A segurança cibernética no setor financeiro deixou de ser um projeto que se implementa uma vez e permanece estável por anos: virou uma corrida contra um adversário que muda de método antes de qualquer política terminar de ser assinada.
Em uma mesa de operações, um analista identifica um padrão de fraude que não constava em nenhum manual de três meses atrás, enquanto o protocolo de resposta ainda cita ameaças que o atacante já abandonou.
Este artigo propõe um recorte diferente sobre segurança cibernética bancária: como o ritmo de atualização do conhecimento das equipes, e não só da tecnologia, se tornou o verdadeiro teste de resiliência regulatória do setor.
Bancos brasileiros tratam a segurança cibernética como prioridade máxima, mas normas recentes como a Resolução BCB nº 538/2025 e a CMN nº 5.274/2025 deixam claro que política escrita não basta: é preciso comprovar, com evidência, que o controle funciona na prática.
O ponto mais difícil de comprovar não é a tecnologia, é a velocidade com que o conhecimento da equipe acompanha uma ameaça que muda de tática a cada poucos meses. Esse descompasso entre a atualização da norma, da ameaça e do preparo das pessoas é o problema que este artigo detalha, e a solução passa por tratar a atualização de conhecimento como rotina operacional, não como projeto pontual.
Segurança cibernética bancária não é mais sinônimo apenas de firewall, criptografia ou autenticação multifator. Na prática, é a capacidade de um banco provar, a qualquer momento e para qualquer órgão regulador, que cada camada de proteção, tecnológica, processual e humana, está ativa, testada e atualizada frente ao cenário de ameaça do momento, não ao cenário de um ano atrás.
Essa mudança de régua ficou explícita com a Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025, publicadas em 18 de dezembro de 2025, que alteram o arcabouço de segurança cibernética para instituições financeiras e de pagamento no Brasil. O texto normativo deixa de aceitar apenas a existência de políticas formais e passa a exigir controles mínimos comprovadamente implementados e auditáveis, com prazo de adequação até 1º de março de 2026.
Na prática, isso quer dizer que a régua de exigência deixou de ser “a política existe” e passou a ser “dá para provar que ela funciona todos os dias, com quem está na ponta da operação”.
Até pouco tempo, um banco podia demonstrar conformidade em segurança da informação apresentando um documento de política interna, assinado e arquivado. A Resolução BCB nº 538/2025, que altera a Resolução BCB nº 85/2021, e a Resolução CMN nº 5.274/2025, que atualiza a Resolução CMN nº 4.893/2021, mudam esse critério.
A partir de agora, a instituição precisa comprovar, com evidência operacional, que o controle está de fato em funcionamento, não apenas registrado em papel.
Essa exigência afeta diretamente qualquer programa de atualização de conhecimento dentro do banco. Não basta que o colaborador tenha sido convocado para um módulo sobre phishing ou engenharia social; é preciso demonstrar, com trilha auditável, que ele concluiu o conteúdo, foi avaliado e absorveu o comportamento esperado. A régua de prova passou da intenção para o resultado mensurável.
O Febraban Tech 2026 dedicou uma trilha inteira, batizada de “A guerra invisível da cibersegurança”, a discutir como fraude sintética, deepfakes e engenharia social evoluem explorando não só falhas técnicas, mas a confiança nas interações digitais. O relatório M-Trends 2026, da Mandiant, reforça o tamanho do problema ao apontar que o setor financeiro responde por 14,6% das investigações globais de incidentes cibernéticos, uma fatia desproporcional diante do número de setores existentes.
Um golpe novo pode circular entre fraudadores em semanas; um ciclo tradicional de atualização de conteúdo interno em um banco, historicamente, é anual. Esse intervalo é exatamente o espaço em que a maior parte das fraudes bem-sucedidas encontra terreno: não porque a tecnologia falhou, mas porque o profissional na ponta ainda operava com o repertório do ciclo anterior.
As novas resoluções também exigem controles mínimos de autenticação robusta e monitoramento contínuo, o que amplia o escopo do que precisa ser evidenciado além da infraestrutura de TI. Isso inclui rastrear quem acessou qual sistema, com qual nível de permissão, e se aquele acesso é compatível com a função exercida, um princípio já presente na Lei Geral de Proteção de Dados (LGPD) quanto à minimização de acesso a dados pessoais.
Quando a equipe vira parte do sistema auditável, a atualização de conhecimento deixa de ser apenas boa prática de RH e passa a ser evidência regulatória. Um profissional que não sabe identificar uma tentativa de engenharia social não é somente um risco de produtividade; é um ponto de falha que pode aparecer, literalmente, em um relatório de auditoria do Banco Central.
Quem lida diariamente com liquidação via Pix enfrenta um conjunto de riscos diferente de quem desenvolve funcionalidades no aplicativo ou de quem atende o cliente final. A Pesquisa Febraban de Tecnologia Bancária 2026, feita com a Deloitte, mostra que 83% das transações bancárias dos brasileiros já ocorrem por canais digitais, o que multiplica os pontos de contato onde um erro de julgamento humano pode se transformar em incidente.
Tratar a atualização de conhecimento como um bloco único, igual para toda a empresa, ignora que o risco de quem programa é diferente do risco de quem atende. A mesma pesquisa aponta que os bancos vêm intensificando investimentos em preparo especializado por área, ao lado do orçamento recorde de R$ 50,4 bilhões previsto para tecnologia em 2026, justamente porque um conteúdo genérico não dá conta do risco específico de cada função.
Pesquisadores do consórcio internacional Cybersecurity at MIT Sloan (CAMS), que reúne acadêmicos e profissionais de segurança de diferentes setores, insistem há anos em um ponto que a regulação brasileira agora torna operacional: cultura de segurança não é discurso de campanha interna, é um conjunto de comportamentos mensuráveis (fonte: cams.mit.edu). Isso significa medir, por exemplo, quantos colaboradores reportam um e-mail suspeito antes de clicar, não apenas quantos concluíram um módulo obrigatório.
Governança de atualização, nesse sentido, deixa de ser um evento de compliance e vira uma rotina de gestão, no mesmo patamar de importância que a atualização de um sistema ou de um firewall.
O desafio deixou de ser só técnico: é saber se a organização consegue, de forma disciplinada, transformar cada ameaça nova em conteúdo revisado, testado e mensurado em poucas semanas, não em poucos anos.
Nenhum desses ajustes exige reinventar a estrutura de aprendizagem do zero. A maioria é uma questão de disciplina sobre o que já existe:
Isso não é burocracia adicional. É reduzir a distância entre o dia em que uma ameaça aparece e o dia em que toda a operação sabe reconhecê-la.
Em um setor onde a Resolução BCB nº 538/2025 já trata segurança cibernética como parte da estabilidade sistêmica, manter o conhecimento das equipes atualizado deixou de ser um diferencial de employer branding e passou a ser, na prática, condição de licença para operar. Um banco pode ter a melhor arquitetura técnica do mercado e, ainda assim, falhar em uma auditoria porque não consegue provar que as pessoas que operam essa arquitetura sabem lidar com a ameaça mais recente.
Essa é a virada real do momento: a atualização deixou de ser uma etapa de onboarding ou um item de checklist anual, e passou a ser um processo contínuo, tão vivo quanto o próprio cenário de ameaça que ele tenta acompanhar.
Para ver como essa disciplina pode ganhar forma em uma operação bancária de alta exigência regulatória, vale conhecer o case do C6 Bank e como ele exemplifica o uso da plataforma da Happmobi para integrar controle de acesso às credenciais corporativas, manter infraestrutura auditável com trilha de evidência para relatórios de compliance, e levar essa mesma disciplina a toda a equipe por meio de uma experiência acessível e mobile-first.