Fiscalização insuficiente no Pix resulta em desvio bilionário

Apenas cinco ações de verificação para checar o cumprimento das regras do Pix pelos bancos e fintechs foram feitas pelo Banco Central (BC) desde 2020, quando o meio de pagamento foi lançado.

Segundo o site O GLOBO, dessas, apenas duas trataram de requisitos de segurança, e uma verificou irregularidades em relação à terceirização de serviços.

Até hoje não houve qualquer punição, mesmo com falhas identificadas em dezenas de participantes. O BC afirmou que as ações de inspeção diretas são definidas com base no risco, como preveem as recomendações internacionais.

Alvo de criminosos

Meio de pagamento mais usado pelos brasileiro, o Pix tem sido alvo de ataques criminosos com desvios milionários de recursos.

Apenas em 2024, foram realizadas mais de 800 ações de supervisão geral das instituições reguladas pelo BC — o que não inclui a verificação de aderência ao regulamento do Pix.

Limite por transação

Vale destacar que, na última sexta-feira, 5, o BC apertou as regras para fintechs e provedoras de tecnologia, consideradas os elos mais fracos do sistema, em um primeiro pacote de medidas para fechar as brechas que vêm sendo exploradas por criminosos.

Depois disso, foi criada uma trava de R$ 15 mil por transação para fintechs sem autorização ou para aquelas instituições que usam provedoras de tecnologia para a integração de seus sistemas ao BC.

Outra decisão importante foi a antecipação de 2029 para 2026 o prazo final para solicitação de licença para instituições de pagamento. O órgão também vai aumentar as cobranças sobre as prestadoras de serviço de tecnologia.

Desvios e atenção de facções

Um total de R$ 1,5 bilhão foi desviado nos últimos dois meses de bancos e fintechs via Pix por meio de invasões criminosas aos sistemas de empresas de tecnologia. Uma parte parte do volume foi bloqueada pelo BC e não houve prejuízos para os clientes.

Ainda de acordo com o site, facções criminosas vêm se aproveitando de algumas brechas na regulação para ocultar recursos ilícitos.

No último fim de semana, o BC alertou sobre dois novos incidentes de ataques cibernéticos.

O pacote de medidas foi considerado um primeiro passo para aumentar a segurança no sistema financeiro. No entanto, ainda há dúvidas sobre a capacidade de supervisão do BC, cuja estrutura vem perdendo orçamento e pessoal.

Além disso, na avaliação de alguns técnicos da autarquia, executivos do mercado e especialistas, a criação de novas regras pode ser insuficiente para resolver as vulnerabilidades do sistema se não houver fiscalização adequada sobre o cumprimento das normas.

É importante ressaltar que as verificações de aderência, no caso do Pix, são feitas com base na análise de dados de transações, por exemplo, e de documentos. O número de instituições analisadas normalmente varia conforme o tema da checagem e da capacidade operacional do órgão.

Incidentes: vazamento, ataque e desvio

Em julho, o Conselho Nacional de Justiça (CNJ) informou vazamento de dados de 11 milhões de pessoas, incluindo chaves Pix, no sistema de busca de ativos financeiros (Sisbajud), mas sem desvios ou quebra de sigilo bancário.

Já em junho deste ano, criminosos desviaram mais de R$ 800 milhões do Pix por meio de um acesso indevido ao sistema da C&M Software, uma empresa que atua na intermediação entre o BC e instituições financeiras. Suspeitos foram presos.

No mês de agosto, um ataque hacker à Sinqia, empresa de tecnologia que faz a ligação do sistema do Pix no BC aos de bancos e fintechs, desviou mais de R$ 710 milhões, mas 83% foram recuperados. Não houve perda para correntistas.