Neobancos, FinTech e PSP, Julho de 2026

Ameaças e campanhas ativas

Ransomware e extorsão, uma única menção com impacto não determinado

No material do mês, houve um único caso com foco primário em ransomware ou extorsão, e a tipificação do impacto não pôde ser determinada com precisão. A peça da DeXpose sobre Section9 em uma fintech brasileira é a referência que melhor se encaixa nessa categoria, mas a própria fonte apresenta a informação como uma alegação do ator. Não há, no material, confirmação de criptografia de ativos, nem de exfiltração validada, nem de negociação comprovada com a vítima.

Essa ambiguidade é relevante. No vertical de pagamentos, muitos agentes maliciosos usam a linguagem de ransomware para gerar urgência, mas nem sempre o resultado operacional é o mesmo. Pode se tratar de uma simples menção em um leak site, de uma extorsão sem criptografia ou de uma intrusão mais profunda. Quando as evidências não bastam para distinguir entre esses cenários, o informe deve preservar isso, porque o risco enfrentado pela entidade e as contramedidas imediatas não são idênticos em cada caso.

A leitura prática é que o ecossistema continua atraente para atores que buscam pressão reputacional sobre empresas financeiras com forte dependência da confiança pública. Em uma fintech, uma única afirmação crível de exposição pode afetar onboarding, alianças e a percepção de solvência operacional, mesmo sem um dano técnico plenamente comprovado.

Fraude e phishing

Não houve casos de fraude ou phishing documentados como incidentes do período dentro do corpus datado de julho. Isso não significa ausência de atividade na região, mas ausência de fatos tipificados no material deste mês. A única referência próxima vem da SBS peruana, em um fato sem data confirmada, ao alertar para aumento de denúncias por fraudes digitais ligadas à suplantação de identidade e a operações bancárias não autorizadas, com uso de phishing e ligações telefônicas para obter dados pessoais e financeiros.

A ausência de uma categoria formal nos indicadores não deveria levar a uma leitura complacente. Ao contrário, o contexto regulatório do Peru e a pressão sobre os canais de pagamento sugerem que a fraude de identidade segue sendo uma ameaça estrutural, especialmente quando combinada com interrupções de serviço ou com incidentes que forçam os usuários a buscar canais alternativos menos seguros. Para fintechs e PSPs, o atrito operacional costuma ser um habilitador da fraude social.

APT, intrusão oportunista e pressão sobre software exposto

O mês não trouxe evidências suficientes para atribuir campanhas APT clássicas no vertical. O que apareceu foi uma cadeia contínua de exploração oportunista de vulnerabilidades críticas e ativamente exploradas. Esse padrão, embora menos chamativo que uma intrusão sofisticada, é o que pode causar mais dano em ambientes de pagamentos quando os sistemas afetados são portais de administração, componentes de back office ou middleware com acesso a informações financeiras.

Oracle E-Business Suite apareceu várias vezes no material, com atenção especial a CVE-2026-46817, uma falha crítica em Oracle Payments File Transmission que foi descrita como explorável sem autenticação e por meio de acesso HTTP. Também houve referências a Fortinet FortiOS, FortiSandbox, SonicWall SMA1000 e SharePoint. A coincidência desses nomes não implica que todos tenham sido usados contra entidades latino-americanas, mas indica que o ecossistema de software que sustenta operações empresariais críticas sofreu forte pressão no período.

Para um CISO de fintech ou PSP, a mensagem não é abstrata. As campanhas mais perigosas em julho não foram necessariamente as mais barulhentas, mas as que exploraram a janela entre a publicação do patch e sua implementação real. Em uma cadeia de pagamentos, esse atraso pode alcançar filiais, back office, painéis de conciliação, conectores com bancos patrocinadores e ambientes de teste mal segmentados.

Vulnerabilidades críticas

No material analisado, foram registradas 15 CVEs críticas mencionadas. A tabela abaixo resume as que aparecem explicitamente associadas a exploração ativa ou a descrições técnicas relevantes para este vertical.

A prioridade operacional aqui não deveria ser apenas inventariar cada CVE, mas mapear onde existem dependências com esses produtos. Neste vertical, Oracle EBS pode conviver com conciliação, faturamento ou gestão de pedidos; SharePoint pode hospedar portais internos sensíveis; Fortinet e SonicWall costumam aparecer em perímetros e acessos remotos; Adobe ColdFusion e os construtores de Joomla podem sustentar aplicações de atendimento ou integrações legadas. A natureza do risco muda conforme a localização do ativo, mas o padrão é o mesmo: exploração ativa e janelas curtas de remediação.

Regulação e compliance

Brasil e o acesso ao Pix

A notícia do O Globo sobre a possível restrição de acesso ao Pix para bancos e fintechs com cibersegurança fraca é uma das principais sinalizações regulatórias do mês para o setor. O valor da medida está em sua lógica: o acesso ao trilho de pagamentos deixaria de ser apenas um direito operacional e passaria a depender da demonstração de controles razoáveis. Isso muda o tom do mercado, porque desloca parte do risco de cibersegurança da área técnica para o centro do negócio.

Para os participantes do ecossistema, isso implica reforçar testes de maturidade, evidências de monitoramento, gestão de vulnerabilidades e capacidade de resposta a incidentes. Também pode acelerar auditorias de terceiros e endurecer as exigências contratuais entre bancos patrocinadores, fintechs, PSP e processadores. Se o regulador começar a comparar perfis de risco, a documentação de controle deixa de ser um trâmite e passa a fazer parte da continuidade comercial.

Peru e a notificação de incidentes

O Peru foi o mercado mais explícito em relação aos prazos de notificação. As coberturas de Infobae Perú, Brújula Digital e iupana coincidem ao mostrar que as entidades financeiras devem informar usuários e, em certos casos, o público, dentro de janelas muito apertadas. A regra de 24 horas para comunicar eventos que afetem os usuários, incluindo cibersegurança, obriga a amadurecer o triagem inicial, a validação jurídica e a coordenação com o atendimento ao cliente.

O impacto para bancos, fintechs e PSP não é pequeno. Uma notificação mal redigida, tardia ou inconsistente pode agravar o dano à reputação, mas uma comunicação apressada e mal classificada também gera exposição regulatória. A única forma sustentável de cumprir a regra é ter critérios pré-aprovados sobre severidade, escopo, mensagem mínima, responsáveis pela aprovação e ponto de contato com o regulador.

Efeito do compliance sobre o modelo operacional

Essas medidas regulatórias não operam isoladamente. Em um mês em que o material também refletiu forte pressão sobre vulnerabilidades exploradas ativamente, a obrigação de reportar rapidamente passa a amplificar as exigências internas. Se uma entidade não sabe rapidamente se um serviço degradado decorre de uma falha técnica, de um incidente de cibersegurança ou de um problema de fornecedor, o relógio regulatório começa a correr do mesmo jeito.

Para o ecossistema fintech, isso significa que compliance e segurança deixam de ser trilhas paralelas. A equipe que monitora a stack, a que gerencia fornecedores, a que define a comunicação externa e a que fala com o regulador precisam adotar uma narrativa comum desde o primeiro momento do incidente. Julho deixou essa lição bastante clara.

Países e subsegmentos mais afetados

Brasil

O Brasil concentrou o sinal mais visível pela combinação de incidente operacional, ameaça de extorsão atribuída e anúncio regulatório sobre o Pix. O caso das loterias da Caixa mostrou que um ataque pode afetar serviços de arrecadação e transação ligados ao sistema financeiro ampliado, mesmo quando a cobertura não o enquadra como um banco ou uma fintech clássica. Isso importa porque o ecossistema de pagamentos no Brasil é denso e depende de múltiplos atores que compartilham infraestrutura, autenticação e canais de integração.

Em paralelo, a possível restrição de acesso ao Pix para entidades com cibersegurança fraca introduz um novo critério de risco sistêmico. Para as fintechs brasileiras, a exigência potencial não se limita a aplicar correções mais rápido. Ela também obriga a demonstrar governança, segmentação, gestão de identidades, proteção de acesso remoto e capacidade de responder a comprometimentos de terceiros sem arrastar toda a operação.

A alegação da Section9 sobre uma fintech brasileira reforça o interesse de agentes maliciosos pelo mercado. Embora não esteja confirmada, a mera existência dessa reivindicação sugere que o país segue sendo um alvo de alto valor para grupos que buscam monetizar pressão reputacional.

Peru

O Peru foi o país com maior intensidade regulatória. A combinação da Resolução SBS 01741-2026, dos prazos de 24 horas para informar incidentes e da exigência de comunicar interrupções ou eventos aos usuários em menos de um dia coloca bancos e fintechs diante de um padrão mais alto de resposta. Não se trata apenas de cibersegurança em sentido estrito, mas de disciplina operacional e capacidade de comunicação.

O subsegmento de serviços financeiros digitais deve ler esse movimento como uma mudança de maturidade forçada. Uma entidade que não tem rastreabilidade de incidentes, inventário de dependências e roteiros de resposta perde tempo no momento mais caro. Para um PSP, além disso, o risco se estende a comerciantes e clientes finais que sentem o impacto da indisponibilidade dos canais ou da necessidade de invalidar operações.

O alerta da SBS sobre fraudes digitais, embora sem data confirmada, completa o quadro. Ele sugere que a frente de falsificação de identidade e operações não autorizadas continua ativa. Se isso se combina com obrigações de notificação mais rígidas, o resultado é um mercado em que o tratamento de incidentes já não pode ser improvisado.

Subsegmento de pagamentos, adquirência e gateways

Os processadores de pagamento e gateways aparecem afetados de forma indireta em julho pela alegação sobre uma grande credenciadora no Brasil, pela discussão sobre Oracle Payments File Transmission e pela própria natureza dos sistemas atingidos no caso da Caixa. Esse subsegmento concentra funções de alto impacto, porque as decisões de autorização, roteamento e liquidação dependem de componentes internos e de terceiros que nem sempre recebem o mesmo nível de exposição pública que um banco ou um app de consumo.

A lógica de risco para esse grupo é especialmente sensível a vulnerabilidades de software empresarial. Uma falha em um sistema administrativo, em um portal de suporte ou em uma plataforma de integração pode não parecer um ataque ao core de pagamentos, mas pode abrir caminho para credenciais, configuração ou informação transacional. Em julho, esse foi um dos padrões mais consistentes do material.

Subsegmento fintech de consumo

Para as fintechs de consumo, a combinação de regulação, pressão de fraude e exposição a reclamações públicas cria um cenário exigente. Embora o período não tenha registrado fraude ou phishing documentado como categoria nos fatos datados, o alerta da SBS peruana deixa claro que a falsificação de identidade continua sendo uma via relevante de abuso. Além disso, o fato de o mês ter sido dominado por vulnerabilidades indica que a segurança do produto já não pode se limitar ao aplicativo móvel ou ao onboarding, mas deve abranger toda a cadeia de serviços e fornecedores.

Tendências e sinais a monitorar

Não há baseline comparativo do mês anterior, porque este é o primeiro período arquivado com esse formato de indicadores para a América Latina. Por isso, não faz sentido inventar uma variação quantitativa em relação a junho. O sinal que pode ser lido é interno ao próprio mês: predominância de vulnerabilidades, poucos incidentes sem tipificação, um caso com eixo de ransomware ou extorsão e três movimentos regulatórios. Esse perfil sugere que o vetor técnico seguiu mais ativo que o vetor de intrusão confirmada.

A primeira tendência a monitorar é se a pressão regulatória do Peru vai se traduzir em mais divulgação pública de incidentes durante agosto e setembro. Se as entidades começarem a reportar com rapidez e consistência, o mercado vai ganhar visibilidade real sobre a frequência de interrupções, ataques e falhas de terceiros. Se, ao contrário, a conformidade formal atrasar, as primeiras semanas podem mostrar ruído jurídico sem conteúdo técnico suficiente.

A segunda sinalização é o Brasil. Se a discussão sobre o Pix avançar da intenção para um critério operacional, o país pode se tornar uma referência regional sobre como condicionar o acesso a trilhos críticos ao nível de maturidade de cibersegurança. Isso pode pressionar bancos e fintechs a acelerar programas de remediação, inventário e governança de fornecedores. Também pode abrir uma fase mais exigente de auditoria sobre terceiros que hoje se integram a pagamentos sem controles homogêneos.

A terceira sinalização é a persistência de exploração ativa em software de uso geral. Oracle EBS, Fortinet, SonicWall, ColdFusion e SharePoint não são nomes exóticos para equipes de segurança. São plataformas amplamente implantadas, muitas vezes em áreas que não são percebidas como parte do core de pagamentos. Enquanto esse descompasso existir, o risco continuará sendo que o primeiro sinal de comprometimento apareça em um portal de suporte, em um console administrativo ou em um componente de integração, não na camada de transações visíveis.

A quarta sinalização é o mercado cinza das reivindicações de atores. Os dois fatos não confirmados sobre Section9 e 1877 Team mostram que os leak sites e os manifestos seguem funcionando como instrumento de pressão, mesmo quando a validação independente é fraca ou inexistente. Para um CISO, isso obriga a separar ruído de evidência, mas também a assumir que uma simples afirmação pública pode acionar problemas de marca, atendimento ao cliente e negociação com parceiros.

Recomendações para equipes de segurança

Primeiro, revisar a exposição real aos produtos que dominaram a pauta de vulnerabilidades do mês. Não basta saber se Oracle, Fortinet, SonicWall, SharePoint ou Adobe estão no inventário. É preciso saber onde estão, quais privilégios têm, que credenciais usam, quais interconexões mantêm e do que dependem. Em pagamentos, uma aplicação de back office pode ser tão crítica quanto um endpoint de produção.

Segundo, acelerar a classificação de ativos conforme o impacto sobre a continuidade dos pagamentos. Se um sistema toca conciliação, autorização, provisionamento de contas, onboarding ou atendimento de disputas, sua criticidade não pode ficar escondida em uma matriz genérica. As equipes deveriam ter listas de serviços essenciais com responsável, RTO, RPO e critérios de isolamento já definidos. Julho mostrou que interrupções que parecem periféricas acabam afetando transações e confiança.

Terceiro, ensaiar o circuito regulatório antes do incidente. No Peru, as janelas de 24 horas obrigam uma resposta coordenada entre segurança, jurídico, operações e atendimento ao cliente. Isso exige modelos de comunicação, limites de notificação e um mecanismo para determinar rapidamente se o evento afeta usuários ou apenas a infraestrutura interna. No Brasil, se avançar a lógica de condicionar o Pix, a evidência de controles e remediação também precisa estar pronta para auditoria.

Quarto, reforçar a gestão de terceiros e a segmentação de acessos. O material do mês sugere que a cadeia de valor dos pagamentos segue cheia de pontos em que uma falha técnica ou uma credencial exposta pode escalar. Os acessos remotos, os painéis administrativos, os provedores de suporte e as aplicações de integração devem passar por revisão contínua, com MFA robusto, monitoramento de atividade anômala e segregação de privilégios.

Quinto, tratar as reivindicações em leak sites como sinais iniciais, não como fatos consumados. Não convém ignorá-las, mas também não transformá-las em confirmações automáticas. O procedimento útil é triagem interna rápida, preservação de evidências, verificação de escopo e comunicação controlada. No setor financeiro, a reação exagerada pode gerar dano próprio, mas a demora também.

Sexto, priorizar a remediação de vulnerabilidades exploradas ativamente acima de listas genéricas de severidade. Julho deixou claro que o valor do indicador não está só no CVSS, mas na exploração em curso e na proximidade do software com o negócio. Um CVE crítico em uma plataforma de administração com acesso a pagamentos tem mais urgência prática do que uma descoberta teórica em um sistema isolado.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com as fontes listadas como disponíveis para citação. Não foi usada internet nem incorporada evidência externa. A janela temporal dos indicadores é a declarada acima, 66 fatos com data em julho de 2026, mais 1 fato sem data confirmada que ficou fora das contagens.

Um indicador em 0, em particular o de casos de fraude ou phishing documentados, significa que não apareceu um fato tipificado dessa forma no material analisado deste mês. Isso não significa que não haja fraude, phishing ou abuso de identidade na região. Da mesma forma, a cifra de CVEs críticos mencionados reflete apenas o registrado no corpus fornecido e não nega a existência de outras vulnerabilidades exploradas na América Latina durante o período.

Também não se deve confundir os fatos com telemetria. O material não traz cifras agregadas de tentativas, bloqueios ou varreduras, e por isso este relatório não usa esse tipo de dado como substituto de incidentes. As menções a CISA KEV, resumos semanais de vendors ou relatórios técnicos foram tratadas como sinais de vulnerabilidade e exploração ativa, não como volume de intrusão regional medido por sensores.

A cobertura setorial também tem limites. Embora o eixo deste relatório seja neobancos, FinTech e processadores de pagamento, alguns fatos afetam o ecossistema financeiro ampliado, como o caso de Caixa ou os resumos sobre Oracle EBS e SharePoint. Quando forem interpretados, devem ser lidos como riscos de cadeia de valor para o vertical, não como evidência de que todas as vítimas pertençam de forma direta a um neobanco ou a um PSP.

Por fim, foram excluídos dos indicadores os fatos sem data confirmada, embora alguns tragam contexto qualitativo útil, como o alerta da SBS peruana sobre fraudes digitais. Também ficaram fora deste relatório as fontes não listadas para citação, assim como redes sociais de consumo, conteúdo patrocinado e materiais desse tipo, que não foram usados como suporte para afirmações analíticas.

Gráficos