Após ataques, BC limita Pix e TED a R$ 15 mil em fintechs sem autorização

O Banco Central anunciou nesta sexta-feira, 5 de setembro de 2025, um pacote de medidas para reforçar a segurança do Sistema Financeiro Nacional. A mais visível delas atinge em cheio parte das fintechs: instituições de pagamento que ainda não têm autorização do BC, e as que se conectam à rede do sistema por meio de Prestadores de Serviços de Tecnologia da Informação (PSTI), passam a ter as transferências por Pix e TED limitadas a R$ 15 mil. A regra vale de imediato.

Na nota oficial, a autoridade monetária justifica o pacote pelo envolvimento do crime organizado em ataques recentes a instituições financeiras e de pagamento. O limite poderá ser retirado quando a instituição e o seu PSTI cumprirem os novos processos de controle de segurança. Como regra de transição, quem atestar a adoção de controles de segurança da informação poderá ficar até 90 dias dispensado do teto.

O contexto: uma sequência de ataques

As medidas chegam depois de uma série de invasões a sistemas de mensageria que ligam instituições ao Banco Central. Segundo levantamento da Gazeta do Povo, o ataque à C&M Software, em 2 de julho, desviou cerca de R$ 1 bilhão; o caso da Sinqia, em 29 de agosto, cerca de R$ 710 milhões. Houve ainda episódios envolvendo a Monetarie, em 2 de setembro, e outra fintech, em 4 de setembro. Na mesma época, operações policiais como Carbono Oculto, Quasar e Tank investigaram movimentações suspeitas de mais de R$ 50 bilhões que passaram por fintechs, segundo o Congresso em Foco.

Fim da operação sem licença

A mudança de maior alcance para quem empreende no setor é regulatória. A partir de agora, nenhuma instituição de pagamento pode começar a operar sem autorização prévia do BC. Até então, parte dessas empresas funcionava de forma provisória enquanto aguardava a autorização. Além disso, o prazo final para que instituições de pagamento ainda não autorizadas peçam licença foi antecipado de dezembro de 2029 para maio de 2026.

O BC também poderá exigir certificação técnica ou avaliação de empresa independente que comprove o cumprimento dos requisitos. Se o pedido for negado, a instituição que já estiver em funcionamento terá 30 dias para encerrar as atividades. De acordo com o Congresso em Foco, 75 instituições ainda não tinham formalizado o pedido de autorização e 40 aguardavam análise na data do anúncio.

Mais exigências para quem dá acesso ao Pix

• Somente instituições dos segmentos S1, S2, S3 ou S4 que não sejam cooperativas poderão atuar como responsáveis no Pix por instituições de pagamento não autorizadas; os contratos em vigor têm 180 dias para se adequar, segundo a nota do BC.
• Os PSTI passam a ter requisitos mais rígidos de governança e gestão de riscos e capital mínimo de R$ 15 milhões, com quatro meses de prazo para os que já estão em atividade.
• O descumprimento pelos PSTI pode levar a medidas cautelares e até ao descredenciamento.

Ao apresentar o pacote, o presidente do BC, Gabriel Galípolo, procurou afastar a ideia de que as medidas sejam uma ofensiva contra o setor e reconheceu o papel das fintechs na inclusão financeira.

O que muda para startups e pequenos negócios

Para fundadores de fintechs ainda sem licença, o recado é de calendário: a janela até maio de 2026 encurtou em mais de três anos o tempo para estruturar capital, governança e controles exigidos na autorização. Para empresas de outros setores que recebem ou pagam por meio dessas instituições, vale conferir se o parceiro é autorizado pelo BC e se pagamentos acima de R$ 15 mil podem ser afetados pelo teto, ao menos até que o provedor comprove a adoção dos novos controles.

Banco CentralfintechsPixregulaçãosegurança