Pix, Open Finance e IA: revolução no sistema financeiro e o aumento de ataques

O setor financeiro movimenta volumes massivos de dados e recursos diariamente, características pelas quais o tornam um dos principais alvos de cibercriminosos em escala global. Segundo análise da Fitch Ratings, fornecedora líder de classificações de crédito, comentários e pesquisas para mercados de capitais globais, os relatórios de 2025 do FMI (Fundo Monetário Internacional) indicam que as perdas com incidentes cibernéticos quadruplicaram desde 2017, alcançando US$ 2,5 bilhões, e o setor financeiro sofreu 1.510 ataques no último ano, registrando aumento de 30%.

No Brasil, o protagonismo é ainda mais evidente. O sucesso do Pix e a expansão do Open Finance e do Open Banking projetaram o país como referência em inovação digital, mas também ampliaram a superfície de ataque. Desde a criação do Pix, em novembro de 2020, mais de 48 milhões de chaves foram expostas em mais de 20 incidentes cibernéticos, segundo o Banco Central.

Grande parte dos ataques cibernéticos também estão relacionados à transformação do banco moderno, hoje distribuído em um ecossistema que envolve aplicativos móveis, ambientes em nuvem, APIs (Application Programming Interface) e fornecedores terceirizados. Esse modelo, embora mais ágil e conectado, multiplica os pontos de vulnerabilidade. Entre as ameaças mais recorrentes estão os ataques de engenharia social, que exploram redes sociais para disseminar links maliciosos; malwares voltados ao Pix e ao mobile banking, capazes de alterar valores e destinatários de transações; além de vazamentos de dados provocados por falhas em integrações com terceiros e riscos internos, como o compartilhamento indevido de credenciais.

A crescente sofisticação dos ataques impulsionada pelo uso de Inteligência Artificial também preocupa. De acordo com o Global Cybersecurity Outlook 2025, do Fórum Econômico Mundial, 72% dos líderes de segurança relataram aumento dos riscos cibernéticos devido ao uso malicioso da IA. Hackers vêm empregando algoritmos para automatizar e ampliar o alcance de ataques DDoS (Distributed Denial of Service), desenvolver bots de invasão, minerar dados na dark web e criar áudios e vídeos falsos em golpes de phishing avançado.

Por outro lado, a IA vem se tornando uma aliada na defesa. Equipes de SOC (Security Operations Centers) utilizam modelos inteligentes para detectar ameaças precocemente, automatizar respostas e realizar análises preditivas. A capacidade de identificar padrões anômalos em tempo real reduz significativamente o tempo de reação e fortalece a postura preventiva das instituições.

Nesta linha de proatividade para antecipar e neutralizar ameaças, os pentests, ou teste de invasão, também se destacam ao simular ataques reais a sistemas bancários para detectar vulnerabilidades antes que sejam exploradas. Essas avaliações práticas podem, por exemplo, identificar falhas em APIs que não validam corretamente parâmetros, permitindo a manipulação de valores em transações móveis. Corrigir essas brechas é essencial para evitar prejuízos bilionários e preservar a confiança dos clientes.

Mas a proteção dos dados financeiros não para por aí; ela exige múltiplas camadas de defesa. Soluções de gestão de identidade e acesso (IAM) com autenticação multifator (MFA) ou reconhecimento facial aumentam o controle sobre usuários, enquanto ferramentas de detecção e resposta (XDR/ EDR) fortalecem dispositivos individuais, endpoints, rede, e-mail e nuvem. As técnicas de criptografia e tokenização dessas aplicações tornam as informações sensíveis mais seguras, mesmo em caso de interceptação.

Indo além dos sistemas, capacitar continuamente os profissionais é outro pilar estratégico com campanhas de conscientização e treinamentos regulares para mitigar o erro humano, responsável por boa parte dos incidentes. Juntas, essas abordagens de tecnologia e pessoas seguem o conceito de Zero Trust – “nunca confiar, sempre verificar”, impondo verificações contínuas entre usuários, sistemas e aplicações para garantir a integridade das operações.

É importante lembrar que, no sistema financeiro, a indisponibilidade pode custar milhões por minuto. Por isso, a implementação de Planos de Recuperação de Desastres (DRP) é vital para garantir a continuidade operacional de processos críticos, como a liquidação de boletos e as transações via Pix. O cálculo do Recovery Time Objective (RTO), ou tempo máximo aceitável de indisponibilidade, obtido pelo DRP, orienta arquiteturas de alta disponibilidade com ambientes replicados e nuvens redundantes.

Além de evitar perdas financeiras, essa prática reforça a conformidade com exigências como a Resolução BCB nº 498, que estabelece novas regras para a segurança de dados no sistema financeiro brasileiro, com foco nos provedores de serviços de tecnologia, inclusive com a contratação de seguro cibernético pelos fornecedores. Consultorias especializadas em segurança, quando auditáveis e integradas a políticas de monitoramento contínuo, ajudam as instituições a elevar seu score de maturidade cibernética, reduzindo o custo das apólices de seguro.

Em um cenário em que as ameaças evoluem na mesma velocidade das inovações, a combinação entre expertise técnica, resiliência operacional e cultura de segurança integrada se consolida como diferencial competitivo. As instituições financeiras que investem em tecnologias proativas, conformidade contínua e inteligência preditiva não apenas protegem seus ativos, mas também fortalecem o ativo mais valioso da era digital: a confiança dos seus clientes.

*Maurício Alarcon e Rodolfo Ramponi são, respectivamente, vice-presidente da vertical de Bancos e Seguros e especialista em cibersegurança da SONDA do Brasil, líder regional em Transformação Digital.
 

Sobre SONDA:
 

A SONDA é uma empresa líder no desenvolvimento de serviços tecnológicos sob medida para cada cliente. A companhia busca, gera e integra tecnologias a nível global para oferecer soluções únicas e inovadoras, que aceleram a transformação digital de todos os seus clientes.
 

Possui faturamento de US$ 1,54 bilhão em 2024 e mais de 15 mil colaboradores. Atua em todo o mundo e tem presença direta na Argentina, Brasil, Chile, Colômbia, Costa Rica, Guatemala, Equador, Estados Unidos, Canadá, México, Panamá, Peru e Uruguai.