O Banco Central (BC) anunciou, nesta quinta-feira (11), a aprovação de norma que obriga instituições financeiras a bloquear transações de pagamento destinadas a contas com fundada suspeita de envolvimento em fraude. A medida abrange qualquer instrumento de pagamento, incluindo TED, Pix e outros, e entra em vigor imediatamente, com prazo até 13 de outubro para adequação dos sistemas.

Segundo o BC, as contas suspeitas não poderão receber valores até que a situação seja elucidada. A autarquia orienta que as instituições usem todas as informações disponíveis, públicas ou privadas, para avaliar o envolvimento em fraudes e comuniquem o titular da conta sobre medidas adotadas, incluindo bloqueios.

Novas regras de segurança e limites

A norma integra um conjunto de ações do BC voltadas a reforçar a segurança do Sistema Financeiro Nacional e combater o crime organizado no setor. Na última sexta-feira (5), o Banco Central anunciou outras medidas para reduzir invasões de hackers, como o limite de R$ 15 mil em TED e Pix para instituições de pagamento não autorizadas e para aquelas que acessam o sistema via prestadoras de serviços de TI.

Instituições de pagamento autorizadas viabilizam transações de compra e venda de recursos dentro de arranjos de pagamento, mas não podem conceder empréstimos ou financiamentos. Já as não autorizadas podem operar no país, desde que não integrem o Sistema de Pagamentos Brasileiro, tenham volume anual de até R$ 20 bilhões e realizem até 100 milhões de transações.

O BC determinou que nenhuma nova instituição de pagamento poderá iniciar atividades sem autorização prévia e que empresas já existentes devem obter licença até maio de 2026, antecipando o prazo anterior, que ia até dezembro de 2029. Além disso, prestadoras de serviços que conectam instituições à rede de pagamentos precisam atender a parâmetros de governança exigidos pelo Banco Central.

Ataques recentes ao sistema financeiro

As medidas foram anunciadas após episódios de fragilidade no sistema financeiro. Em 2 de julho, o BC identificou invasão à C&M Software, prestadora de serviços de tecnologia. No dia seguinte, a Polícia Civil de São Paulo prendeu João Nazareno Roque, ex-funcionário da empresa, suspeito de contribuir para desvios de R$ 800 milhões de oito instituições financeiras. A Justiça decretou prisão preventiva do técnico em 11 de julho.

Em 1º de setembro, novas invasões atingiram instituições como HSBC Brasil e a sociedade de crédito Artta, com desvio mínimo de R$ 710 milhões. O BC apontou que a vulnerabilidade ocorreu na Sinqia Digital, fintech prestadora de serviços de TI para o setor financeiro. Ambas as empresas não são regulamentadas pelo Banco Central, mas têm participação em operações do Sistema de Pagamentos Brasileiro, como o Pix.

As transações irregulares ocorreram por exploração de credenciais legítimas de fornecedores de TI. Em 2 de setembro, a Sinqia Digital informou que encerrou o uso dessas credenciais e que não há indícios de comprometimento de dados pessoais. O BC reforçou que a infraestrutura do sistema de pagamentos instantâneo não foi afetada e que o desvio não atingiu clientes, apenas contas reservas das instituições envolvidas. O Banco Central destacou que outras tentativas de invasão ocorreram recentemente, mesmo que em diferentes formatos.