Banco Central alerta sobre ataque hacker a empresa de pagamentos não autorizada

Instituições financeiras receberam um alerta urgente do Banco Central (BC) neste sábado (6) após a identificação de um novo ataque cibernético contra a E2 Pay, empresa que não possui autorização para operar pelo órgão regulador. A ofensiva resultou no desvio indevido de valores, aumentando a preocupação com a segurança digital no setor.

O BC orientou que todas as instituições reforcem o monitoramento de transações, até mesmo as realizadas internamente, diante do risco crescente. Trata-se do quarto ataque cibernético com roubo de recursos registrado apenas neste ano.

Alerta do Banco Central e o incidente com a E2 Pay

O Banco Central comunicou às instituições do sistema financeiro que detectou um incidente cibernético envolvendo a empresa E2 Pay. De acordo com o alerta, houve subtração de recursos financeiros, o que levanta novamente a questão da vulnerabilidade de empresas fora da regulação oficial.

Embora a E2 Pay não seja autorizada a atuar, a movimentação de seus sistemas financeiros digitais parece estar ligada, direta ou indiretamente, a instituições conectadas à infraestrutura do sistema financeiro. Isso acende um sinal de alerta sobre como empresas sem regulação podem representar riscos sistêmicos ao ecossistema de pagamentos.

O BC recomendou ações imediatas, incluindo:

• Monitoramento reforçado de todas as transações financeiras, inclusive transferências internas (book transfer);
• Atenção especial a movimentações atípicas;
• Adoção de protocolos adicionais de segurança cibernética.

Reforço nas medidas regulatórias do BC

Em resposta ao aumento de ataques cibernéticos — sendo este o quarto caso só em 2024 — o Banco Central anunciou novas medidas. Entre elas está a imposição de um limite de R$ 15 mil para transações via Pix e TED feitas por instituições de pagamento sem licença, conhecidas como IPs não autorizadas.

Segundo a autoridade monetária, a limitação visa dificultar o desvio de recursos de forma massiva por quadrilhas organizadas. A justificativa é que o limite ainda cobre aproximadamente 99% das transações legítimas, sem restringir significativamente o uso do serviço.

Além disso, foi anunciado:

• Nenhuma instituição de pagamento poderá iniciar operações sem autorização prévia do BC;
• As empresas prestadoras de serviços de tecnologia da informação (PSTI) passarão por maiores critérios de credenciamento;
• Reforço normativo nas relações entre instituições financeiras e prestadoras de serviços terceirizadas.

Fragilidades expostas nos modelos de integração tecnológica

Casos recentes demonstraram as vulnerabilidades no ecossistema BaaS (Banking as a Service), onde fintechs e instituições utilizam provedores terceirizados para se conectar ao sistema financeiro. O BC identificou que a relação entre essas empresas, muitas vezes mal reguladas, abriu brechas para crimes financeiros.

Os ataques anteriores às companhias C&M Software e Sinqia, dois grandes fornecedores de tecnologia, resultaram em prejuízo somado de aproximadamente R$ 1,5 bilhão. As fragilidades expostas nesses episódios reforçaram a urgência por uma resposta regulatória e operacional.

Essa relação suscita outras preocupações:

• Fintechs operando via “contas-bolsão”, dificultando o rastreamento de dinheiro ilícito;
• Falhas no controle de parceiros não supervisionados pelo BC;
• Infraestruturas paralelas sem garantia mínima de segurança cibernética.

Monitoramento do Coaf e impacto das contas-bolsão

O Conselho de Controle de Atividades Financeiras (Coaf) também está sob pressão. Na última quarta-feira (3), o secretário da Receita Federal, Robinson Barreirinhas, apontou que o órgão "não está dando conta" de rastrear movimentações suspeitas envolvendo contas-bolsão de fintechs.

As contas-bolsão permitem o armazenamento de valores em nome de múltiplos clientes, dificultando a identificação precisa da origem e destino de recursos. O Banco Central avalia se ainda há justificativa técnica para esse tipo de instrumento funcionar no sistema.

O BC discute ainda:

• A extinção ou reformulação legal das contas-bolsão;
• Regras mais rigorosas para a prestação de serviços no modelo BaaS;
• Revisão de contratos existentes para se adequarem às normas em desenvolvimento.

Convergência para regras mais rígidas e previsibilidade

O diretor de Regulação do BC, Gilneu Vivan, afirmou ainda no primeiro semestre que o trabalho para endurecer as normas sobre o modelo BaaS já estava em andamento. O objetivo é garantir que instituições que se conectem ao Sistema Financeiro Nacional cumpram os requisitos de segurança, prevenção a fraudes e estabilidade estrutural.

Ao longo de 2024, o Banco Central promete seguir ajustando regras para endurecer a entrada de novos players no setor — especialmente os que operam à margem da regulação, por meio de terceiros com acesso à infraestrutura oficial.

Enquanto isso, as operações seguem sob rigorosa vigilância, e novas diretrizes operacionais são esperadas para os próximos meses, à medida que o BC fecha o cerco a empresas não autorizadas e fortalece barreiras contra ataques cibernéticos.