O Banco Central não parou nas regras de pentest obrigatório para bancos e fintechs. Em paralelo, ele está reescrevendo as regras de segurança operacional do Pix — e já tirou empresas do ecossistema por falha nesses controles. Para quem opera como instituição de pagamento, fintech ou fornecedor de tecnologia conectado ao Pix, 2026 trouxe uma nova resolução em vigor e uma agenda de oito frentes antifraude em andamento no Fórum Pix. Isso muda o que o Banco Central espera em termos de segurança técnica — e o que ele vai fiscalizar a partir de agora.

Resolução BCB 554/2026: Segurança Operacional da Conta PI

Em março de 2026, o Banco Central publicou a Resolução BCB nº 554/2026, alterando as regras do Sistema de Pagamentos Instantâneos (SPI) e da Conta PI (a conta que cada participante direto usa para liquidar operações do Pix em tempo real). O objetivo declarado é "fortalecer a segurança operacional e o gerenciamento da Conta PI" — na prática, reduzir a janela de exposição quando uma conta de liquidação é comprometida ou mal gerenciada.

A resolução trouxe três mudanças concretas:

• Saldo mínimo operacional: a Conta PI passa a ter um piso de saldo, para evitar que a liquidação de operações dependa de aportes de última hora.
• Bloqueio automático: a conta pode ser bloqueada automaticamente quando critérios de risco são acionados, sem depender de uma ação manual que pode demorar horas.
• Canal alternativo de extrato: participantes passam a ter uma via adicional para consultar o extrato da Conta PI, reduzindo a dependência de um único canal em caso de indisponibilidade.

A Agenda Antifraude do Pix: 8 Frentes em Andamento

O Relatório de Gestão do Pix 2026 do Banco Central detalha oito iniciativas que devem chegar às instituições nos próximos ciclos regulatórios. Nenhuma está 100% implementada, mas todas sinalizam onde o DICT (o diretório que vincula chaves Pix a CPF/CNPJ) e os sistemas antifraude das instituições vão precisar evoluir:

1. Critério objetivo de fraude: hoje cada instituição define sozinha o que é "fundada suspeita" de fraude. O BC quer um critério único, para acabar com o tratamento desigual entre instituições.
2. Indicador de risco em tempo real: um score de probabilidade de fraude calculado de forma centralizada, com machine learning sobre o histórico de marcações, disponível para os sistemas antifraude das instituições.
3. Bloqueio cautelar mais rápido: um fluxo automatizado entre a instituição do recebedor e a do pagador, para agilizar a troca de informação quando uma transação é bloqueada por suspeita.
4. Mais opções de bloqueio parcial: medidas intermediárias — como restringir cadastro de novas chaves ou limitar valores e horários — em vez do bloqueio total como única ferramenta.
5. Alerta de golpe padronizado: hoje, alguns participantes já avisam o cliente quando identificam risco na hora da transação. O BC discute tornar isso obrigatório, com formato único.
6. Mais controle do BC sobre chaves problemáticas: hoje só a instituição cria, altera e exclui chaves Pix. O BC quer poder agir diretamente sobre chaves comprometidas, sem esperar a instituição.
7. Segunda camada de verificação no DICT: cruzamento adicional de nome e CPF/CNPJ contra a Receita Federal, bloqueando chaves não conformes até correção.
8. Iniciadores de pagamento dentro do MED: hoje quem inicia pagamentos via Open Finance não está integrado ao Mecanismo Especial de Devolução, o que dificulta rastrear fraude nesse canal.

Quem Precisa Prestar Atenção

Essa agenda não é só para os cinco maiores bancos. Ela alcança:

• Instituições de pagamento e fintechs com conta digital conectada ao Pix;
• Participantes diretos do SPI, que precisam se adequar à gestão de Conta PI da Resolução 554/2026;
• Iniciadores de pagamento em Open Finance, que entrarão no radar do MED;
• Fornecedores de processamento, armazenamento e nuvem que sustentam essas operações — cada vez mais tratados pelo Banco Central como parte da superfície de risco, não como terceiros isentos de escrutínio.

Como se Preparar Antes que a Fiscalização Chegue

1. Mapeie onde sua Conta PI e seus sistemas de liquidação dependem de processos manuais — saldo, bloqueio e consulta de extrato são os três pontos que a Resolução 554/2026 já cobra.
2. Revise os critérios internos de detecção de fraude contra o que o BC está padronizando, para não ter que refazer o modelo inteiro quando o critério objetivo virar norma.
3. Teste a resiliência do DICT e dos fluxos de chave na sua integração — é exatamente esse ponto que um teste de intrusão bem escopado valida antes que a segunda camada de verificação do BC exponha uma falha publicamente.
4. Trate fornecedores de nuvem e processamento como parte do escopo de teste, não como uma caixa-preta terceirizada — é para onde a fiscalização está se movendo.

Onde Isso se Cruza com o Pentest Obrigatório

Essa agenda antifraude do Pix caminha junto com outra mudança regulatória que já está em vigor: desde 1º de março de 2026, a Resolução BCB 538/2025 tornou o pentest anual obrigatório para bancos, instituições de pagamento e corretoras. Quem já fez esse teste de intrusão como parte da conformidade regulatória tem uma base sólida para também validar os pontos que a Resolução 554/2026 e a agenda antifraude do Pix estão cobrando — contanto que o escopo inclua Conta PI, integrações de chave e fornecedores de nuvem. Isso também se conecta com as mudanças que a Resolução BCB 498/2025 trouxe para PSTIs, que compartilham boa parte dessa mesma infraestrutura de pagamento.

A LDL Security já conduz testes de intrusão para fintechs e instituições de pagamento com esse cenário regulatório em mente — escopo que cobre API de pagamento, integração com o Pix e a infraestrutura de nuvem por trás dela, com relatório técnico, plano de ação e reteste incluído.

Fale com a LDL Security sobre pentest para fintechs e instituições de pagamento →