O Brasil entrou no grupo dos cinco principais alvos mundiais de ataques cibernéticos contra o setor financeiro, em um cenário no qual o interesse dos criminosos deixou de se limitar ao roubo direto de dinheiro e passou a incluir credenciais, informações estratégicas, dados econômicos e espionagem. A posição brasileira reflete uma combinação que tornou o país particularmente atraente para invasores: um sistema financeiro de grande porte, forte digitalização bancária, pagamentos instantâneos amplamente utilizados e uma quantidade crescente de operações realizadas por aplicativos, APIs e infraestrutura em nuvem.
O quadro aparece no Financial Services Threat Landscape Report 2026, da CrowdStrike, que analisou ameaças observadas entre abril de 2025 e março de 2026. Globalmente, o setor financeiro foi o quarto mais atingido pelos adversários monitorados pela empresa e respondeu por 12% de toda a atividade observada. As chamadas intrusões interativas — situações em que o criminoso obtém acesso e passa a operar diretamente dentro do ambiente comprometido — aumentaram 43% em dois anos.
O dado brasileiro não deve ser interpretado simplesmente como evidência de que os bancos do país sejam tecnologicamente mais frágeis do que seus pares internacionais. Há outra explicação importante: quanto maior a digitalização e mais valiosos os sistemas conectados, maior o incentivo econômico para atacá-los. O Brasil reúne algumas das maiores instituições financeiras da América Latina, fintechs com milhões de clientes e um sistema de pagamentos instantâneos que movimenta recursos em poucos segundos, o que transforma credenciais legítimas e acessos internos em ativos extremamente valiosos para grupos criminosos.
A avaliação coincide com uma análise recente do Fundo Monetário Internacional, que classificou as ameaças cibernéticas como um risco relevante para a estabilidade financeira brasileira. Em relatório publicado em julho, o FMI destacou especificamente ataques a prestadores de tecnologia conectados ao Pix, ameaças internas, grandes golpes digitais e riscos decorrentes da elevada digitalização do sistema financeiro. O organismo considerou a estrutura de supervisão brasileira amplamente alinhada aos padrões internacionais, mas apontou necessidade de reforço em testes, segurança de APIs e supervisão de riscos tecnológicos.
Crime digital já não depende necessariamente de instalar vírus
Uma das mudanças mais importantes observadas nos ataques recentes é justamente aquilo que muitas vezes não aparece no computador da vítima. O modelo tradicional de segurança foi construído durante anos para encontrar arquivos maliciosos, programas suspeitos e códigos conhecidos como malware. Os adversários atuais, entretanto, conseguem em muitos casos operar com credenciais verdadeiras, ferramentas legítimas de administração e serviços normalmente utilizados pelas próprias empresas.
O criminoso pode obter a senha de um funcionário por phishing, uma ligação falsa de suporte técnico ou por informações vazadas anteriormente. Depois de entrar com uma identidade aparentemente válida, procura ampliar privilégios, alcançar sistemas mais sensíveis e movimentar-se de um ambiente para outro. Para mecanismos tradicionais de defesa, parte dessas atividades pode parecer semelhante à rotina de um empregado autorizado.
A dimensão dessa mudança aparece no Global Threat Report 2026 da CrowdStrike. Segundo a companhia, 82% das detecções realizadas em 2025 não envolveram malware, enquanto o tempo médio necessário para criminosos de e-crime avançarem do primeiro computador comprometido para outros recursos dentro da organização caiu para apenas 29 minutos. No caso mais rápido registrado, foram necessários somente 27 segundos.
O significado operacional desses números é direto. Uma instituição que depende de investigar manualmente um alerta e decidir horas depois se deve bloquear determinado usuário pode estar trabalhando numa escala de tempo completamente diferente daquela dos invasores. Quando a fraude envolve um ambiente de pagamentos, a diferença entre detectar uma credencial comprometida em dois minutos ou em duas horas pode representar a diferença entre interromper uma tentativa e descobrir o problema somente depois das transferências.
PLUMP SPIDER mostra que Brasil também exporta cibercrime
O Brasil aparece no relatório não apenas como vítima. Um dos grupos acompanhados pela CrowdStrike é o PLUMP SPIDER, adversário classificado pela empresa como originário do Brasil e motivado por ganho financeiro. O grupo atua pelo menos desde setembro de 2023 e se especializou justamente em instituições financeiras e empresas que prestam serviços financeiros no país.
Seu objetivo é especialmente sensível: conseguir acesso a sistemas internos de pagamentos e realizar transações fraudulentas. Para entrar nas organizações, o grupo utiliza engenharia social e técnicas como vishing, em que criminosos telefonam para funcionários fingindo representar áreas de tecnologia ou suporte. A vítima é induzida a fornecer informações ou instalar ferramentas que permitem acesso remoto ao ambiente corporativo.
Durante o período analisado no novo relatório, o PLUMP SPIDER combinou engenharia social com operações conduzidas diretamente dentro dos sistemas comprometidos. Documentação técnica da CrowdStrike registra campanhas em que o grupo recorreu a ferramentas de acesso remoto, coleta de credenciais de navegadores e técnicas destinadas a alcançar a infraestrutura financeira da vítima.
Esse modelo ajuda a explicar por que a proteção do sistema financeiro deixou de ser apenas uma disputa entre antivírus e vírus. A porta de entrada pode ser o funcionário que recebe uma ligação convincente, o administrador que digita credenciais em uma página falsificada ou uma conta legítima comprometida por informações capturadas meses antes.
IA torna golpe mais barato e convincente
A inteligência artificial acrescentou outra camada de dificuldade. De acordo com o relatório global da CrowdStrike, as operações conduzidas por adversários que utilizam IA avançaram 89% em 2025. As ferramentas são empregadas para produzir mensagens mais naturais, automatizar pesquisas sobre as vítimas, construir identidades falsas, gerar conteúdo de engenharia social e acelerar etapas que anteriormente dependiam de trabalho manual.
Para o setor financeiro brasileiro, o problema é particularmente relevante porque boa parte das fraudes depende de confiança. Um e-mail mal escrito que supostamente veio do diretor financeiro é relativamente fácil de desconfiar. Uma mensagem produzida com vocabulário correto, referências reais à empresa e informações obtidas em redes sociais pode ser muito mais eficiente. O mesmo vale para chamadas de voz e, cada vez mais, para vídeos ou imagens sintéticas utilizados para imitar pessoas conhecidas.
A IA também reduz o custo de preparar ataques personalizados. Antes, estudar uma companhia, identificar seus executivos e produzir comunicações específicas exigia tempo. Sistemas automatizados permitem que criminosos façam parte desse trabalho em grande escala, tornando economicamente viáveis ataques direcionados até mesmo a funcionários de níveis intermediários.
Espionagem chinesa acrescenta outro objetivo: informação
Nem todos os adversários que procuram instituições financeiras brasileiras estão atrás de transferências bancárias. A CrowdStrike também identificou operações atribuídas ao HOLLOW PANDA, grupo associado pela empresa a interesses chineses, contra instituições financeiras no Brasil, Filipinas e Indonésia.
Nesse tipo de operação, o objetivo é diferente do golpe bancário convencional. Grupos vinculados a Estados podem buscar informações econômicas, dados sobre investimentos, estratégias empresariais, propriedade intelectual e conhecimento sobre setores relevantes para decisões geopolíticas. A CrowdStrike classifica os adversários ligados à China como uma das principais ameaças de coleta de inteligência contra o setor financeiro.
A presença desse tipo de adversário muda a dimensão do problema brasileiro. Um banco não guarda apenas depósitos e dados cadastrais de pessoas físicas. Grandes instituições possuem informações sobre operações empresariais, aquisições, investimentos internacionais, financiamento de infraestrutura, commodities, fluxos de capital e decisões ainda não divulgadas ao mercado. Para um serviço de inteligência estrangeiro, determinados dados podem ser mais valiosos do que o dinheiro disponível numa conta.
Por isso, a fronteira entre segurança bancária e segurança econômica nacional tornou-se menos evidente. Um incidente capaz de expor informações de grandes companhias ou movimentações estratégicas pode produzir consequências que ultrapassam o prejuízo da instituição atacada.
Ransomware também aumentou pressão sobre bancos e financeiras
O estudo encontrou ainda um aumento das operações de extorsão contra o setor. Entre abril de 2025 e março de 2026, o número de organizações financeiras listadas em sites utilizados por grupos de ransomware cresceu 27%, chegando a 423 vítimas identificadas pela CrowdStrike.
Ransomware moderno deixou há muito tempo de consistir apenas em criptografar computadores e exigir dinheiro para devolver os arquivos. Os grupos normalmente procuram primeiro copiar dados sensíveis, ampliar acessos e identificar aquilo que poderá provocar maior pressão sobre a vítima. A ameaça passa a combinar paralisação operacional com divulgação de informações confidenciais.
Para um banco, seguradora ou fintech, a possibilidade de indisponibilidade de sistemas é especialmente sensível. O negócio financeiro depende da confiança de que pagamentos serão processados, contas permanecerão acessíveis e transações serão registradas corretamente. Mesmo quando os recursos dos clientes não são diretamente atingidos, uma interrupção prolongada pode produzir efeitos reputacionais e regulatórios importantes.
Pix amplia eficiência — e aumenta o valor do acesso criminoso
A digitalização brasileira precisa ser colocada em perspectiva. O Pix transformou a infraestrutura de pagamentos do país e foi destacado pelo próprio FMI como uma mudança estrutural do sistema financeiro. Essa eficiência, porém, também reduz o tempo disponível para interromper determinadas fraudes.
Isso não significa que o Pix seja inerentemente inseguro. O ponto é que um sistema capaz de movimentar dinheiro praticamente em tempo real aumenta o valor de um acesso criminoso bem-sucedido. Se um invasor alcança uma infraestrutura de pagamento ou consegue utilizar credenciais legítimas com privilégios elevados, o dano potencial pode ser produzido rapidamente.
O Banco Central vem alterando suas regras diante da evolução dessas ameaças. Em agosto, a autarquia publicou a Resolução BCB nº 584, ampliando e atualizando procedimentos e controles de prevenção a fraudes na prestação de serviços de pagamento e incluindo também atividades relacionadas a ativos virtuais. A mudança mostra que o risco deixou de ser restrito à infraestrutura bancária tradicional e passou a exigir controles sobre um ecossistema financeiro cada vez mais amplo.
O elo mais vulnerável pode estar fora do banco
Outro ponto de atenção está nos fornecedores. Instituições financeiras utilizam empresas de tecnologia, serviços em nuvem, plataformas antifraude, softwares corporativos e uma extensa rede de terceiros. O banco pode possuir controles sofisticados e ainda assim sofrer consequências de uma invasão iniciada em uma companhia conectada à sua infraestrutura.
O FMI mencionou explicitamente esse risco ao avaliar o Brasil e recomendou maior atenção a APIs, testes de segurança e dependências tecnológicas. A questão é importante porque a expansão do Open Finance e das integrações digitais aumenta a quantidade de conexões legítimas existentes entre empresas. Quanto mais pontos de comunicação, maior a necessidade de controlar identidades, permissões e comportamentos anômalos.
Não se trata de interromper a digitalização. O mesmo processo que amplia a superfície de ataque também tornou pagamentos mais baratos, aumentou a competição bancária e permitiu o surgimento de novos serviços. O desafio passa a ser projetar a segurança levando em conta que uma credencial válida pode estar nas mãos erradas e que um fornecedor autorizado pode se transformar em caminho para uma infraestrutura crítica.
Brasil está no centro porque seu sistema financeiro também está
A posição brasileira entre os principais alvos globais precisa, portanto, ser interpretada para além de uma estatística negativa. O país ganhou relevância no mapa do cibercrime porque possui um sistema financeiro grande, digitalizado e capaz de movimentar recursos rapidamente. Ao mesmo tempo, essa infraestrutura concentra uma quantidade extraordinária de informações pessoais, empresariais e econômicas.
Essa combinação atrai três tipos diferentes de adversários que podem inclusive utilizar técnicas semelhantes: criminosos interessados em dinheiro, grupos especializados em extorsão e atores ligados a Estados em busca de inteligência.
O problema deixou de ser apenas impedir que alguém “invada um computador”. A batalha agora envolve descobrir quando uma identidade legítima passou para o controle de um criminoso, identificar comportamento anormal em segundos, proteger sistemas distribuídos entre empresas e nuvens e distinguir uma operação verdadeira de outra executada por alguém que possui as credenciais corretas.
Os dados da CrowdStrike mostram a velocidade dessa mudança. Intrusões interativas cresceram 43%, ataques apoiados por IA avançaram 89% e um adversário pode sair do primeiro acesso para outros sistemas em menos de meio minuto.
O Brasil não chegou ao centro do mapa mundial das ameaças financeiras apenas porque os criminosos ficaram mais agressivos. Chegou porque seu dinheiro, seus dados e sua infraestrutura digital passaram a valer mais para eles.
