BC impõe limite de R$ 15 mil no PIX contra crime

Banco Central endurece regras após ataques hackers bilionários e operação da PF que revelou infiltração do PCC no sistema financeiro nacional

O Banco Central tomou uma decisão drástica para blindar o sistema financeiro nacional contra a crescente infiltração do crime organizado. A partir desta sexta-feira (5), instituições de pagamento não autorizadas e empresas que operam via prestadores de tecnologia enfrentarão um limite máximo de R$ 15 mil para transferências via PIX e TED. A medida de emergência responde diretamente aos recentes ataques cibernéticos que desviaram centenas de milhões de reais e à revelação de que facções criminosas como o PCC infiltraram-se no mercado financeiro.

Autoridade monetária esclarece papel das fintechs

O presidente do Banco Central, Gabriel Galípolo, foi categórico ao esclarecer que as fintechs e o mercado financeiro são vítimas, não cúmplices do crime organizado. As autoridades deixam claro que a ligação entre crime organizado e Faria Lima ou fintechs tem como alvo transformar essas instituições em vítimas do crime organizado. As novas regras entram em vigor imediatamente, com o sistema do BC programado para travar automaticamente transações acima de R$ 15 mil a partir das 21h desta sexta-feira.

As medidas emergenciais abrangem cinco frentes principais de atuação. Primeiro, o limite de R$ 15 mil para PIX e TED de instituições não autorizadas, que poderá ser removido apenas quando essas empresas atenderem aos novos protocolos de segurança. Segunda, a obrigatoriedade de autorização prévia para novas instituições entrarem no mercado, com o prazo para solicitação antecipado de dezembro de 2029 para maio de 2026. Terceira, controles adicionais no PIX, impedindo que cooperativas atuem como responsáveis por instituições não autorizadas. Quarta, exigência de certificação técnica independente para comprovar cumprimento dos requisitos. E quinta, elevação do capital mínimo para prestadores de tecnologia de R$ 0 para R$ 15 milhões.

Ataques cibernéticos devastadores

O gatilho para as novas medidas foram três ataques hackers devastadores ocorridos nos últimos meses. O mais recente aconteceu na segunda-feira (2), quando criminosos desviaram R$ 4,9 milhões da conta reserva da fintech gaúcha Monbank. Este caso se soma a outros dois incidentes graves deste ano, um contra a C&M Software e outro contra a Sinqia. Os ataques evidenciaram vulnerabilidades críticas no sistema financeiro nacional, especialmente em empresas que operam sem autorização direta do Banco Central.

Operação revela infiltração criminosa

A Polícia Federal deflagrou em 28 de agosto a “Operação Carbono Oculto”, revelando a infiltração do Primeiro Comando da Capital (PCC) no mercado financeiro, inclusive em escritórios da Faria Lima. A operação expôs esquemas de lavagem de dinheiro através de fintechs, demonstrando como organizações criminosas aproveitaram-se de brechas regulamentárias para movimentar recursos ilícitos. Esta descoberta foi fundamental para que o BC acelerasse a implementação de medidas restritivas mais rigorosas.

Situação das instituições financeiras

Atualmente, 75 instituições de pagamento ainda não solicitaram autorização para funcionar, enquanto outras 40 empresas aguardam aprovação. No total, 142 instituições financeiras estão na fila pedindo autorização: 72 instituições de pagamento e 70 de outros segmentos. O BC espera receber mais 14 solicitações neste ano e 76 no próximo. Com as novas regras, empresas que tiverem autorização negada terão apenas 30 dias para encerrar suas atividades.

Dados do PIX justificam medida

Dados do Banco Central revelam que 99% das transações de pessoa jurídica via PIX ficam abaixo de R$ 15 mil, enquanto para pessoas físicas esse valor cai para R$ 3,6 mil. Esta estatística fundamenta a escolha do limite de R$ 15 mil, que não deve impactar significativamente as operações legítimas. Para criminosos realizarem desvios de maior volume, será necessário executar múltiplas transferências individuais de até R$ 15 mil, dificultando a operação e facilitando o rastreamento dos destinatários.

Novas exigências para prestadores

Os Prestadores de Serviços de Tecnologia da Informação (PSTI) enfrentam mudanças drásticas em seus requisitos operacionais. Além do capital mínimo de R$ 15 milhões, foram ampliados os requerimentos de governança e gestão de riscos. O descumprimento das novas normas poderá resultar em medidas cautelares ou até descredenciamento. As empresas em atividade têm prazo de quatro meses para adequação completa às novas exigências.

Prazos para adequação

As medidas têm vigência imediata, mas alguns prazos foram estabelecidos para adequação. Instituições que atestarem controles de segurança podem ser dispensadas da limitação por até 90 dias. Contratos envolvendo cooperativas como responsáveis no PIX devem ser adequados em até 180 dias. Prestadores de tecnologia têm quatro meses para se adequarem aos novos requisitos de capital e governança. O prazo para solicitação de autorização por instituições não autorizadas foi antecipado de dezembro de 2029 para maio de 2026.