O Banco Central publicou nesta quarta-feira (1º) as regras do seguro obrigatório para empresas de tecnologia que conectam bancos ao sistema do Pix. Pela primeira vez, a norma define os riscos mínimos a serem cobertos. A medida responde a ataques de hackers contra instituições financeiras, que geraram prejuízo bilionário ao explorar falhas nessas empresas desde o ano passado.
De acordo com a regra, os Provedores de Serviço de Tecnologia da Informação (PSTIs) deverão contratar seguros com cobertura mínima para incidentes cibernéticos e fraudes digitais, perdas financeiras causadas por atos internos e externos, responsabilidade civil, riscos operacionais e de governança, além da responsabilidade de executivos.
A exigência de contratação de seguro já aparecia de forma genérica em resolução do BC publicada no ano passado. A novidade agora é o detalhamento das coberturas obrigatórias.
A norma também exige que os PSTIs apresentem ao BC as premissas técnicas, a metodologia de dimensionamento dos limites e a memória de cálculo que justificam o valor da apólice. A exigência amplia o controle regulatório sobre empresas consideradas essenciais para o funcionamento do Pix.
Para operar no Pix, as instituições financeiras precisam se conectar à Rede do Sistema Financeiro Nacional, que dá acesso ao sistema do Pix. Os maiores bancos mantêm conexão direta com o BC. Outros utilizam PSTIs. É nesse elo terceirizado que se concentram as vulnerabilidades exploradas por criminosos.
Como mostrou o Bastidor, o ataque mais recente ocorreu contra o BTG Pactual no último dia 22. Foram desviados mais de 100 milhões de reais do banco. Diferentemente de episódios anteriores, o BTG tem conexão direta com o sistema Pix. Por isso, o caso foge ao padrão das invasões recentes, que atingiram principalmente PSTIs.
Em junho passado, um ataque à provedora C&M Software causou prejuízo de 841 milhões de reais a oito bancos. Desde 2025, ao menos três ataques desse tipo já foram registrados, com prejuízos superiores a 1,5 bilhão de reais.
