> ## Content Index
> Fetch the complete content index at: https://www.cartacircular.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# BC mapeia 79 prestadores de BaaS e 5.533 tomadoras e aponta falhas em APIs e certificados
- URL: https://www.cartacircular.com/bc-blog-baas-79-prestadores-5533-tomadoras-resiliencia/
- Published: 2026-11-06T09:19:00.000Z
- Updated: 2026-11-06T09:19:25.000Z
- Description: Levantamento do Banco Central de junho mostra que só 54,4% dos prestadores de banking as a service fazem avaliações periódicas de segurança; incidentes relevantes comunicados ao BC chegam a 99 até setembro, ante 76 em todo o ano de 2025.
- Author: Redação Carta Circular
- Tags: Bancos e fintechs, Pagamentos

Dois servidores do Departamento de Gestão Estratégica e Supervisão Especializada (Degef) do Banco Central publicaram na quarta, 4, no [BC Blog](https://www.bcb.gov.br/noticiablogbc/50/noticia), o primeiro retrato oficial do mercado de banking as a service (BaaS) no país. Um levantamento feito pelo BC em junho, sob as premissas da Resolução Conjunta 16, de novembro de 2025, identificou 79 instituições prestadoras e 5.533 tomadoras de serviços de BaaS com relacionamentos vigentes. Segundo o texto, a maioria significativa das tomadoras não é regulada pelo BC.

A análise cruzou o levantamento com o mapa de riscos de tecnologia da informação feito anualmente pela supervisão, numa amostra de 68 prestadores, com predomínio de instituições de pagamento. Quase todos (97,1%) usam ou fornecem serviços por API. Entre os que fornecem por API, 77,9% têm controles e requisitos de segurança específicos, 64,7% definem e monitoram limites operacionais e 54,4% fazem avaliações periódicas de segurança. Testes por empresas especializadas aparecem em 79%; testes de invasão por equipe própria, em 50%; inventário de componentes de software de terceiros, em 47,5%.

Na gestão de certificados digitais, 63,5% controlam o acesso físico e lógico às chaves privadas, 55,6% monitoram o uso dos certificados, 50,8% usam cofres de chaves e 38,1% usam HSM. Os autores registram que o uso indevido de certificados permitiu transações fraudulentas em incidentes acompanhados pelo BC. Até setembro, as instituições supervisionadas comunicaram 99 incidentes cibernéticos relevantes em 2026, ante 76 em todo o ano de 2025; o texto ressalva que parte do aumento reflete maior capacidade de detecção e reporte.

Na prevenção a fraudes, 86,4% monitoram comportamentos atípicos e 84,8% bloqueiam preventivamente operações suspeitas, mas só 56,1% conciliam informações sobre operações. A auditoria interna avaliou serviços que fornecem APIs a terceiros em 33,8% das instituições. O artigo conclui que a supervisão deve seguir acompanhando a implementação da Resolução Conjunta 16, com priorização por risco e planos de ação proporcionais. O [Finsiders](https://finsidersbrasil.com.br/inovacao/mercado-baas-empresas-prestadores-de-servicos-no-brasil-segundo-bc/) noticiou o estudo na quinta. O blog informa que as opiniões são dos autores e não refletem necessariamente a visão do Banco Central.

Fonte: [BC Blog, "Ecossistema de Banking-as-a-Service brasileiro: considerações sobre resiliência operacional", 4/11/2026](https://www.bcb.gov.br/noticiablogbc/50/noticia); [Resolução Conjunta 16/2025](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o+Conjunta&numero=16).