Um invasor permanece, em média, 186 dias dentro da rede de uma instituição financeira brasileira antes de ser detectado, contra 148 na média do resto do mundo, tempo suficiente para causar grandes prejuízos. A defasagem, medida no relatório de 2026 da consultoria EcoTrust, expõe o descompasso entre uma linha de frente que liquida pagamentos em segundos e uma retaguarda que leva meses para perceber a invasão.

Para a TIVIT, multinacional de tecnologia do Grupo Almaviva, a origem do atraso está na espinha dorsal dos bancos. O núcleo transacional, que controla contas, empréstimos e compensações, ainda roda na maioria dos casos em mainframes programados em COBOL, arquitetura concebida há várias décadas, e esse ambiente concentra cerca de 95% das operações em caixas eletrônicos e 80% dos pagamentos presenciais.

“A defesa moderna exige detecção inteligente de fraudes em milissegundos, respostas em tempo real e a implementação de arquiteturas de Zero Trust (ZTA ou Arquitetura de Confiança Zero – um sistema de segurança elevada que tem como princípio fundamental “nunca confiar, sempre verificar”, e exige validação contínua para cada tentativa de acesso). Contudo, conectar ferramentas de defesa de ponta a núcleos rígidos desenvolvidos há décadas requer camadas de integração complexas (wrappers), que acabam por ampliar a superfície de ataque e gerar novas vulnerabilidades”,  afirma Thiago Tanaka, diretor de Cibersegurança da TIVIT.

O atraso na detecção de incidentes cibernéticos ganhou peso econômico no último ano com a mudança de tática do crime organizado. Em vez de mirar as grandes instituições diretamente, os criminosos passaram a invadir seus parceiros de tecnologia. Provedores de infraestrutura, integradores e fintechs intermediárias viraram porta de entrada de fraudes, que desviaram R$1,5 bilhão em 2025, de acordo com a Tenchi Security. Ao comprometer um único fornecedor, o atacante alcança dezenas de instituições de uma vez.

Blindar uma cadeia tão interligada sem interromper a operação para reconstruir o núcleo virou a aposta dominante do setor. Trocar todo o sistema de processamento de uma vez, o chamado Big Bang, é caro e arriscado, já que, segundo a IBM, 94% desses projetos estouram prazo e orçamento. Por isso, o mercado tem optado por modernizar apenas o que gera diferencial ao cliente e integrar dados e IA ao mainframe, em vez de aposentá-lo. “Não dá para fazer transplante de coração com o paciente correndo. O caminho é orquestrar segurança e inteligência sobre a infraestrutura que já existe, sem parar a operação nem jogar fora o que a empresa já investiu”, diz Tanaka.

A pressão regulatória tenta encurtar o tempo de exposição. Pelas Resoluções 538/2025 e CMN 5.274/2025, com prazo de conformidade encerrado em 1º de março, o Banco Central trocou recomendações genéricas por 14 controles técnicos obrigatórios e passou a exigir que as instituições comprovem, com evidências, que suas defesas funcionam sob estresse, com a governança de acessos como uma das pilastras centrais.

Tanaka observa, porém, que o volume de recursos ainda não acompanha a dimensão desse desafio. Segundo a pesquisa da Febraban, os bancos preveem investir R$5 bilhões em cibersegurança, dentro de um orçamento total de R$50,4 bilhões para tecnologia. “Manter o legado funcionando consome cerca de 60% do orçamento de tecnologia dos bancos. Com isso, apenas cerca de 10% desse orçamento é destinado à segurança, abaixo da média internacional, de 14%”, diz o especialista. Para o setor, o avanço da segurança passa por proteger ambientes cada vez mais complexos sem deixar que a manutenção da infraestrutura existente limite os investimentos em novas camadas de proteção.