Por Dorian Lacerda | CEO, NEXTCIA | Conselheiro, ABRANET

Entre julho de 2024 e junho de 2025, golpes com Pix ou boleto fizeram 24 milhões de vítimas no Brasil. As perdas com Pix em 2024 chegaram a R$ 4,9 bilhões. A projeção da ACI Worldwide para 2028 é de R$ 12 bilhões, se o ritmo atual se mantiver.

Esses números convivem com outro: 7 bilhões de transações Pix por mês. O Brasil construiu, em menos de quatro anos, o sistema de pagamentos instantâneos mais utilizado do mundo em proporção à população bancarizada.

O Banco Central celebrou isso com razão. O Pix tem fraude, como qualquer infraestrutura financeira de enorme escala.

Minha tese é outra: o problema estrutural que precisamos enfrentar não está no protocolo de pagamento em si, mas na governança do ecossistema financeiro digital que cresceu ao seu redor.

A distinção importa porque define onde a solução precisa ser tomada. Enquanto o tema for tratado apenas como problema de tecnologia, a resposta tenderá a ser a compra de ferramentas. Se for tratado apenas como problema operacional, a resposta será a atualização de processos.

Quando for tratado como problema de governança, a discussão passa a incluir responsabilidades, cultura, incentivos, integração de dados e modelo de decisão.

O que o mundo está vendo, e o Brasil ainda precisa nomear

O setor financeiro lidera o ranking de ataques cibernéticos pelo segundo ano consecutivo.

Os dados do Check Point mostram que as organizações financeiras registraram em média 1.968 ataques por semana em 2025, alta de 70% em relação a 2023.

Globalmente, incidentes no setor saltaram de 864 para 1.858 em um ano, crescimento de 115%. No Brasil, mais de 20% de todos os incidentes cibernéticos nacionais têm origem ou destino no sistema financeiro.

O relatório da CrowdStrike de 2026 coloca o Brasil entre os cinco países mais visados por ataques direcionados a bancos, com crescimento de 43% em intrusões interativas. O grupo PLUMP SPIDER, identificado no relatório, opera com engenharia social sofisticada, não apenas com exploração de vulnerabilidades técnicas. Em outras palavras: em muitos ataques, a vulnerabilidade decisiva migra do sistema para a pessoa e para o processo de decisão.

O caso mais paradigmático do período não é brasileiro, mas deveria ser estudado em conselhos de administração.

Em janeiro de 2024, um funcionário da Arup, empresa global de engenharia, transferiu 25 milhões de dólares após uma videoconferência em que todos os participantes, incluindo o CFO, eram deepfakes criados a partir de vídeos e áudios públicos da empresa. Nenhuma vulnerabilidade técnica foi explorada: a engenharia foi social e a autorização, humana.

O trabalhador cognitivo de alta qualificação substituiu o caixa de supermercado como símbolo desta nova etapa de automação do crime financeiro.

A frase, publicada pela Times Brasil em análise sobre os layoffs por IA, captura algo que o debate sobre cibersegurança financeira ainda subestima: a fronteira do ataque se deslocou para cima na hierarquia organizacional. Não são mais apenas os sistemas operacionais que estão vulneráveis; são também os processos de decisão.

O ecossistema brasileiro: infraestrutura de ponta, governança em evolução

O Pix completou cinco anos em 2026 com uma agenda evolutiva densa.

O MED 2.0, em vigor desde fevereiro, trouxe bloqueio cautelar de até 72 horas para transações suspeitas, rastreamento em até cinco contas na cadeia da fraude, botão de contestação direto no aplicativo e prazo de devolução de aproximadamente 11 dias para fraude comprovada.

Para outubro estão previstas a Cobrança Híbrida e a integração do Pix Automático interbancário com a conta-salário.

São avanços reais, e o Banco Central merece crédito por uma agenda regulatória consistente. Mas o MED 2.0 é, por natureza, um mecanismo predominantemente voltado à resposta ao dano já ocorrido: bloqueia, rastreia e devolve, quando funciona. A próxima fronteira é ampliar a capacidade de prevenção sem comprometer a fluidez que tornou o Pix tão relevante.

A separação artificial entre ciberataque e fraude financeira é o diagnóstico central que a Scunna apresentou no início de 2026, e ele merece atenção.

Durante anos, instituições financeiras organizaram cibersegurança e prevenção a fraudes em estruturas distintas, com dados, sistemas e lideranças próprias. A segregação pode ser necessária por razões de controle, mas, quando se transforma em silo e reduz a integração de sinais de risco, cria uma vulnerabilidade organizacional.

O cibercriminoso não respeita organogramas. O ataque começa no ambiente digital, compromete credenciais, engana o usuário ou o operador e termina numa transação autorizada - portanto, legítima aos olhos do sistema.

O conceito de Fusion SOC, centro de operações de segurança que integra detecção de ameaças cibernéticas e antifraude em tempo real, emerge como uma resposta estrutural possível.

A Febraban Tech de agosto de 2026 colocou esse tema no centro da agenda, com painéis envolvendo CISOs dos maiores bancos brasileiros e discussões sobre IA na linha de defesa, deepfakes e identidade digital. O debate chegou ao nível certo. O desafio agora é transformar essa convergência em arquitetura, processos e governança.

O novo vetor de risco: stablecoins, câmbio e regulação em construção

Enquanto o debate sobre fraude no Pix amadurece, um novo vetor de risco começa a tomar forma.

O Banco Central emitiu, em menos de dois meses, três decisões regulatórias sobre stablecoins: a Resolução BCB 561/2026, que a partir de 1º de outubro de 2026 impede o uso de ativos virtuais como meio de pagamento em operações de câmbio eletrônico, com incidência de IOF-Câmbio de 3,5%; a IN BCB 701/2026; e uma nota técnica ao Congresso reclassificando stablecoins como ativos do mundo real tokenizados, sujeitos ao regime regulatório do ativo subjacente.

Uma leitura estratégica possível é que o BC procura enquadrar as stablecoins no regime cambial antes que o mercado as consolide como alternativa ao sistema oficial. Esse movimento pode ser interpretado como proteção da soberania monetária e também como sinal de que o ecossistema de pagamentos digitais tende a se tornar mais regulado nos próximos 24 meses.

Isso cria risco regulatório para quem opera nesse espaço, mas também oportunidade para instituições que consigam antecipar cenários e adaptar seus modelos antes da consolidação das regras.

Há, porém, uma distinção importante: governança não significa necessariamente mais regulação. Significa clareza de responsabilidades, incentivos, controles, mecanismos de supervisão e capacidade de decisão. A regulação é uma das camadas desse sistema, não o sistema inteiro.

A regulação de stablecoins não precisa ser tratada como oposição à inovação. O ponto central é como estabelecer regras suficientemente claras para preservar confiança, sem eliminar a experimentação que produz novos modelos de negócio.

O padrão que se repete: infraestrutura avança, governança vem depois

Acompanho o ecossistema digital brasileiro desde os primeiros provedores de acesso à internet.

Há um padrão que se repete em cada ciclo de adoção tecnológica: o Brasil constrói infraestrutura com velocidade e competência acima da média global, mas costuma precisar de mais tempo para desenvolver a governança que torna essa infraestrutura sustentável.

Aconteceu com a internet discada nos anos 1990, quando a conectividade chegou antes da segurança.

Aconteceu com o e-commerce nos anos 2000, quando o volume de transações cresceu mais rápido que os mecanismos de proteção ao consumidor.

Aconteceu com as redes sociais na década seguinte, quando a escala de usuários chegou antes de frameworks maduros de responsabilização de plataformas. E esse mesmo desafio reaparece agora com o Pix.

O Drex, que o BC confirmou para 2026 com escopo inicial restrito a validação de garantias entre bancos, cartórios e corretoras, sem blockchain na fase inicial, oferece uma oportunidade para quebrar esse padrão: desenhar infraestrutura e governança de forma simultânea.

A oportunidade agora é incorporar as lições do Pix ao desenvolvimento do Drex em tempo real, fazendo tecnologia, responsabilidade e mecanismos de controle evoluírem juntos.

A ABRANET tem papel específico nesse ciclo: não é o de aprovar ou reprovar decisões do regulador, dos grandes bancos ou dos novos entrantes, mas o de antecipar as perguntas que o ecossistema ainda não está fazendo.

Qual é o modelo de responsabilização quando a fraude usa um sistema que funcionou exatamente como foi projetado?

Quem responde quando a inteligência artificial de uma instituição aprova uma transação legítima que foi manipulada por engenharia social?

Onde está a fronteira entre falha do sistema, falha do processo e falha do usuário numa arquitetura desenhada para ser cada vez mais invisível?

O que CEOs e conselhos precisam fazer agora

A primeira decisão é de nomenclatura. Enquanto fraude e cibersegurança forem reportadas ao conselho apenas como KPIs de TI, dificilmente receberão o tratamento estratégico que merecem. Risco financeiro-digital é risco de negócio. Deve estar no mesmo nível de atenção que risco de crédito, risco operacional e risco regulatório.

A segunda decisão é de arquitetura. Quando cibersegurança e antifraude operam como silos, com baixa integração entre dados, sinais e processos de decisão, cria-se uma vulnerabilidade organizacional. A integração não é apenas técnica: envolve processos, incentivos, governança e liderança. O Fusion SOC é um conceito operacional, mas sua implementação exige decisão estratégica no nível do C-suite.

A terceira decisão é de verificação. O caso Arup não é apenas uma anomalia; é um precedente. Processos que autorizam transferências de valor relevante com base exclusivamente em videoconferência ou comunicação digital precisam considerar um segundo canal de confirmação, fora de banda e independente do canal original. Isso não é paranoia: é controle interno adaptado ao contexto de deepfakes.

A quarta decisão é de antecipação regulatória. O movimento do BC sobre stablecoins e a agenda evolutiva do Pix sinalizam que o ambiente regulatório do sistema de pagamentos poderá mudar substancialmente até 2027. Instituições que esperarem o texto final para iniciar sua adaptação correm o risco de chegar tarde. A vantagem competitiva, nesse ciclo, pertence a quem acompanha e participa da construção das regras, e não apenas a quem reage ao seu cumprimento.

CEOs e conselhos precisam entender que sistemas antifraude, isoladamente, não são suficientes. A questão estratégica é como conectar tecnologia, pessoas, processos e responsabilidade antes que o próximo vetor de ataque se torne escala.

A pergunta que fica para o ecossistema é esta: quando a próxima onda de fraude chegar impulsionada por uma IA generativa ainda mais sofisticada e por vetores que hoje talvez nem conheçamos, vamos novamente construir a governança depois da escala ou, desta vez, conseguiremos fazer infraestrutura e governança evoluírem juntas?

Fontes

• Fraudes com Pix — R$ 4,9 bi e projeção R$ 12 bi até 2028: Finsiders Brasil, jul. 2026.

• Check Point — 1.968 ataques/semana no setor financeiro: TI Inside, mai. 2026.

• CrowdStrike — Brasil top 5 em ataques a bancos: Times Brasil | CNBC, jun. 2026.

• Fusão ciberataque e fraude — conceito Fusion SOC: Scunna, jan. 2026.

• Agenda Evolutiva do Pix 2026-2027: Matera, 2026.

• MED 2.0 — 6 novidades do Pix em 2026: Diário do Comércio, mai. 2026.

• BC restringe stablecoins — Resolução BCB 561/2026: Conjur, jun. 2026.

• O cerco do BC às stablecoins — três decisões: Conjur, jul. 2026.

• Drex 2026 — infraestrutura sem blockchain na fase inicial: Seu Crédito Digital, mar. 2026.

• Fraude transacional em tempo real — análise de risco dinâmica: Sala da Notícia, jul. 2026.

• Febraban Tech 2026 — trilha de cibersegurança: Central do Varejo, ago. 2026.

• LATAM e ameaças ao setor financeiro — análise para CISOs: Blaze InfoSec, mar. 2026.