerta para falhas de governança tecnológica e ausência de controles adequados de segurança.

Além disso, a pressão internacional para reforço de segurança nos sistemas bancários digitais e a expansão das fintechs aceleraram a necessidade de atualização regulatória.

O que muda com as novas regras?

O BCB prepara um conjunto de normativas voltadas para segurança operacional, integridade de dados e controle de acesso, com foco em:

1. Supervisão reforçada de APIs e integrações terceirizadas

Instituições financeiras e fintechs deverão:

• mapear todas as API utilizadas e seus acessos;

• auditar fornecedores externos com critérios de segurança mais rígidos;

• reforçar monitoramento de tráfego e autenticação;

• revisar contratos, SLAs e políticas de continuidade;

• adotar sistemas criptográficos e padrões de certificação mais elevados.

As integrações serão tratadas com o mesmo rigor das conexões diretas com o sistema financeiro.

2. Normas específicas para conexões diretas à rede financeira

Empresas que usam infraestrutura que conecta diretamente a redes bancárias (como plataformas de pagamento e instituições digitais) terão:

• novas obrigações de autorização;

• controles mínimos de segurança;

• requisitos de segregação de ambientes;

• auditoria periódica para evitar brechas de acesso.

3. Regras mais duras para prevenção de fraudes

O BCB deve exigir:

• monitoramento contínuo em tempo real,

• sistemas antifraude mais avançados,

• trilhas de auditoria mais detalhadas,

• protocolos robustos de resposta a incidentes,

• comunicação imediata ao regulador.

Como isso afeta fintechs, bancos digitais e empresas de tecnologia?

Essas empresas são as mais impactadas porque grande parte de seus serviços depende de:

• APIs abertas,

• integrações com parceiros,

• uso de terceiros para validação, pagamentos ou custódia,

• ambientes em nuvem,

• soluções de open finance.

A partir das novas regras, as instituições terão de:

• reavaliar todo o ecossistema de fornecedores;

• implementar governança de terceiros (KYT – Know Your Third-Party);

• reforçar testes de penetração e vulnerabilidade;

• revisar contratos de tecnologia, responsabilidades e seguros;

• adaptar fluxos de autorização, autenticação e criptografia.

Os custos de compliance e infraestrutura podem aumentar, mas o retorno se dá pela redução de riscos, proteção de dados e continuidade operacional.

Estratégias de adequação imediata para empresas

Para não serem surpreendidas quando as normas forem publicadas, as empresas já devem iniciar um plano de adequação:

1. Auditoria completa de segurança

Mapear:

• APIs,

• acessos externos,

• integrações ativas,

• fornecedores críticos,

• fluxos de dados.

2. Revisão de contratos com fornecedores

Incluir:

• cláusulas de responsabilidade por incidentes,

• requisitos mínimos de segurança,

• obrigações de auditoria,

• SLA específico para resposta a ataques,

• padrões de certificação.

3. Implementação de governança de terceiros

Empresas deverão monitorar continuamente:

• credenciais,

• permissões,

• comportamento anômalo,

• volume e tipo de requisições.

4. Fortalecimento do plano de resposta a incidentes

O BCB exigirá:

• notificação imediata,

• identificação de causa,

• medidas de contenção,

• plano de recuperação,

• documentação completa do incidente.

5. Treinamento de equipes e atualização de políticas

Departamentos de:

• TI,

• jurídico,

• compliance,

• segurança da informação,

• atendimento,

precisam entender as novas exigências para agir rapidamente.

Quais são os riscos de não se adaptar?

Empresas que ignorarem o movimento regulatório estarão expostas a:

• prejuízos financeiros em caso de ataque,

• vazamento de dados sensíveis,

• investigações administrativas,

• multas,

• suspensão de operações,

• perda de parcerias e reputação,

• quebra de contratos com instituições financeiras.

No novo cenário, segurança cibernética não é opcional — é requisito para sobreviver no sistema financeiro.

Conclusão

O aumento recorde de ataques cibernéticos obrigou o Banco Central a endurecer regras para garantir a integridade do sistema financeiro digital. Isso marca o início de uma nova fase de supervisão, onde tecnologia, segurança e compliance caminham juntos.

Empresas que se adaptarem rápido não apenas atendem à lei, mas conquistam vantagem competitiva: tornam-se mais confiáveis, sólidas e preparadas para crescer em um ambiente cada vez mais sofisticado e digital.

Sua empresa usa APIs, integra serviços financeiros, opera com pagamentos, open finance ou presta suporte tecnológico?
Agora é o momento ideal para revisar contratos, reforçar compliance e implementar segurança de alto padrão antes da chegada das novas normas.