Fintechs e instituições financeiras de menor porte no Brasil enfrentam risco cibernético mais elevado que os grandes bancos, segundo relatório divulgado pela agência de classificação de risco Fitch.
Instituições de grande porte têm blindagem mais robusta
A Fitch explica que as principais instituições bancárias do país contam com sistemas proprietários desenvolvidos há décadas e equipes dedicadas à segurança da informação, o que reduz a probabilidade de impactação significativa em caso de incidentes. Ainda assim, a agência alerta que a crescente sofisticação dos ataques faz com que o porte e a capacidade financeira se tornem fatores cada vez menos determinantes para impedir invasões.
Dependência de terceiros eleva vulnerabilidade
Bancos digitais e fintechs costumam recorrer a provedores de serviços de tecnologia da informação (PSTIs) e a softwares de terceiros para operar suas plataformas. Essa prática amplia a superfície de ataque e, consequentemente, a exposição a vazamentos de dados. O estudo menciona a invasão recente a um pequeno banco digital, onde credenciais comprometidas de um fornecedor permitiram o acesso a informações sensíveis de milhares de clientes.
Outra ocorrência destacada ocorreu em junho, quando uma empresa de software voltada a PSTIs sofreu ataque que evidenciou a fragilidade de soluções terceirizadas. A Fitch ressalta que, embora o Banco Central valide os PSTIs, essas empresas não são reguladas como instituições financeiras, o que aumenta o desafio regulatório.
Perdas globais somam US$ 2,5 bilhões desde 2017
Dados do Fundo Monetário Internacional citados pela Fitch mostram que, no mundo, as perdas financeiras decorrentes de incidentes cibernéticos quadruplicaram desde 2017, chegando a US$ 2,5 bilhões. Em 2024, o setor financeiro global registrou 1.510 ataques, crescimento de 30% na comparação anual.
No Brasil, o sistema de pagamentos instantâneos Pix registrou 48 milhões de chaves vazadas — 5,6% do total de 858 milhões — em mais de 20 incidentes desde a sua implantação, em novembro de 2020.
Metodologia de rating não incorpora risco cibernético ex-ante
A Fitch afirma que seus critérios de classificação não incluem eventos cibernéticos inesperados, como também não consideram desastres naturais, até que ocorram. Mesmo assim, esses fatores entram na avaliação de risco não financeiro do emissor, que leva em conta cultura digital, treinamento de funcionários e transparência com clientes.
Imagem: geralt via valor.globo.com
Para mitigar vulnerabilidades, o Banco Central tem editado novas regras específicas para provedores de tecnologia, buscando reduzir a frequência e o impacto de ataques.
O aumento da complexidade das investidas virtuais reforça a necessidade de investimentos contínuos em defesa cibernética por parte de todas as instituições, especialmente aquelas mais dependentes de soluções terceirizadas.
Quer saber mais sobre como a transformação digital afeta o sistema financeiro brasileiro? Confira a seção de Economia do nosso site e mantenha-se atualizado.
Com informações de Valor Econômico