Banco Central avalia restringir Pix de instituições com falhas de segurança

BC estuda limitar acesso ao Pix por risco cibernético

O Banco Central avalia restringir o acesso ao Pix de bancos, fintechs e outras instituições que apresentem falhas de segurança cibernética. Entre as medidas discutidas estão limites para horários, dias e valores das transferências, além da proibição temporária de registrar novas chaves. A proposta ainda está em estudo e não representa uma mudança imediata para todos os usuários do sistema.

As possíveis restrições foram relatadas por CircuitoMT e DOL e confirmadas em apurações independentes publicadas por Poder360 e Money Times. Segundo esses veículos, a intenção do regulador é agir preventivamente quando identificar que uma instituição representa risco para o sistema financeiro, antes que uma vulnerabilidade resulte em novos prejuízos.

Quais restrições estão sendo avaliadas

De acordo com o Poder360, o Banco Central considera permitir que sua área de supervisão aplique medidas cautelares de maneira mais rápida. As sanções poderiam variar conforme a gravidade das falhas identificadas e não significariam necessariamente a exclusão definitiva da instituição do Pix.

As alternativas em análise incluem limitar o valor das operações, restringir os períodos em que os pagamentos podem ser realizados e impedir o cadastro de novas chaves Pix. O objetivo seria reduzir a exposição do sistema enquanto a instituição corrige problemas em seus controles internos.

Atualmente, segundo a mesma apuração, a imposição de sanções por descumprimento de requisitos de segurança depende da abertura de um processo que assegure o direito de defesa da instituição. Durante a tramitação, a empresa pode continuar operando. O ajuste regulatório estudado pretende deixar mais clara a possibilidade de adoção de providências preventivas pela supervisão.

Mapeamento das vulnerabilidades

O Banco Central também está levantando informações sobre os controles adotados pelas instituições participantes. Conforme o Poder360, foi enviado um questionário com cerca de 400 perguntas para avaliar perfil de risco, tecnologia da informação, proteção de dados pessoais e uso de inteligência artificial.

O levantamento deverá ajudar a autoridade monetária a identificar participantes com estruturas de segurança mais frágeis e a verificar se os requisitos mínimos estão sendo cumpridos. A avaliação também considera controles adicionais implementados pelas próprias instituições.

Regras anteriores já limitaram operações

A discussão ocorre depois de uma série de ataques contra integrantes da infraestrutura financeira. O Money Times informou que o Banco Central registrou mais de R$ 1,5 bilhão em desvios provocados por ataques hackers no período de 12 meses considerado pela apuração. Os episódios ampliaram a pressão para que bancos, fintechs e fornecedores de tecnologia reforcem seus controles.

Em 2025, o BC já havia limitado a R$ 15 mil as operações de Pix e TED feitas por instituições de pagamento não autorizadas e por participantes conectados à Rede do Sistema Financeiro Nacional por meio de Prestadores de Serviços de Tecnologia da Informação. Segundo comunicado oficial da autoridade monetária, a restrição poderia ser retirada após o atendimento dos novos processos de controle de segurança.

A regra anterior também antecipou o prazo para que instituições de pagamento ainda não autorizadas solicitassem permissão de funcionamento. As providências foram anunciadas pelo BC diante do envolvimento do crime organizado em ataques a instituições financeiras e de pagamentos.

O que muda para os clientes

Por enquanto, não há uma nova limitação geral para transferências feitas pelos correntistas. As medidas discutidas são direcionadas às instituições consideradas vulneráveis e dependeriam de alteração regulatória e de uma avaliação da supervisão do Banco Central.

Caso a proposta avance, clientes de uma instituição submetida a restrições poderão encontrar limites temporários de horário ou valor, ou ficar impedidos de cadastrar novas chaves. O alcance, os critérios de aplicação e o prazo das medidas ainda não foram oficialmente detalhados.