Risco humano em serviços financeiros: onde o dinheiro se move

Em um banco, o dinheiro não se move porque um sistema decidiu movê-lo. Ele se move porque uma pessoa com as permissões certas acredita que uma instrução é verdadeira. Esse fato explica boa parte do cenário de ameaças nos serviços financeiros. O IC3 do FBI contabilizou US$ 55,49 bilhões em perdas expostas por comprometimento de e-mail corporativo em uma década. Nada disso exigiu quebrar criptografia. Tudo exigiu convencer uma pessoa.

O regulador brasileiro também olha para isso. A Resolução CMN nº 4.893/2021, que trata da política de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central, inclui a capacitação de pessoal entre os mecanismos que a política deve prever, e a Resolução BCB nº 85/2021 faz o mesmo para as instituições de pagamento. Este guia explica por que o setor financeiro tem um perfil de risco humano próprio, o que essas normas pedem em relação aos colaboradores e como montar um programa que atenda à auditoria e, ao mesmo tempo, fortaleça as pessoas de forma mensurável.

Por que o setor financeiro é o caminho mais curto entre a persuasão e o lucro

Todos os setores sofrem com phishing. O setor financeiro sofre com phishing que já vem com a saída de caixa embutida. O Verizon DBIR 2026 atribui ao elemento humano 62% das violações, mas na maioria dos setores o atacante que compromete um colaborador ainda precisa monetizar o acesso: dados para vender, um resgate para negociar. Em um banco, em uma seguradora ou na tesouraria de uma empresa, a pessoa manipulada é a etapa que transforma o ataque em dinheiro. Aprovar a transferência, trocar a conta do fornecedor, liberar o lote de pagamentos: ataque e saque são a mesma ação.

Os números refletem essa concentração de valor:

E os pretextos estão melhorando. Equipes financeiras já enfrentam ataques de voz e vídeo com deepfake montados em torno de operações em andamento: a tentativa contra a Ferrari só falhou porque um executivo fez uma pergunta de verificação que a voz clonada não soube responder. A FinCEN, nos Estados Unidos, considerou a tendência grave o bastante para publicar um alerta específico sobre fraudes com deepfake contra instituições financeiras. A ironia é que o setor financeiro é, por quase qualquer medida técnica, maduro: a avaliação NIS360 da ENISA coloca os bancos entre os setores com maior maturidade em segurança cibernética na Europa. Os atacantes leem as mesmas avaliações. Quando o perímetro é duro, eles ligam para a mesa de tesouraria.

Nos serviços financeiros, a camada humana não fica ao lado das joias da coroa. Ela tem as chaves e executa a operação. Por isso a auditoria olha para os seus colaboradores, não só para os seus firewalls.

O que as normas do Banco Central pedem em relação aos colaboradores

A Resolução CMN nº 4.893/2021 é conhecida principalmente pelas regras sobre a política de segurança cibernética e sobre a contratação de serviços de processamento, armazenamento de dados e computação em nuvem. Mas o art. 3º, VI, traz o trecho que afeta o programa de conscientização: entre os conteúdos mínimos da política estão os mecanismos para disseminar a cultura de segurança cibernética na instituição, incluindo (a) a implementação de programas de capacitação e de avaliação periódica de pessoal, (b) a prestação de informações a clientes e usuários sobre precauções no uso de produtos e serviços financeiros e (c) o comprometimento da alta administração com a melhoria contínua dos procedimentos de segurança cibernética. A resolução foi alterada pela Resolução CMN nº 5.274/2025; trabalhe sempre sobre o texto consolidado publicado pelo Banco Central. A Resolução BCB nº 85/2021 repete a previsão do inciso VI para as instituições de pagamento.

Três pontos tornam esse trecho mais exigente do que parece em uma primeira leitura:

• Capacitação e avaliação andam juntas. O texto não fala só em oferecer treinamento: fala em programas de capacitação e de avaliação periódica de pessoal. Uma lista de presença mostra a primeira parte; só a medição de comportamento mostra a segunda.
• É parte da cultura, não um evento. A capacitação aparece como mecanismo de disseminação de cultura, ao lado da informação aos clientes e do compromisso da alta administração. Um curso anual isolado dificilmente sustenta essa leitura.
• A alta administração está no texto. O compromisso da alta administração com a melhoria contínua coloca a diretoria dentro do programa, não acima dele.

O que a norma não faz é definir formato, conteúdo ou periodicidade. Essa escolha é da instituição, e é justamente por isso que ela precisa ser defensável. Depois de um incidente, "fizemos o treinamento anual" é uma evidência fraca se o operador de pagamentos enganado viu pela última vez um curso genérico de e-learning onze meses antes e nunca tinha ensaiado um pedido de troca de conta bancária de fornecedor. Para grupos com entidades financeiras na União Europeia, o art. 13(6) do DORA pode se aplicar a essas entidades; na prática, o caminho mais simples é um único programa construído pelo padrão mais exigente.

O roteiro de ataque próprio do setor financeiro

Conteúdo genérico de conscientização não cobre os cenários que de fato esvaziam contas. Um programa para o setor financeiro deve ser construído em torno dos pretextos usados contra quem movimenta dinheiro:

• Troca de conta bancária de fornecedor. A variante de BEC mais lucrativa: um fornecedor "atualiza" seus dados bancários pouco antes de um pagamento grande já programado. A defesa é de procedimento: confirmar ligando para um número que já está no cadastro, nunca para o que aparece no pedido. Nosso guia de defesa contra BEC percorre todos os controles.
• Pedidos de pagamento de executivos. Urgentes, confidenciais, com prazo apertado e, cada vez mais, com voz ou vídeo clonados em uma chamada ao vivo em vez de e-mail.
• Pretextos de pagamento autorizado. O golpe contra pessoas físicas tem um gêmeo corporativo: um colaborador ou um cliente convencido a iniciar ele mesmo a transferência, o que elimina boa parte das opções técnicas de recuperação (veja fraude de pagamento autorizado). Com transferências instantâneas, a janela para perceber o golpe fica ainda menor.
• Engenharia social contra o service desk e a redefinição de MFA. O caminho usado contra a MGM e a Clorox também funciona em um banco: ligar para a TI, dizer que é um operador bloqueado e herdar o acesso.
• Uso da sua marca contra os seus clientes. Seus clientes são atacados com a sua marca, e é por isso que a norma inclui a informação a clientes e usuários entre os mecanismos de cultura de segurança.

Como montar um programa de risco humano pronto para a auditoria

1. Classifique os colaboradores pela capacidade de pagamento. Identifique quem pode mover, aprovar ou desviar dinheiro (tesouraria, contas a pagar, folha de pagamento, gerentes de relacionamento, executivos e seus assistentes) e trate esse grupo como de alto risco, com cenários mais difíceis e cadência mais intensa. Um Human Risk Score por função e equipe transforma esse exercício de organograma em uma linha de base mensurável que a auditoria pode revisar.

2. Ensaie os cenários de dinheiro, não só o e-mail. Com o phishing por voz em alta e as iscas por QR code e SMS já comuns, um teste só por e-mail deixa de fora os canais pelos quais o setor financeiro é atacado. Execute simulações multicanal que incluam troca de conta de fornecedor, pedidos urgentes de executivos e ligações para redefinir MFA. O reflexo a construir é "confirmar por outro canal antes que o valor saia".

3. Proteja o ato de confirmar. O que salvou a Ferrari foi cultural, não técnico: um colaborador se sentiu seguro para questionar o seu "CEO". Publique o protocolo de confirmação, faça a diretoria dizer com todas as letras que nenhum pedido legítimo vai penalizar uma ligação de checagem e teste se o protocolo resiste a um pretexto convincente.

4. Coloque a diretoria dentro do programa. A norma fala no compromisso da alta administração, e a auditoria vai pedir primeiro os registros dela. Sessões para o conselho e a diretoria também servem como endosso visível de todo o resto.

5. Gere evidência de forma contínua. Cadência, conteúdo ajustado ao risco de cada função, resultados das simulações, linhas de tendência. A avaliação periódica de pessoal prevista na norma só existe se houver o que avaliar: a documentação não é burocracia, é a entrega.

O setor financeiro já trabalha com riscos medidos: risco de crédito, de mercado e operacional têm responsáveis, modelos e linhas de tendência. A gestão de risco humano estende essa disciplina à camada onde hoje começa a maioria dos ataques: as pessoas que movimentam o dinheiro. A norma colocou a capacitação na política. Fazer com que ela funcione (mensurável, por função, ensaiada contra os pretextos que de fato esvaziam contas) é o que protege o balanço.