No REF 2025, BC registra 53 casos entre janeiro e agosto, aponta fragilidades em APIs e na gestão de terceiros, e defende ‘higiene’ digital para conter ataques cibernéticos no sistema financeiro
O Banco Central soou um alerta no Relatório de Estabilidade Financeira referente ao primeiro semestre de 2025. Segundo o órgão, ataques cibernéticos no sistema financeiro recente e repetidamente expõem que grupos criminosos têm conhecimento avançado sobre a operação, a organização e os processos do Sistema Financeiro Nacional, inclusive detalhes da arquitetura de TI de instituições alvo. O diagnóstico joga luz sobre um risco sistêmico, que mistura automação de fraudes, exploração de APIs e cooptação de colaboradores internos.
Entre janeiro e agosto de 2025, o BC registrou 53 casos de risco cibernético, ante 59 em todo o ano de 2024. Em parte dos episódios houve perdas financeiras, com falhas em controles essenciais tanto nas instituições quanto em seus provedores de serviços. O relatório relata ainda que quadrilhas têm cooptado funcionários e prestadores terceirizados, o que amplia a superfície de ataque e acelera a execução de golpes no SFN.
Cresce a sofisticação dos ataques e a cooptação interna
O BC observou um aumento de incidentes em que colaboradores cooptados facilitam a instalação de dispositivos físicos no ambiente computacional das instituições, o que habilita a conexão direta à rede corporativa, a extração de dados sensíveis e, em alguns casos, o acesso remoto a sistemas críticos. Essa prática reduz o tempo de detecção e amplia a chance de sucesso das fraudes.
Diante desse cenário, o relatório é categórico ao recomendar a adoção de boas práticas de segurança no dia a dia das operações tecnológicas. Nas palavras do documento, “Isso torna essencial investir em práticas de higiene cibernética (por exemplo, aplicação de correções de vulnerabilidades, controle de acesso, observância de padrões de configuração segura de ativos de TI etc.), para reduzir a superfície de ataque”. A orientação mira tanto o reforço de processos de gestão de patches quanto a revisão de perfis de acesso e a padronização de configurações seguras em ativos de TI.
O avanço da automação criminosa também se destaca. O BC aponta que serviços disponibilizados via API, hoje onipresentes no setor, trouxeram agilidade e escala ao sistema, porém passaram a ser explorados para abertura automatizada de contas e pulverização de recursos, o que torna mais difícil rastrear o dinheiro em transferências fraudulentas. Em termos práticos, operações como verificação de saldo, transferências e extratos dependem da conexão entre os aplicativos e APIs, e a ausência de controles robustos nesse elo abre brechas decisivas para ataques cibernéticos no sistema financeiro.
APIs sob pressão, validação, desempenho e monitoramento em xeque
Para entender a maturidade de gestão de terceiros, o BC consultou 606 instituições. Do total, 453 informaram dispor de procedimentos para relacionamento com terceiros, 317 disseram que o processo é avaliado pela segunda linha, como compliance, e 319 reportaram que o tema é abordado em auditoria interna. A conclusão do relatório é direta, “O percentual demonstra que é necessário aprimorar esse processo”. A fotografia sugere que uma parcela relevante do sistema ainda não conseguiu estruturar defesas consistentes para riscos que nascem fora do perímetro imediato da instituição, mas afetam sua operação.
Em APIs, a vulnerabilidade é mais clara. Entre as 440 instituições que têm soluções de TI para APIs, apenas 128 realizam avaliação periódica de riscos associada a essa tecnologia. O BC identificou lacunas na validação robusta de dados, no acompanhamento de desempenho e comportamento dos serviços e na oferta de ferramentas de detecção e bloqueio de tentativas de abuso, manipulação ou extração massiva de dados. Sem visibilidade e resposta automática, a janela de ataque permanece aberta.
O diagnóstico se traduz em um alerta contundente sobre a detecção de fraudes em tempo real. Como enfatiza o documento, “Sem esses mecanismos, é praticamente inviável detectar as tentativas de pulverização de recursos e a realização de transferências fraudulentas associadas a ataques cibernéticos.” Na prática, proteger o ecossistema de APIs é proteger o front das operações digitais, onde estão as credenciais, os dados e as transações mais sensíveis do sistema financeiro nacional.
BC cobra respostas rápidas, novas normas e governança fortalecida
Diante dos ataques recentes, o BC elaborou um conjunto de normas para minimizar riscos e reduzir perdas financeiras no SFN. Entre as medidas, estão a revisão de critérios para autorizar instituições de pagamento, como carteiras digitais e maquininhas, além de dispositivos que rejeitam transações em caso de suspeita de fraude. A diretriz busca elevar o nível de exigência antes da entrada de novos participantes e endurecer os mecanismos de bloqueio proativo.
O relatório também reforça que a governança de segurança precisa alcançar toda a cadeia, dos contratos com provedores à vigilância contínua de APIs e dados, passando pela educação de colaboradores e pelo controle de acessos privilegiados. Na avaliação do BC, sem elevar a régua de controles, ataques cibernéticos no sistema financeiro tendem a se tornar mais frequentes e mais caros, impulsionados por automação, engenharia social e falhas de integração tecnológica.
Para instituições financeiras, o recado é inequívoco, fortalecer a higiene cibernética, consolidar a gestão de terceiros e priorizar a observabilidade de APIs deixou de ser opção. Para clientes, a mensagem é indireta, mas relevante, quanto mais seguro for o elo de APIs e identidades, menor a exposição a transferências fraudulentas e a golpes que exploram a pulverização de recursos. O equilíbrio entre inovação e segurança é agora uma condição de sobrevivência para todo o sistema financeiro nacional.