O que mudou nas regras do Banco Central em 2025?

O ponto de virada foi julho de 2025. No dia 1º, um ataque à C&M Software, prestadora de tecnologia que conecta instituições financeiras ao Banco Central, permitiu acesso não autorizado às contas de reserva de seis instituições; segundo a Polícia Civil de São Paulo, ao menos R$ 541 milhões foram desviados. Um operador de TI terceirizado da empresa foi preso e, segundo a polícia, confessou ter entregado sua senha e informações sobre os processos internos em troca de R$ 15 mil. Em agosto, um ataque à Sinqia desviou cerca de R$ 710 milhões via Pix usando credenciais legítimas de fornecedores de TI. Em setembro de 2025, o Banco Central publicou um pacote de normas: a Resolução BCB nº 498/2025 elevou as exigências para os provedores de serviços de tecnologia da informação (PSTIs), com patrimônio mínimo de R$ 15 milhões, diretores de segurança designados, certificação, auditoria anual e seguro, e a Resolução BCB nº 496/2025 fixou limite de R$ 15 mil por transação Pix para instituições não autorizadas e para as que se conectam por meio de PSTI.

O que o regulador já exigia em fraude e segurança cibernética?

As normas de 2025 se somam a um arcabouço anterior. A Resolução CMN nº 4.893/2021 obriga as instituições a manter política de segurança cibernética aprovada pela diretoria e a avaliar previamente os prestadores de serviços de processamento e armazenamento de dados que contratam, sem que isso as exima de responsabilidade; uma alteração de 2025 passou a exigir testes de intrusão ao menos uma vez por ano. Desde 1º de novembro de 2023, a Resolução Conjunta CMN/BCB nº 6/2023 obriga as instituições a compartilhar dados sobre indícios de fraude, incluindo quem praticou ou tentou praticar a fraude e a conta de destino dos recursos. E, desde 2 de fevereiro de 2026, o MED 2.0 do Pix é obrigatório, permitindo rastrear e bloquear valores também em contas intermediárias. A lógica comum é clara: controlar terceiros, acessos e transações.

O Banco Central exige verificar os antecedentes de funcionários?

Aqui o Brasil tem uma particularidade. Na prevenção à lavagem de dinheiro, a Circular BCB nº 3.978/2020 exige expressamente que as instituições implementem "procedimentos destinados a conhecer seus funcionários, parceiros e prestadores de serviços terceirizados" (art. 56), que a seleção e a contratação dessas pessoas considerem o risco de lavagem (art. 3º) e que suas atividades sejam classificadas por categorias de risco (art. 58). Isso não equivale a um mandato de background check completo para todos: o alcance deve ser proporcional ao risco, definido pela própria instituição e compatível com a LGPD e com a jurisprudência trabalhista, que limita, por exemplo, a exigência de certidão criminal a hipóteses justificadas. As normas de segurança cibernética, por sua vez, não falam em verificação de antecedentes. A conclusão razoável, que apresentamos como análise própria, é que um programa que precisa conhecer funcionários e controlar acessos dificilmente pode ignorar quem entra na organização.

Qual é o contexto de risco no sistema financeiro brasileiro?

Os números ajudam a dimensionar o tema. Segundo a Febraban, golpes causaram prejuízo de R$ 10,1 bilhões em 2024, alta de 17% sobre 2023. O Anuário Brasileiro de Segurança Pública 2026 registrou mais de 2,2 milhões de casos de estelionato em 2025. E, segundo levantamento da Check Point Exposure Management Research divulgado em fevereiro de 2026, o Brasil foi o país latino-americano com mais ataques ao setor financeiro em 2025, com 29 incidentes, à frente do México (15) e da Argentina (12). A maior parte dessas ameaças é externa, mas os dois maiores casos de 2025 tiveram um componente humano interno ou de fornecedor. "Se a regra pede para conhecer funcionários e prestadores e controlar acessos, a pergunta prática é quem tem acesso a quê e com que verificação prévia: é por aí que convém começar", afirma Guido Schenone, Comercial & Growth Manager da Validato.

O que uma instituição de pagamento ou fintech pode fazer hoje?

Uma ordem prudente tem três passos. Primeiro, mapear os cargos e os terceiros com acesso a dados de clientes, credenciais ou fluxos de recursos, incluindo os funcionários dos próprios PSTIs e fornecedores de TI. Segundo, definir uma política de conhecimento de funcionários e prestadores proporcional ao risco, com base legal clara segundo a LGPD, e revisar privilégios de acesso sempre que alguém muda de função ou é desligado. Terceiro, documentar tudo no programa de prevenção à lavagem de dinheiro e na política de segurança cibernética, já que o regulador exige registros e governança. A Validato oferece serviços de background screening com esse enfoque; a decisão sobre quanto verificar e a quem cabe a cada instituição, com suas áreas jurídica e de compliance.

Referências

•    Poder360, 07/2025, ataque à C&M Software. https://www.poder360.com.br/poder-tech/empresa-servicos-financeiros-ataque-hacker-bc-pf/

•    CNN Brasil, 07/2025, "Ataque hacker desviou R$ 541 milhões". https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/

•    Correio Braziliense, 07/2025, prisão de suspeito. https://www.correiobraziliense.com.br/economia/2025/07/7192512-preso-suspeito-de-colaborar-com-hacker-no-maior-ataque-da-historia-do-brasil.html

•    Poder360, 2025, ataque à Sinqia. https://www.poder360.com.br/poder-economia/sinqia-diz-que-recuperou-parte-de-r-710-mi-desviados-em-ataque-hacker/

•    Mattos Filho, Resoluções BCB nº 494 a 501/2025. https://www.mattosfilho.com.br/unico/banco-central-normas-seguranca/

•    Resolução CMN nº 4.893/2021 (texto consolidado). https://okai.com.br/documento/2021-02-26/resolucao-cmn-n-4-893

•    Mattos Filho, Resolução Conjunta CMN/BCB nº 6/2023. https://www.mattosfilho.com.br/unico/resolucao-dados-fraudes/

•    Agência Brasil, 02/2026, MED 2.0. https://agenciabrasil.ebc.com.br/economia/noticia/2026-02/novas-regras-de-seguranca-do-pix-entram-em-vigor-veja-mudancas

•    Banco Central, Circular nº 3.978/2020, arts. 3º, 56 e 58. https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_P.pdf

•    Poder360, 12/03/2025, Febraban. https://www.poder360.com.br/poder-economia/golpes-causaram-prejuizo-de-r-101-bi-em-2024-diz-febraban/

•    Brasil 61, 28/07/2026, Anuário Brasileiro de Segurança Pública. https://brasil61.com/n/anuario-de-seguranca-publica-brasil-registrou-mais-de-2-2-milhoes-de-casos-de-estelionato-em-2025-bras2616801

•    Revista Mercado (Argentina), 06/02/2026, Check Point Exposure Management. https://mercado.com.ar/ruta-digital/check-point-releva-alza-de-ciberataques-financieros-en-latinoamerica-y-12-incidentes-en-argentina

•    Banco Central no Brasil – Validato's Blog : https://validato.com/br-pt/artikel/banco-central-no-brasil-o-que-as-regras-de-seguranca-de-2025-exigem-e-por-que-o-risco-interno-entrou-no-centro-do-debate

•    Banco Central no Brasil – Validato's Linkedin : https://www.linkedin.com/pulse/banco-central-brasil-o-que-regras-de-seguran%C3%A7a-2025-exigem-schenone-abzle