Pular para o conteúdo
Indene
pt

Inteligência de ameaças

Banco Central e reguladores europeus apontam o fornecedor de tecnologia como elo frágil

A ata de agosto do Comef e o relatório de outono das ESAs chegam ao mesmo diagnóstico: o risco do sistema financeiro está cada vez mais no fornecedor de tecnologia. A instituição pode terceirizar o serviço, mas não a responsabilidade nem a prova de que o controle dele funciona.

Por Rafael LimaCFO

6 min de leitura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó verde aceso e o título The weakest link is under contract.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó verde aceso e o título The weakest link is under contract.

Em quatro semanas, o Banco Central e as autoridades europeias de supervisão financeira chegaram ao mesmo diagnóstico: a fragilidade do sistema está cada vez mais no fornecedor de tecnologia. Na ata de agosto do Comitê de Estabilidade Financeira, o Banco Central aponta riscos no ecossistema de Banking as a Service e promete intensificar a supervisão. Em 23 de setembro, as ESAs relataram que os bancos europeus veem a dependência de provedores de TIC como o maior desafio. Os dois recados levam à mesma conclusão: a instituição pode terceirizar o serviço, mas não a responsabilidade nem a prova de que o controle do fornecedor funciona.

O que as fontes mostram

A Ata da 66ª reunião do Comef, de 25 e 26 de agosto de 2026, avaliou os incidentes cibernéticos relevantes ocorridos no Sistema Financeiro Nacional em 2026. O comitê destaca fraudes financeiras associadas a esses eventos, examina incidentes recentes no ecossistema de recebíveis de arranjos de pagamento e cita riscos operacionais no ecossistema de Banking as a Service. Cobra dos participantes desses ecossistemas governança, gestão de riscos e controles internos mais fortes, e afirma que o Banco Central "seguirá intensificando" as ações regulatórias e supervisoras sobre esses ambientes.

Do lado europeu, o relatório conjunto de outono das três autoridades de supervisão (EBA, EIOPA e ESMA), publicado em 23 de setembro de 2026, dedica um tema inteiro às dependências externas, com números do questionário de risco da EBA com os bancos. O relatório anual da Verizon sobre violações de dados, publicado em maio, mostra a mesma tendência fora do setor financeiro:

indicador número fonte
Bancos europeus que veem a dependência de provedores de TIC como o maior desafio cerca de 80% ESAs, com dados da EBA, 2026
Bancos que veem a dependência de soluções de pagamento como o segundo maior risco cerca de 60% ESAs, com dados da EBA, 2026
Violações de dados com participação de terceiro 48%, alta de 60% sobre o ano anterior Verizon DBIR, 2026
Violações que começaram pela exploração de vulnerabilidade 31% Verizon DBIR, 2026

O mesmo relatório das ESAs registra que falhas de sistema, e não ataques, respondem pela maior parte dos incidentes de TIC comunicados pelo setor sob o DORA, o regulamento europeu de resiliência operacional digital. A recomendação é acompanhar a dependência de provedores críticos de tecnologia e dar atenção especial a serviços concentrados em poucos fornecedores, como os de pagamento.

O Brasil já tem um caso de referência. Em julho de 2025, o Banco Central desligou a infraestrutura da C&M Software, provedora que conecta instituições sem meio próprio de conexão ao sistema de pagamentos, depois de um ataque que movimentou recursos de contas de reserva de instituições clientes. Nenhuma conta de cliente final foi atingida, segundo a InfoMoney. Em 5 de setembro de 2025, a Resolução BCB nº 498 disciplinou o credenciamento desses provedores, os PSTI.

A regra que vale hoje para as instituições é a Resolução CMN nº 5.274, de 18 de dezembro de 2025, com prazo de adaptação até 1º de março de 2026 (a Resolução BCB nº 538, da mesma data, altera a regra equivalente para instituições de pagamento, corretoras e distribuidoras). Nos pontos que tocam o fornecedor, ela exige:

  • revisão periódica das permissões de acesso, em especial de colaboradores terceirizados;
  • múltiplos fatores de autenticação para acesso à rede corporativa a partir de fora da instituição;
  • vedação de acesso de prestadores de serviço às chaves privadas usadas para assinar mensagens;
  • tratamento do serviço de comunicação com a Rede do Sistema Financeiro Nacional como serviço relevante, inclusive quando o prestador processa as mensagens;
  • teste de intrusão anual, feito com independência, com resultado e plano de correção documentados.

A resolução original, a CMN nº 4.893, continua a dizer que a instituição responde pela confiabilidade, integridade, disponibilidade, segurança e sigilo dos serviços relevantes de processamento, armazenamento de dados e nuvem que contrata. E manda guardar por cinco anos a diligência feita antes da contratação, o contrato e os registros de acompanhamento do fornecedor.

O que isso significa junto

As fontes descrevem o mesmo movimento por ângulos diferentes. O atacante chega cada vez mais pelo elo que a instituição não opera: o provedor de conexão, a plataforma de Banking as a Service, o gateway de API mantido por outra empresa. O regulador responde do único jeito que pode, cobrando de quem tem a licença. A dependência deixou de ser um tema de contrato e virou um tema de supervisão.

Para a instituição regulada pelo Banco Central, a consequência é prática. Na fiscalização documental, "o fornecedor garante" não é evidência. A instituição precisa mostrar quando revisou o acesso do terceiro, que teste validou o controle dele e o que fez com o resultado. Um questionário respondido uma vez por ano pelo próprio fornecedor é declaração: diz o que ele afirma, não o que foi testado.

Há também uma leitura financeira. O comprometimento por terceiro crítico é um cenário de perda como qualquer outro, e o tamanho dele depende de duas coisas que a instituição consegue medir: o que para quando o fornecedor para, e o que o fornecedor alcança quando é comprometido. Um provedor com acesso às contas de liquidação e sem teste independente não tem o mesmo peso de um fornecedor de software de escritório, mesmo que os dois estejam na mesma planilha de terceiros com a mesma nota.

A observação das ESAs sobre falhas de sistema completa o quadro. Nem toda perda vinda do fornecedor é ataque; muitas são indisponibilidade. O plano de continuidade precisa prever a parada do fornecedor crítico, e o teste de continuidade precisa exercitar essa parada de verdade.

O que fazer agora

  1. Liste os fornecedores que tocam dinheiro, dados de cliente ou a conexão com o sistema financeiro (provedor de conexão, Banking as a Service, processamento de mensagens, nuvem) e ordene pelo impacto de uma parada ou de um acesso indevido, não pelo valor do contrato.
  2. Revise quem, em cada fornecedor, tem acesso aos seus sistemas, se esse acesso exige múltiplos fatores e quando foi revisto pela última vez.
  3. Confirme que nenhum prestador tem acesso às chaves privadas usadas para assinar mensagens na Rede do Sistema Financeiro Nacional.
  4. Troque a resposta de questionário por evidência com data e origem: resultado de teste, registro de acesso, relatório de teste de intrusão, teste de continuidade com a parada do fornecedor.
  5. Guarde a diligência, o contrato e o acompanhamento de cada fornecedor relevante pelo prazo de cinco anos: é o que a norma manda deixar à disposição do Banco Central.

Na leitura da Indene, o controle de um fornecedor entra na conta do risco com a confiança que a prova dele sustenta: declarado, evidenciado ou validado. É a mesma régua que vale para os controles da própria instituição. Leia a metodologia.

Referências

Assuntos

Continue lendo

Todas as notícias