Cibersegurança e sistemas para o setor financeiro

Em dezembro de 2025, a Resolução CMN nº 5.274 atualizou a 4.893, e a Resolução BCB nº 538 alterou na mesma linha a Resolução BCB nº 85, com adequação exigida até 1º de março de 2026. As normas passaram a listar controles mínimos obrigatórios, como autenticação multifator, prevenção de vazamento de dados, gestão de vulnerabilidades e trilha de auditoria, e a exigir teste de intrusão ao menos uma vez por ano, feito por profissional ou empresa independente.

As regras pedem independência e imparcialidade na execução, por profissional ou empresa especializada contratada. Os resultados e o plano de ação precisam ficar documentados e à disposição do Banco Central. Uma empresa externa atende a esse requisito e entrega o relatório no formato que a auditoria costuma pedir.

O relatório documenta escopo, metodologia, achados, severidade e status de correção, que é o que auditores internos e externos costumam pedir como evidência dos testes previstos na política de segurança cibernética. Após as correções, o reteste registra quais vulnerabilidades foram de fato eliminadas.

Sim. Limites de transferência, estornos, cadastro de novo aparelho e recuperação de conta entram no escopo, porque no setor financeiro são essas regras de negócio que causam a maior parte do prejuízo. Testamos o que acontece quando uma requisição é repetida, alterada ou enviada fora de ordem.

Sim. A regulação exige que a instituição avalie os prestadores de serviço que acessam seus dados e sistemas, inclusive os de nuvem. Em julho de 2025, um ataque a um prestador de tecnologia que conectava instituições ao Pix desviou recursos de contas de reserva e levou o Banco Central a suspender o acesso dessas instituições. Portais e integrações de parceiros podem entrar no escopo do teste.

As regras do Pix exigem gerenciamento de risco de fraude, limites menores para aparelhos nunca usados pelo cliente e, com o MED 2.0, contestação por fraude no próprio aplicativo. Na prática, o app precisa vincular o aparelho à conta com segurança, pedir confirmação adicional em mudanças sensíveis e registrar eventos para a análise antifraude.

Sim. Construímos portais, aplicativos e integrações com APIs bancárias, com baixa automática por webhook validado, idempotência e conciliação, e a mesma equipe que testa segurança revisa o código antes da entrega.

Sim. O setor financeiro está entre os atendidos pela Tox em contrato contínuo. Por confidencialidade, não divulgamos o que foi feito para cada instituição.