Como funcionam os ataques hackers ao Pix

Desde seu lançamento, o Pix se consolidou como o meio de pagamento preferido dos brasileiros, com transações instantâneas e ampla capilaridade. Mas essa mesma agilidade e abrangência vêm sendo exploradas por criminosos que encontram brechas fora do núcleo do sistema, especificamente na estrutura das empresas de tecnologia que prestam serviços de integração para bancos e fintechs.

Nos últimos dois meses, mais de R$ 1,5 bilhão foram desviados por meio de ataques cibernéticos direcionados a essas provedoras de tecnologia. Embora parte dos valores tenha sido bloqueada pelo Banco Central (BC), os incidentes acenderam o alerta sobre vulnerabilidades na “borda” do sistema, ou seja, nos pontos de acesso das instituições que não possuem conexão direta com o BC.

O funcionamento do Pix é baseado em dois modelos de integração: a conexão direta, usada por grandes bancos e fintechs, e a conexão indireta, utilizada por instituições menores que contratam empresas terceirizadas para intermediar o acesso ao sistema do BC. É justamente nesse segundo modelo que têm se concentrado as falhas de segurança.

Ataques ao Pix normalmente ocorrem fora do horário comercial

A estrutura central do Pix — mantida e operada pelo BC — não foi comprometida. Os ataques exploraram vulnerabilidades nos sistemas das provedoras de tecnologia da informação, muitas vezes fora do horário comercial, aproveitando a redução no monitoramento. Em alguns casos, o acesso foi obtido por meio de credenciais internas comprometidas, o que expôs falhas de arquitetura, isolamento técnico e governança.

Apesar dos prejuízos, os clientes finais não foram diretamente afetados. Isso porque os desvios ocorreram nas chamadas “contas de liquidação”, mantidas pelas instituições junto ao BC. Esses recursos são separados do dinheiro dos correntistas, o que impede o impacto direto sobre pessoas físicas e jurídicas.

Reação do Banco Central

Em resposta à crescente onda de ataques, o BC endureceu as regras para participantes do Pix. As medidas incluem:

• Limite de R$ 15 mil por transação via Pix para instituições que utilizam integração indireta e não possuem licença.
• Antecipação de 2029 para 2026 do prazo para solicitação de licença para instituições de pagamento.
• Exigência de capital mínimo de R$ 15 milhões para empresas que prestam serviços de tecnologia financeira.

O objetivo é reduzir a exposição de instituições menores a vulnerabilidades operacionais, mas sem eliminar completamente sua participação no ecossistema.

Especialistas afirmam que exigir conexão direta de todas as mais de 1.500 instituições ao sistema do BC seria contraproducente. O custo elevado, a necessidade de infraestrutura robusta e a complexidade regulatória inviabilizariam a presença de players menores, comprometendo a competição e a inovação no setor.

Governança e segurança em xeque

O recente histórico de ataques ao Pix revelou que muitas das provedoras cresceram rapidamente sem desenvolver camadas suficientes de segurança e governança. Focadas em produto e escalabilidade, essas empresas deixaram lacunas que hoje se mostram críticas.

O modelo brasileiro de pulverização de participantes — criado para fomentar a inclusão financeira — agora enfrenta um dilema: como manter a diversidade de agentes sem comprometer a segurança do sistema? O caminho apontado é o de concentrar a custódia e a liquidação em poucos agentes altamente regulados, enquanto outras instituições mantêm o foco na inovação e atendimento ao cliente, sem gerenciar diretamente os recursos.

A aplicação de modelos como “zero trust”, que pressupõem desconfiança total em qualquer ponto de acesso até que ele seja validado, é uma das soluções em debate. Ainda assim, especialistas concordam que não existe blindagem absoluta. A combinação de autenticação forte, monitoramento em tempo real, governança ativa e compliance rigoroso é o que pode aumentar a resiliência do sistema.

Concorrência sob pressão

A intensificação das exigências por parte do BC é vista com cautela por agentes do mercado. Embora necessárias para conter os riscos, as novas regras podem elevar barreiras de entrada e acelerar a concentração do setor em torno de poucos provedores, o que, paradoxalmente, aumenta o risco sistêmico em caso de falhas nesses grandes operadores.

O desafio do BC será equilibrar a segurança do sistema com a manutenção de um ambiente competitivo e inovador. A linha é tênue, e os próximos passos do regulador serão decisivos para definir o futuro da infraestrutura de pagamentos no Brasil.