Dois servidores do Departamento de Gestão Estratégica e Supervisão Especializada (Degef) do Banco Central publicaram na quarta, 4, no BC Blog, o primeiro retrato oficial do mercado de banking as a service (BaaS) no país. Um levantamento feito pelo BC em junho, sob as premissas da Resolução Conjunta 16, de novembro de 2025, identificou 79 instituições prestadoras e 5.533 tomadoras de serviços de BaaS com relacionamentos vigentes. Segundo o texto, a maioria significativa das tomadoras não é regulada pelo BC.
A análise cruzou o levantamento com o mapa de riscos de tecnologia da informação feito anualmente pela supervisão, numa amostra de 68 prestadores, com predomínio de instituições de pagamento. Quase todos (97,1%) usam ou fornecem serviços por API. Entre os que fornecem por API, 77,9% têm controles e requisitos de segurança específicos, 64,7% definem e monitoram limites operacionais e 54,4% fazem avaliações periódicas de segurança. Testes por empresas especializadas aparecem em 79%; testes de invasão por equipe própria, em 50%; inventário de componentes de software de terceiros, em 47,5%.
Na gestão de certificados digitais, 63,5% controlam o acesso físico e lógico às chaves privadas, 55,6% monitoram o uso dos certificados, 50,8% usam cofres de chaves e 38,1% usam HSM. Os autores registram que o uso indevido de certificados permitiu transações fraudulentas em incidentes acompanhados pelo BC. Até setembro, as instituições supervisionadas comunicaram 99 incidentes cibernéticos relevantes em 2026, ante 76 em todo o ano de 2025; o texto ressalva que parte do aumento reflete maior capacidade de detecção e reporte.
Na prevenção a fraudes, 86,4% monitoram comportamentos atípicos e 84,8% bloqueiam preventivamente operações suspeitas, mas só 56,1% conciliam informações sobre operações. A auditoria interna avaliou serviços que fornecem APIs a terceiros em 33,8% das instituições. O artigo conclui que a supervisão deve seguir acompanhando a implementação da Resolução Conjunta 16, com priorização por risco e planos de ação proporcionais. O Finsiders noticiou o estudo na quinta. O blog informa que as opiniões são dos autores e não refletem necessariamente a visão do Banco Central.