1. Premissas consideradas na análise do ecossistema de Bank-as-a-Service no Brasil
O Banco Central do Brasil (BCB) realizou um levantamento em junho de 2026 com o objetivo de identificar os
relacionamentos existentes entre instituições prestadoras de serviços de BaaS (prestadoras de BaaS) e entidades
tomadoras de serviços de BaaS (tomadores de BaaS)1, conforme as premissas estabelecidas na
Resolução
Conjunta nº 16, de 28 de novembro de 2025. Por meio desse levantamento, foi possível identificar a
existência de 79 prestadores de BaaS e 5.533 tomadores de BaaS, considerando-se os relacionamentos ainda vigentes.
Com o intuito de aprofundar a análise, foi realizado o cruzamento dos dados do levantamento com o mapeamento de
riscos e controles de tecnologia da informação (mapa de TI) anualmente realizado pela Supervisão do BCB. As
informações a serem apresentadas são baseadas em uma amostra consolidada de 68 prestadores de BaaS, distribuídos em
diferentes tipos de instituição conforme ilustrado na Figura 1. Pode-se observar a predominância de instituições de
pagamento entre os prestadores de BaaS considerados.
Figura 1 – Distribuição dos prestadores de BaaS respondentes por tipo de instituição
.gif)
Para direcionar a análise, foram considerados aspectos operacionais relevantes à luz dos incidentes cibernéticos
acompanhados pelo BCB em 2026. Até setembro, as instituições supervisionadas comunicaram a ocorrência de 99
incidentes relevantes, ante 76 em todo o ano de 2025. Embora o aumento dos registros também reflita maior capacidade
de detecção e reporte das instituições, as ocorrências reforçam a importância do contínuo aprimoramento do ambiente
de controles das instituições. Dadas as características operacionais dos prestadores de BaaS, especial atenção deve
ser direcionada a questões como interconectividade, a concentração de relacionamentos operacionais e a velocidade de
realização das transações por meio de interfaces de integração automatizadas.
2. O modelo operacional predominante de BaaS
Praticamente todas as prestadoras de BaaS (97,1%) informaram utilizar ou fornecer serviços por meio de
Application Programming Interface (API), evidenciando a consolidação desse mecanismo como padrão de
integração tecnológica no modelo de negócio. As análises a seguir, apresentadas nas figuras 2 a 5 e na tabela 1
referem-se ao universo de prestadoras de BaaS consideradas na análise que fornecem serviços por meio de API. Nesse
contexto, a robustez dos controles associados a APIs passa a assumir papel central na gestão dos serviços.
Figura 2 – Práticas relacionadas à gestão de serviços fornecidos via API
Os dados presentes na Figura 2 indicam que o estabelecimento de controles e requisitos de segurança específicos
constituem a prática mais disseminada no fornecimento de serviços via API entre as prestadoras de BaaS pesquisadas.
Em sentido oposto, a certificação dos requisitos implementados pelos consumidores desses serviços é uma prática com
baixa adoção entre os participantes de BaaS.
No campo da gestão de riscos, a Figura 2 indica que apenas 54,4% das prestadoras de BaaS realizam avaliações
periódicas de segurança. Embora algumas práticas como o estabelecimento de controles e requisitos de segurança
específicos (77,9%) e a definição, implementação e monitoramento de limites operacionais (64,7%) sejam observados
por um percentual maior de prestadoras de BaaS, os resultados sugerem a existência de oportunidades para o
fortalecimento do ambiente de controle das instituições analisadas. Esse aspecto merece atenção diante dos
incidentes ocorridos em 2026, nos quais se verificou a exploração de vulnerabilidades em interfaces de integração e
o uso indevido de credenciais técnicas, certificados ou
tokens para viabilizar ou automatizar transações fraudulentas.
Nesse contexto, a realização de avaliações periódicas é importante para identificar tempestivamente fragilidades de
autenticação, autorização, segregação de funções, limites operacionais e validação de requisições antes que sejam
exploradas por agentes maliciosos.
3. Segurança das instituições tomadoras e provedoras de BaaS
O levantamento também investigou práticas relacionadas a testes de segurança, desenvolvimento seguro, gestão de
componentes tecnológicos e controles gerais de segurança.
Conforme a Figura 3, a realização periódica de testes por empresas especializadas foi a prática de segurança mais
disseminada entre as prestadoras de BaaS analisadas (79,0%), seguida pela adoção de programas formais de testes de
segurança (67,7%). Em contraste, a realização periódica de testes de segurança e invasão por equipe própria (50,0%)
e a manutenção de inventário dos componentes de software fornecidos por terceiros (47,5%) apresentaram os menores
percentuais de implementação.
Figura 3 – Principais práticas de segurança adotadas
Os resultados evidenciam dois pontos de atenção. O primeiro é a menor realização de testes de segurança por
equipes próprias, o que pode indicar dependência de avaliações externas e capacidade interna limitada para identificar e
corrigir vulnerabilidades de forma contínua. O segundo é a ausência de inventário completo dos componentes de software
fornecidos por terceiros, que dificulta o mapeamento de dependências, a avaliação da superfície de ataque, a priorização
de correções e a desativação de ativos legados. Essas lacunas ganham relevância diante de incidentes recentes envolvendo
acesso indevido a ambientes computacionais, comprometimento de credenciais válidas, exposição de interfaces
administrativas e falhas de segregação entre ambientes corporativos e operacionais.
4. Gestão de certificados digitais
A gestão de certificados digitais é outro aspecto crítico do ambiente operacional analisado, com implicações
diretas na segurança das transações processadas. Conforme ilustrado na Figura 4, a prática mais disseminada foi
a guarda de informações abrangendo controles de acesso físico e lógico às chaves privadas (63,5%), seguida do
monitoramento do uso dos certificados (55,6%) e da existência de procedimentos voltados à prevenção do
compartilhamento indevido das chaves privadas (54,0%). A utilização de cofres de chaves (Key
Vault)2 e a utilização de
Hardware Security Module (HSM)3 são implementadas por 50,8% e 38,1% dos prestadores de BaaS,
respectivamente.
Esses percentuais trazem preocupação, uma vez que o uso indevido de certificados digitais possibilitou a execução
de transações fraudulentas, conforme apurado nos incidentes monitorados nos últimos anos. O controle inadequado
do ciclo de vida (emissão, guarda, uso, rotação, revogação e desativação) de certificados digitais implica
riscos relevantes para as instituições.
Figura 4 – Gestão de certificados digitais
5. Atuação das linhas de defesa
A pesquisa avaliou temas que foram objeto de atuação, nos últimos doze meses, da segunda linha — composta por
funções especializadas da gestão que apoiam, monitoram e questionam a gestão de riscos e controles — e da
auditoria interna, função independente e objetiva que avalia a adequação e a eficácia da governança, da gestão
de riscos e dos controles internos.
Tabela 1 – Temas avaliados pelas linhas de defesa
| Tema | Segunda linha | Auditoria interna |
|---|---|---|
| Prevenção e tratamento de fraudes | 76,5% | 54,4% |
| Ambiente tecnológico | 72,1% | 72,1% |
| Segurança da informação e risco cibernético | 70,6% | 75,0% |
| Serviços que fornecem APIs para terceiros | 49,2% | 33,8% |
| Serviços que utilizam APIs | 39,4% | 33,3% |
Os maiores percentuais concentram-se em avaliações relacionadas a Prevenção e tratamento de fraudes, ambiente
tecnológico e segurança da informação, temas que alcançaram patamares superiores a 70% em pelo menos uma das
linhas de defesa consideradas. Em contrapartida, os temas diretamente associados a soluções que utilizam ou
fornecem APIs apresentaram percentuais sensivelmente inferiores, especialmente quando consideramos o escopo de
atuação da auditoria interna. Esse cenário é preocupante, dada a relevância operacional crescente das
integrações via API, em especial se considerarmos as vulnerabilidades exploradas em incidentes monitorados nos
últimos anos, tais como uso indevido de APIs, falhas de autenticação e autorização, insuficiência de
conciliação, exposição indevida de serviços e fragilidades no monitoramento de comportamentos anômalos
associados ao uso de APIs.
É importante que as linhas de defesa avaliem não apenas políticas gerais de segurança, mas também os processos,
controles e fluxos tecnológicos efetivos que sustentam o provimento de serviços BaaS.
6. Práticas de prevenção a fraudes
As informações coletadas indicam ampla disseminação de mecanismos voltados ao monitoramento e à prevenção de
fraudes. A prática de maior adoção foi o monitoramento e coleta de informações destinados à identificação de
comportamentos atípicos (86,4%), seguida pelo bloqueio preventivo de operações potencialmente fraudulentas
(84,8%) e pelo estabelecimento de critérios para bloqueio preventivo (81,8%). A conciliação de informações sobre
operações apresentou baixo percentual de adoção, alcançando 56,1%. Padrão comum verificado em incidentes
recentes consistiu na inserção de transações fraudulentas diretamente nos sistemas das instituições impactadas.
Desta forma, além da presença de controles antifraude típicos, é essencial a existência de mecanismos de
conciliação, limites operacionais, validação de transações relevantes e detecção de desvios de padrões
comportamentais com o objetivo de identificar tempestivamente as transações fraudulentas.
Figura 5 – Práticas de prevenção de fraudes
Conclusão
Os dados analisados mostram que o ecossistema brasileiro de BaaS possui dimensão relevante, com milhares de
relacionamentos vigentes entre prestadores e tomadores de BaaS, e que a utilização de APIs consolidou-se como
principal mecanismo de integração operacional entre as partes.
Por essa razão, controles sobre autenticação, autorização, limites operacionais, gestão de certificados,
inventário de componentes, segregação de ambientes, trilhas de auditoria, conciliação e monitoramento contínuo
devem ser tratados como elementos centrais da resiliência operacional, e não apenas como requisitos tecnológicos
acessórios. A avaliação dos incidentes ocorridos em 2026 demonstra a necessidade de governança proporcional à
criticidade dos serviços, à concentração de relacionamentos e à dependência de integrações tecnológicas.
A análise dos controles declarados pelas instituições indica avanços relevantes, mas também evidencia lacunas
compatíveis com vulnerabilidades exploradas em incidentes recentes, decorrentes de deficiências em controles
voltados para proteção de credenciais e certificados, segurança de APIs, monitoramento operacional e conciliação
de operações. É essencial que esses controles sejam efetivos, testados, continuamente monitorados e integrados
aos processos de resposta a incidentes e prevenção a fraudes.
Por fim, os resultados da análise reforçam a importância de dar continuidade às iniciativas de acompanhamento da
implementação da Resolução Conjunta nº 16 de 2025, fortalecendo o conhecimento da supervisão do BCB sobre o
ecossistema de BaaS, mediante mapeamento estruturado dos participantes, priorização por risco e monitoramento
contínuo das instituições mais relevantes, buscando-se orientar as ações para as situações com maior potencial
de impacto para a estabilidade financeira e exigir planos de ação proporcionais aos riscos observados.
Notas
1 A maioria significativa das entidades tomadoras de BaaS deste levantamento são empresas
não-reguladas
pelo BCB.
2 Cofres de chaves (Key Vaults) são soluções destinadas ao armazenamento e ao
gerenciamento seguro de chaves criptográficas, certificados digitais e outros segredos, com controles de acesso,
auditoria e rotação.
3Hardware Security Module (Módulo de segurança de hardware – HSM) é um dispositivo dedicado
à geração, ao armazenamento e ao uso seguro de chaves criptográficas, protegendo-as contra acesso e extração
indevidos.
Referências
BARAKOVA, Irina; EHRENTRAUD, Johannes; LEPOSKE, Lindsey. A two-sided affair: banks and tech firms in banking. FSI
Insights on policy implementation nº 60. Basel: Financial Stability Institute, Bank for International
Settlements, out. 2024.
FINANCIAL STABILITY BOARD. Enhancing Third-party Risk Management and Oversight: A toolkit for financial
institutions and financial authorities. Basel: FSB, 4 dez. 2023.
BASEL COMMITTEE ON BANKING SUPERVISION. Operational resilience. Basel Consolidated Framework, módulo ORR20.
Basel: Bank for International Settlements, 1 jan. 2026.
WORLD BANK GROUP. Banking as a Service (BaaS). Inclusive Digital Financial Services Reference Guide. Washington,
D.C.: World Bank Group, acesso em 17 set. 2026.
Aristides Andrade Cavalcante Neto e Jefferson Umebara Pelegrini são servidores do Banco Central do Brasil e atuam
no Departamento de Gestão Estratégica e Supervisão Especializada (Degef).
