Hackers exploram falha e deixam Pix do Banco do Nordeste fora do ar

Segundo as informações divulgadas, o problema não partiu diretamente dos sistemas centrais do banco, mas de uma vulnerabilidade encontrada em um prestador de serviço de tecnologia. Esse detalhe é crucial, porque mostra que o risco no sistema financeiro não está apenas dentro dos grandes bancos, mas também na cadeia de empresas terceirizadas que operam sistemas, conexões e infraestrutura.

O banco informou ainda que não houve vazamento de dados nem prejuízo às contas dos clientes. Mesmo assim, como medida de segurança, o serviço Pix foi temporariamente suspenso para análise técnica mais aprofundada e retomada segura das operações.

Leia mais:

Seu INSS pode parar! Saiba por que quem não foi encontrado pode perder o pagamento

Como o ataque aconteceu na prática

O ponto de entrada do ataque foi uma falha em um prestador de serviço que atuava junto à instituição financeira. Os criminosos conseguiram explorar essa brecha para realizar operações fraudulentas, mas não diretamente nas contas dos correntistas.

As movimentações ocorreram em uma chamada conta bolsão vinculada à empresa prestadora de serviços. Isso muda o foco do risco: o alvo não foi o dinheiro das pessoas físicas ou empresas clientes do banco, mas recursos concentrados em uma estrutura operacional ligada ao serviço.

O que é uma conta bolsão

Contas bolsão são contas correntes abertas por fintechs ou empresas de menor porte que não possuem acesso direto ao Sistema Brasileiro de Pagamentos (SPB). O SPB é o conjunto de sistemas que conecta bancos, instituições de pagamento e o próprio Banco Central, permitindo transferências, liquidação de operações e funcionamento do Pix.

Essas contas funcionam como um “intermediário”. A fintech usa essa conta para concentrar valores de várias operações, repasses e liquidações. O problema é que, em alguns modelos, a rastreabilidade e o detalhamento da origem dos recursos podem ser mais limitados do que em contas tradicionais, o que já despertou alertas de órgãos de controle.

Esse tipo de estrutura já foi citado em investigações sobre lavagem de dinheiro, justamente pela dificuldade histórica de fiscalização detalhada. No caso do ataque ao Banco do Nordeste, a conta bolsão virou o ponto de impacto das transações fraudulentas.

Pix foi afetado? O que o banco informou

O Banco do Nordeste comunicou que o incidente envolveu a infraestrutura de transações Pix. Como medida preventiva, o serviço foi suspenso temporariamente.

Isso não significa que o sistema Pix como um todo, operado nacionalmente sob coordenação do Banco Central, tenha sido invadido. O que ocorreu foi um problema localizado na integração do banco com essa infraestrutura, por meio do prestador de tecnologia.

A instituição afirmou:

• Não houve identificação de vazamento de dados de clientes
• Não foram detectados prejuízos às contas dos correntistas
• As equipes técnicas estão em contato com o Banco Central
• O foco é retomar o Pix com segurança o mais rápido possível

Essa postura segue o padrão de gestão de incidentes exigido de instituições financeiras reguladas, que envolve comunicação ao regulador, contenção, investigação forense e só depois a normalização dos serviços.

O papel do Banco Central e as novas regras para prestadores de TI

O ataque ocorre em um momento em que o Banco Central já vinha apertando o cerco regulatório sobre empresas de tecnologia que prestam serviços ao sistema financeiro.

Em setembro de 2025, o BC alterou os requisitos para credenciamento dos PSTIs, os Prestadores de Serviço de Tecnologia da Informação que atuam para instituições financeiras e de pagamento. Essas empresas são responsáveis por sistemas críticos, como processamento de transações, integrações com o Pix e infraestrutura de dados.

Entre as mudanças mais relevantes estão:

• Exigência de capital mínimo de R$ 15 milhões
• Regras mais rígidas de governança corporativa
• Obrigação de políticas formais de gestão de riscos
• Controles mais robustos de segurança cibernética
• Maior responsabilidade sobre continuidade de negócios

Antes dessas regras, não havia um piso mínimo de capital, o que permitia que empresas com estrutura financeira limitada operassem sistemas sensíveis. O caso do Banco do Nordeste reforça, na prática, por que o regulador decidiu endurecer os critérios.

O que esse caso mostra sobre o risco cibernético no Brasil

O episódio evidencia três pontos centrais sobre segurança no sistema financeiro brasileiro.

1. O elo fraco pode estar fora do banco

Mesmo grandes instituições, com equipes robustas de segurança, dependem de fornecedores externos. Se um prestador de serviço falha em proteção, atualização de sistemas ou monitoramento de ameaças, todo o ecossistema pode ser afetado.

Isso é conhecido como risco de terceiros, hoje uma das maiores preocupações em compliance e gestão de riscos no setor financeiro.

2. Ataques não precisam atingir clientes para serem graves

Ainda que não tenha havido prejuízo direto aos correntistas, o impacto institucional é relevante. Suspensão de Pix, investigação técnica, comunicação ao mercado e possível repercussão regulatória geram custos operacionais, reputacionais e jurídicos.

Para um banco público, o impacto também é político e institucional, pois envolve confiança da população e do mercado.

3. O Pix é seguro, mas depende da segurança dos participantes

O sistema Pix é estruturado com padrões elevados de segurança definidos pelo Banco Central. Porém, cada instituição participante é responsável por sua própria infraestrutura e por seus fornecedores.

Um incidente como esse não significa que o Pix é inseguro, mas sim que a segurança do ecossistema depende da soma das práticas de cada participante e de seus parceiros tecnológicos.

O que o cliente do Banco do Nordeste deve fazer

Mesmo com a informação de que não houve prejuízo às contas dos clientes, a situação naturalmente gera preocupação. Algumas atitudes práticas ajudam a reforçar a proteção individual:

• Acompanhar o aplicativo e o internet banking para verificar movimentações
• Ativar alertas de transações, quando disponíveis
• Não compartilhar senhas, códigos de verificação ou dados por telefone ou mensagem
• Desconfiar de contatos que usem o ataque como pretexto para pedir informações
• Utilizar apenas canais oficiais do banco

Golpistas costumam aproveitar notícias de ataques para aplicar fraudes de engenharia social, fingindo ser do banco ou do Banco Central.

Impactos regulatórios e tendência para o futuro

Casos como esse costumam acelerar mudanças regulatórias. É provável que:

• O Banco Central intensifique auditorias e fiscalizações sobre PSTIs
• Bancos passem a exigir mais garantias contratuais de segurança de seus fornecedores
• A due diligence de tecnologia se torne ainda mais profunda
• Haja pressão por maior transparência sobre incidentes cibernéticos

O sistema financeiro brasileiro já é considerado um dos mais avançados em regulação digital, mas a sofisticação dos ataques também cresce. O foco deixa de ser apenas proteção interna e passa a abranger toda a cadeia de tecnologia.

Conclusão

O ataque hacker ao Banco do Nordeste não resultou, até o momento, em prejuízo às contas de clientes nem em vazamento de dados, mas expôs uma vulnerabilidade importante: a dependência de prestadores de serviço de tecnologia.

O episódio reforça a importância das novas regras do Banco Central para PSTIs, da gestão rigorosa de risco de terceiros e da necessidade de segurança cibernética como prioridade estratégica no setor financeiro. Para o consumidor, a principal mensagem é manter atenção, usar canais oficiais e entender que a proteção do sistema envolve tanto instituições quanto usuários.

Não perca nenhuma oportunidade de crédito e pagamento: acesse agora nossas últimas notícias no Seu Crédito Digital.