O sistema financeiro brasileiro não ficou parado diante dos golpes. Desde 1º de novembro de 2023, a Resolução Conjunta CMN/BCB nº 6/2023 obriga bancos, instituições de pagamento e demais instituições autorizadas a compartilhar dados sobre indícios de fraude, incluindo quem praticou ou tentou praticar a fraude e a conta de destino dos recursos. Desde 2 de fevereiro de 2026, o MED 2.0 do Pix é obrigatório, permitindo rastrear o dinheiro também em contas intermediárias e bloqueá-lo por até 11 dias, e, desde setembro de 2026, o prazo para contestar uma devolução em caso de suspeita de fraude passou de 30 para 80 dias. As medidas respondem a um problema real: segundo a Febraban, os golpes causaram prejuízo de R$ 10,1 bilhões em 2024, alta de 17% sobre o ano anterior, e o Anuário Brasileiro de Segurança Pública 2026 registrou mais de 2,2 milhões de casos de estelionato em 2025. São respostas necessárias. Mas olhar apenas para a transação suspeita deixa de fora uma pergunta mais incômoda: quem teve acesso, antes dessa transação, à conta, aos dados ou ao sistema que a tornou possível?


O caso mais emblemático dos últimos anos ilustra o ponto. Em julho de 2025, criminosos desviaram ao menos R$ 541 milhões de contas de reserva de instituições conectadas ao Banco Central por meio da C&M Software, prestadora de tecnologia do sistema financeiro. A porta de entrada, segundo a polícia, não foi um algoritmo enganado, mas uma pessoa: um operador de TI que teria vendido sua credencial e informações sobre os processos internos por R$ 15 mil. O mesmo vale para golpes mais cotidianos, como o da falsa central, que exploram a confiança da vítima em uma voz humana, ou para o vazamento de dados de clientes por quem tem acesso legítimo a eles. Nenhuma dessas rotas aparece necessariamente em um padrão de transações compartilhado entre instituições; elas aparecem, quando aparecem, na verificação das pessoas que têm acesso aos sistemas por dentro.

Isso não é uma crítica às regras do Banco Central, que atacam um problema real com instrumentos razoáveis para o seu alcance. É um alerta sobre o que esse enfoque não cobre por desenho.


A regulação, aliás, já prevê o outro lado: a Circular BCB nº 3.978/2020 exige procedimentos "destinados a conhecer seus funcionários, parceiros e prestadores de serviços terceirizados" (art. 56) e determina que a seleção e a contratação dessas pessoas considerem o risco de lavagem de dinheiro (art. 3º). A Resolução CMN nº 4.893/2021 exige que as instituições avaliem previamente os prestadores de serviços de tecnologia que contratam e continuem responsáveis por eles, e, após os ataques de 2025, a Resolução BCB nº 498/2025 elevou as exigências para os provedores de tecnologia que conectam instituições ao sistema. O desafio está em aplicar ao próprio quadro e aos terceiros o mesmo rigor que se aplica ao cliente que abre uma conta: o caixa, o gerente de contas, o desenvolvedor da fintech que administra a carteira digital, o operador do prestador de TI.


“As novas regras obrigam a olhar para fora, para o padrão da transação. Acreditamos que as instituições também precisam olhar para dentro: quem tem acesso a qual sistema, e com que verificação prévia. Não basta cumprir as exigências regulatórias se, internamente, um novo colaborador ou um fornecedor externo começa a operar sem passar pelo mesmo nível de controle que a instituição exige de um cliente que abre uma conta. A verificação de pessoas deveria ser, para um banco ou uma fintech, tão automática e inegociável quanto a verificação de um novo cliente”, afirma Guido Schenone, Comercial & Growth Manager da Validato, empresa suíça especializada em background screening e human risk management.


A recomendação prática para bancos, seguradoras e fintechs brasileiras é não limitar o esforço ao cumprimento técnico das regras do Pix e do compartilhamento de dados de fraude, e aproveitar o mesmo impulso regulatório para revisar como verificam o próprio pessoal e os fornecedores externos que acessam contas, sistemas e dados de clientes — com reavaliações periódicas, e não apenas uma checagem no momento da contratação, sempre dentro dos limites da LGPD e da jurisprudência trabalhista. Em um sistema em que a confiança da vítima continua sendo a arma mais eficaz do golpista, fechar a porta de dentro é, no mínimo, tão importante quanto vigiar a porta de fora.


Fontes e referências consultadas

  1. Data de consulta de todas as fontes: 19/10/2026.
  2. Mattos Filho. Resolução Conjunta CMN/BCB nº 6/2023 — compartilhamento de dados sobre fraudes. https://www.mattosfilho.com.br/unico/resolucao-dados-fraudes/
  3. Agência Brasil. "Novas regras de segurança do Pix entram em vigor" (MED 2.0), 02/2026. https://agenciabrasil.ebc.com.br/economia/noticia/2026-02/novas-regras-de-seguranca-do-pix-entram-em-vigor-veja-mudancas
  4. Agência Brasil. "Nova regra do Pix amplia prazo para contestar golpe" (IN BCB 766), 09/2026. https://agenciabrasil.ebc.com.br/economia/noticia/2026-09/nova-regra-do-pix-amplia-prazo-para-contestar-golpe
  5. Poder360. "Golpes causaram prejuízo de R$ 10,1 bi em 2024, diz Febraban", 12/03/2025. https://www.poder360.com.br/poder-economia/golpes-causaram-prejuizo-de-r-101-bi-em-2024-diz-febraban/
  6. Brasil 61. Anuário Brasileiro de Segurança Pública 2026 — estelionatos em 2025, 28/07/2026. https://brasil61.com/n/anuario-de-seguranca-publica-brasil-registrou-mais-de-2-2-milhoes-de-casos-de-estelionato-em-2025-bras2616801
  7. CNN Brasil. Ataque à C&M Software, 07/2025. https://www.cnnbrasil.com.br/nacional/sudeste/sp/ataque-hacker-desviou-r-541-milhoes-em-massa-diz-policia/
  8. Banco Central do Brasil. Circular nº 3.978/2020 — arts. 3º e 56. https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_P.pdf
  9. Resolução CMN nº 4.893/2021 (texto consolidado). https://okai.com.br/documento/2021-02-26/resolucao-cmn-n-4-893
  10. Mattos Filho. Resoluções BCB nº 494 a 498/2025. https://www.mattosfilho.com.br/unico/banco-central-normas-seguranca/