Falta de atuação integrada entre times de tesouraria e segurança ampliam vulnerabilidades em um sistema onde minutos de atraso na contenção podem resultar em perdas bilionárias
A aceleração do PIX como modelo de pagamento mais utilizado pelos brasileiros trouxe consigo um desafio extra para a segurança das Contas PI, mantidas no Banco Central por bancos e instituições para viabilizar transações em tempo real. Nos últimos meses, ataques hacker direcionados a essa infraestrutura geraram perdas bilionárias ao setor financeiro, sinalizando para falhas na resposta a incidentes e na integração entre áreas críticas das instituições.
Para a cientista de dados Rafaela Helbing, CEO da Data Rudder, empresa especializada em inteligência antifraude, a Resolução BCB nº 554, em vigor desde o final de março deste ano, representa um avanço ao estabelecer mecanismos como bloqueio automático da Conta PI e canais alternativos de consulta. “Mas a regra, por si só, não é suficiente. Uma norma que exige resposta em minutos não pode depender de dois times que não necessariamente falam a mesma língua e atuam nos mesmos tempos e movimentos”, avalia Rafaela.
Segundo a executiva, o principal gargalo não está apenas na tecnologia, mas a distância entre os setores responsáveis pela operação da Conta PI e aqueles focados em governança e prevenção a riscos. Enquanto áreas de tesouraria dominam o funcionamento operacional da conta, equipes de segurança concentram a resposta a incidentes, com pouca integração entre si. Esse modelo, que funcionava em sistemas mais lentos, se mostra insuficiente no ambiente do PIX. “A Conta PI exige decisões quase em tempo real. Não é viável depender de fluxos que, até então, operavam com lógicas e prioridades distintas”, diz Rafaela.
A recomendação, segundo ela, passa por revisão de processos e governança. “Aproximar esses dois mundos, com fluxos compartilhados, linguagem comum e critérios de acionamento claros, é o que transformará o cumprimento formal da norma em uma segurança genuinamente mais perene e efetiva”, afirma.
Janela de detecção mais curta eleva pressão tecnológica
No campo tecnológico, o desafio é adaptar os modelos de análise ao ritmo das transações do PIX. Diferentemente de outros meios de pagamento, a Conta PI opera com volumes elevados e liquidação instantânea, reduzindo drasticamente o tempo disponível para identificar comportamentos suspeitos. “O impacto financeiro de cada minuto de atraso é muito maior. Por isso, precisamos evoluir de uma análise de comportamento estática para uma abordagem adaptativa. A rapidez com que os modelos se atualizam diante de novos padrões de ataque será o fator determinante para que o processo passe de reativo para proativo, acompanhando a sofisticação crescente dos criminosos”, diz a executiva.
Nesse contexto, a integração entre tecnologia e conhecimento operacional ganha relevância. Equipes de tesouraria tendem a reconhecer padrões legítimos de uso, enquanto áreas de segurança identificam desvios, e a combinação dessas visões pode acelerar a resposta sem comprometer a fluidez das transações.
Segurança passa a condicionar avanço do PIX
A sequência de ataques recentes também teve impacto direto na agenda do Banco Central, que passou a priorizar medidas de segurança em detrimento de novas funcionalidades do sistema. Para Rafaela, o movimento reforça uma mudança de percepção no mercado. “Isso mostra que segurança e inovação não são linhas paralelas. Quando a base falha, a inovação para. Diante disso, a prioridade estratégica das instituições deve ser tratar a resiliência de infraestrutura como condição habilitadora da inovação, e não como um item separado na lista de projetos”, afirma. A executiva aponta três frentes prioritárias para o setor: a incorporação de segurança desde o desenho de novos produtos; o desenvolvimento de mecanismos autônomos de resposta a incidentes; e a revisão da dependência de provedores terceiros, frequentemente envolvidos em episódios recentes. “A agenda evolutiva do PIX, com funcionalidades como PIX Parcelado, MED 2.0 e PIX em garantia, cria oportunidades de negócio relevantes, mas cada nova camada de produto é também uma nova superfície de ataque. As instituições precisam avaliar esse trade-off antes de ir ao ar, não depois”, alerta.
