O Banco do Nordeste foi alvo de um ataque cibernético nesta segunda-feira, que comprometeu a infraestrutura das transações Pix da instituição. A invasão aconteceu por meio de uma falha em um prestador de serviços, com recursos roubados de uma conta bolsão da empresa terceirizada. O banco suspendeu temporariamente o serviço Pix e informou à CVM – Comissão de Valores Mobiliários – que não houve vazamento de dados ou prejuízo às contas dos clientes.
A ação dos criminosos explorou vulnerabilidades em um PSTI (Prestador de Serviço de Tecnologia de Informação) que atua como intermediário nas operações do banco. O valor total dos recursos desviados ainda está sendo contabilizado pela área técnica da instituição, que ativou seus protocolos de segurança imediatamente após identificar o incidente e mantém comunicação com o Banco Central para análise da extensão do ataque.
Este é o comunicado do banco:
“O Banco do Nordeste do Brasil S.A. (BNBR3) vem a público informar aos seus acionistas e ao mercado em geral que, nesta data, identificou um incidente de segurança cibernética na infraestrutura das transações PIX. Imediatamente após a identificação, a Companhia ativou seus protocolos de segurança e controle e suas equipes técnicas estão trabalhando e mantendo comunicação com o Banco Central para analisar a extensão do ocorrido e restaurar as operações de forma segura. Não foi identificado vazamento de dados ou prejuízo às contas dos clientes, mas para uma análise mais detalhada das causas do evento e seus impactos, o serviço PIX está suspenso temporariamente. A Companhia está focada na retomada segura das transações PIX o mais breve possível. O Banco do Nordeste reafirma seu compromisso com a segurança da informação e com a transparência e manterá o mercado informado acerca de eventuais desdobramentos desse incidente.”
Sistema bolsão e brechas de segurança
As operações fraudulentas ocorreram em contas bolsão, modalidade de conta corrente aberta por fintechs de pequeno porte que não têm acesso direto ao Sistema Brasileiro de Pagamentos. Essas contas conectam instituições menores aos bancos tradicionais e já foram utilizadas anteriormente por organizações criminosas para lavagem de dinheiro, porque a origem dos recursos não era detalhada aos órgãos fiscalizadores como a Receita Federal. A invasão ao Banco do Nordeste representa o primeiro ataque hacker conhecido a uma grande instituição financeira em 2026.
O incidente ocorre meses depois de o Banco Central ter alterado, em setembro de 2025, os requisitos para credenciamento dos PSTIs. Pelas novas normas, essas empresas precisam cumprir regras mais rígidas de governança e gestão de riscos, além de manter capital mínimo de R$ 15 milhões, exigência que não existia anteriormente.
