Como Identity Security fortalece segurança do mercado financeiro, protegendo acessos, identidades e sistemas
Por Danny Kabiljo
O mercado financeiro é especialmente estratégico, essencial e tem sofrido profundas transformações. Trata-se de um ambiente altamente regulado, operações críticas e milhares de colaboradores, terceiros, fornecedores e parceiros com diferentes níveis de acesso a sistemas e informações internas. Nesse sentido, quando falamos de Identity Security, estamos falando justamente desse universo “da porta para dentro” das instituições.
Como garantir que quem é colaborador, terceiro ou fornecedor e está tentando acessar determinado ambiente, é efetivamente a identidade autorizada e, depois que o acesso é concedido, como assegurar que ela continue sendo a pessoa que utiliza aquela sessão?!
É justamente por isso que os dois pilares se tornam cada vez mais essenciais no mercado. O primeiro é o MFA biométrico facial, que reforça a segurança no login, adicionando biometria e prova de vida à autenticação e dificultando que uma credencial válida ou outro fator de autenticação, quando comprometido, seja suficiente para que uma pessoa não autorizada assuma aquela identidade. Depois, a validação contínua estende essa proteção ao período pós-login, porque o risco não necessariamente termina quando a autenticação é concluída.
Esse assunto ganhou ainda mais relevância diante da sucessão de incidentes cibernéticos que atingiu o ecossistema financeiro brasileiro desde 2025. Um dos casos mais emblemáticos foi o ataque envolvendo a C&M Software, em julho de 2025. A investigação apontou para comprometimento de credenciais e engenharia social.
Segundo a Associated Press, um funcionário de TI teria vendido suas credenciais aos criminosos. A Reuters informou que seis instituições tiveram acessos não autorizados a contas-reserva durante o ataque. Ou seja, é um caso especialmente relevante para a discussão de identidade porque demonstra que uma credencial tecnicamente válida pode estar nas mãos da pessoa errada.
Pouco depois, em agosto de 2025, a Sinqia sofreu um ataque ao ambiente utilizado para operações Pix. A Reuters reportou inicialmente desvios da ordem de R$400 milhões envolvendo o HSBC. O próprio Banco Central, em sua Agenda de Pesquisa 2026–2029, posteriormente passou a citar os ataques à C&M e à Sinqia como casos emblemáticos da crescente importância dos riscos cibernéticos para a estabilidade do Sistema Financeiro Nacional.
Os casos possuem características diferentes e seria incorreto afirmar que uma única tecnologia evitaria todos eles. O que eles demonstram, porém, é que a cibersegurança no sistema financeiro deixou definitivamente de ser apenas uma discussão sobre perímetro e senha.
A proteção passa também por aumentar a confiança sobre quem efetivamente está utilizando uma determinada identidade digital. Isso envolve autenticação forte desde o primeiro acesso, proteção das credenciais, gestão de colaboradores e terceiros, controle de privilégios, rastreabilidade e continuidade da segurança depois que a sessão já foi autenticada.
Essa mudança também aparece claramente na regulação. Em dezembro de 2025, o Conselho Monetário Nacional e o Banco Central publicaram dois novos normativos relevantes: Resolução CMN nº 5.274, de 18 de dezembro de 2025, que atualizou a Resolução CMN nº 4.893/2021; e Resolução BCB nº 538, de 18 de dezembro de 2025, que atualizou a Resolução BCB nº 85/2021 para instituições de pagamento, corretoras, distribuidoras e corretoras de câmbio. As novas exigências tiveram prazo de adequação até 1º de março de 2026.
Entre os pontos reforçados pelas normas estão autenticação, rastreabilidade, controles de acesso, monitoramento, proteção da rede e gestão de credenciais. A regulamentação passou inclusive a determinar mecanismos para limitar o acesso à rede corporativa a usuários credenciados e dispositivos autorizados, revisão periódica das permissões de acesso, com destaque específico para colaboradores terceirizados, e múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambientes externos.
As normas também reforçam a necessidade de identificar e tratar eventos atípicos no ambiente de produção, incluindo tentativas de acesso privilegiado, e estabelecem requisitos de monitoramento de conexões com ambientes externos. Para Pix e STR, há ainda exigências específicas de MFA para acessos administrativos e isolamento dos ambientes críticos.
A regulamentação não determina literalmente que as instituições façam uma validação biométrica contínua da identidade durante toda a sessão, mas ela deixa muito clara a evolução do controle sobre quem acessa, como acessa, quais permissões possui, como aquele acesso é monitorado e qual evidência fica registrada.
Por fim, acredito que devemos estimular cada vez mais as conversas com bancos, instituições financeiras, fintechs, empresas de tecnologia e potenciais parceiros sobre essa evolução da segurança de identidade e mostrar, na prática, como podemos implementar as estruturas de IAM e cibersegurança que essas instituições já possuem.
Identidade Digital: Guardiã de Ambientes Eletrônicos sem Fronteiras
Identidade Digital não é Identificação Digital e essa confusão custa caro. Por Susana Taboas
Identidade Digital
Na era da computação quântica gestão de identidade deixa de ser um recurso técnico e passa a ser um ativo estratégico de governança. A gestão de credenciais eletrônicas passou a ser a prioridade número 1 para os CISOs do mundo todo.
Leia mais sobre esse tema aqui! Falamos sobre identificação digital com esse foco desde 2014.
Conheça nossa coluna sobre o Mercado Financeiro, leia outros artigos e acompanhe os principais eventos do setor. Somos oficialmente parceiros de mídia do Febraban Tech.
