Fintech Swap bloqueia tentativa de ataque e reforça segurança em meio a onda de fraudes digitais no Brasil
A Swap, fintech brasileira de infraestrutura financeira especializada em Banking as a Service (BaaS) para operações B2B, confirmou ter identificado e bloqueado uma tentativa de invasão aos seus sistemas na sexta-feira, 19 de junho. A empresa informou que a ação foi totalmente contida e que não houve qualquer prejuízo financeiro nem vazamento de informações sensíveis de clientes ou parceiros.
De acordo com comunicado enviado ao mercado, a fintech destacou que seus mecanismos de monitoramento em tempo real foram determinantes para detectar o comportamento suspeito ainda na fase inicial do ataque. “Nossos sistemas de monitoramento contínuo detectaram e neutralizaram prontamente uma atividade atípica em seu ambiente de pagamentos”, afirmou a companhia, que oferece soluções de contas digitais, cartões corporativos e meios de pagamento como Pix, boleto e TED para empresas.
O episódio ocorre em um cenário de forte pressão sobre o setor de pagamentos e fintechs no Brasil, marcado por um crescimento expressivo de tentativas de fraude e incidentes cibernéticos envolvendo instituições reguladas e provedores de infraestrutura financeira. Embora o ataque à Swap tenha sido frustrado, o caso reforça o clima de alerta no ecossistema.
Após a detecção da tentativa de invasão, o Banco Central comunicou os participantes do Sistema de Pagamentos Instantâneos (SPI), que dá suporte às transações via Pix, sobre a identificação de um “evento cibernético” envolvendo a Swap Instituição de Pagamento. No alerta, o BC recomendou atenção redobrada às transações fora do padrão e orientou as instituições a bloquearem recursos associados a operações consideradas suspeitas, além de intensificarem o trabalho conjunto entre times de segurança e áreas de risco.
Em sua manifestação, a Swap reiterou que “não houve qualquer comprometimento de dados pessoais ou prejuízo financeiro” e afirmou estar “atuando proativamente no caso”, em cooperação com autoridades e demais elos do sistema financeiro. A fintech pontuou ainda que mantém um programa contínuo de revisão de controles, reforço de barreiras de proteção e aprimoramento de processos internos, em linha com exigências regulatórias e melhores práticas de mercado.
O incidente ganha relevância adicional porque acontece em um momento em que ataques a instituições de pagamento expõem vulnerabilidades estruturais do modelo de negócios baseado em BaaS, no qual múltiplos players se apoiam em uma mesma infraestrutura tecnológica para operar. Em janeiro de 2026, por exemplo, uma falha de governança na gestão de certificados do Pix permitiu que criminosos explorassem credenciais antigas, vazadas de uma base histórica da JD Consultores, para realizar transações fraudulentas em nome de um cliente que não havia revogado certificados obsoletos.
Ainda mais emblemático foi o ataque ocorrido em junho de 2025 contra a C&M Software, que resultou no desvio de quase R$ 1 bilhão das contas-reserva mantidas no Banco Central por seis instituições financeiras, segundo relatório técnico da Asper. Nesse caso, um ex-funcionário da empresa declarou ter recebido R$ 15 mil para entregar suas credenciais de acesso, o que possibilitou aos invasores emitir uma série de ordens de transferência. A primeira movimentação considerada anômala, no valor de R$ 18 milhões, aconteceu às 4h17 do dia 30 de junho, marcando o início de um dos maiores golpes já registrados no setor.
As investigações sobre o episódio da C&M revelaram uma combinação de fatores: uso de engenharia social contra colaboradores, conivência interna (insider) e brechas nos mecanismos de validação das transações de liquidação. O relatório da Asper apontou três fragilidades centrais: concentração de risco em um único hub de mensageria, ausência de múltiplos fatores de autenticação para operações fora do padrão histórico e falta de segregação robusta de credenciais críticas. Em outras palavras, um acesso indevido em um ponto da cadeia foi suficiente para escalar o risco e converter uma falha localizada em um prejuízo bilionário.
O Banco Central registrou 33 incidentes de segurança entre janeiro e maio de 2026, dos quais 25 estavam diretamente relacionados a fraudes – o maior número já observado para esse intervalo de tempo. Esse aumento sustenta a percepção de que o Brasil vive uma verdadeira “pandemia de fraude digital”, em que criminosos aproveitam o crescimento acelerado dos meios de pagamento eletrônicos e a complexidade das integrações entre sistemas para testar, repetidamente, novas formas de ataque.
Dentro desse contexto, o caso da Swap chama a atenção justamente por ter sido contido antes de se transformar em um novo escândalo. Especialistas em cibersegurança apontam que a rápida detecção de comportamentos anômalos – como picos de transações incomuns, acessos em horários atípicos ou tentativas de uso indevido de chaves e certificados – é hoje um dos fatores mais decisivos para reduzir impactos de incidentes. Sistemas de monitoramento contínuo, uso intensivo de análise comportamental e integração entre times de tecnologia, segurança e negócio tendem a fazer a diferença entre um “quase incidente” e uma perda efetiva.
O modelo Banking as a Service, do qual a Swap é um dos expoentes no país, traz benefícios como agilidade, redução de barreiras de entrada e inovação acelerada, mas também amplia a superfície de ataque. Quando muitas empresas dependem de um mesmo provedor de infraestrutura para realizar liquidações, emitir cartões ou processar Pix e boletos, esse intermediário passa a ser um alvo altamente atrativo. Um comprometimento bem-sucedido pode ter efeito cascata, atingindo não apenas o provedor, mas todas as instituições conectadas a ele.
Por isso, recomendações recentes de consultorias especializadas, como as da Apura Cyber Intelligence, destacam a necessidade de fortalecer a resiliência do ecossistema como um todo. Entre as práticas sugeridas estão: revisão periódica de arquitetura de segurança, segmentação rigorosa de ambientes de produção, limitação de privilégios de acesso, autenticação forte e multifatorial para operações sensíveis, automatização de respostas a incidentes e testes de invasão frequentes, inclusive envolvendo terceiros da cadeia de suprimentos tecnológica.
Outro ponto enfatizado por analistas é a governança sobre certificados, chaves criptográficas e credenciais de alta criticidade – um dos calcanhares de Aquiles revelados nos casos anteriores. Certificados antigos não revogados, credenciais compartilhadas entre times ou armazenadas de forma inadequada e ausência de rotinas de rotação periódica aumentam significativamente o risco. A recomendação é que fintechs e instituições de pagamento adotem políticas rígidas de ciclo de vida de credenciais, com automação de revogação e monitoramento de uso anômalo.
A Swap, que se posiciona como “a única infraestrutura financeira especializada em negócios B2B” e ostenta certificações como PCI e selo Great Place to Work, atende clientes corporativos como Swile, Up e SalaryFits. Esses selos não eliminam o risco de incidentes, mas sinalizam que há processos formais de gestão de segurança, conformidade e governança. A eficácia desses controles, no entanto, depende de atualização constante, investimento continuado em tecnologia e capacitação de equipes, além de uma postura de transparência em relação a eventos relevantes.
Para empresas que utilizam soluções de BaaS, o episódio serve de lembrete de que terceirizar infraestrutura não significa terceirizar responsabilidade. É fundamental que contratantes avaliem não apenas o portfólio de produtos de seus provedores, mas também sua maturidade em segurança: existência de SOC (centro de operações de segurança) 24×7, certificações atualizadas, programas de bug bounty, histórico de incidentes e tempo de resposta, além de cláusulas contratuais claras sobre notificação e gestão de crises.
Do lado regulatório, a tendência é que o Banco Central e outros órgãos intensifiquem exigências de transparência, planos de continuidade de negócios e testes de resiliência cibernética para instituições participantes do Pix e demais arranjos de pagamento. O aumento de notificações oficiais de incidentes e a circulação de comunicados de risco para o mercado mostram que a autoridade monetária acompanha de perto a evolução do cenário e cobra ações coordenadas dos diversos atores.
Para o usuário final – seja ele um cliente de uma fintech, seja uma empresa que opera grandes volumes transacionais – o episódio reforça a importância de algumas medidas básicas, mas frequentemente negligenciadas: manter canais de contato atualizados com as instituições financeiras, habilitar alertas de transação, revisar periodicamente acessos e perfis de usuários internos, reportar imediatamente qualquer movimentação suspeita e exigir de parceiros tecnológicos evidências concretas de boas práticas de segurança.
Em síntese, a tentativa de invasão à Swap, embora não tenha gerado perdas nem vazamentos, é mais um sinal de que o ambiente de pagamentos instantâneos e de infraestrutura financeira digital no Brasil entrou em um estágio de maturidade em que ataques passaram a ser uma questão de “quando” e não de “se”. A diferença entre um incidente de grandes proporções e um evento contido está, cada vez mais, na capacidade de monitorar, detectar e responder rapidamente – algo que, neste episódio específico, funcionou a favor da fintech.