Em julho de 2025, o Brasil registrou o maior golpe financeiro da sua história. R$ 541 milhões saíram do Banco BMP, e o desvio total escalou para R$ 710 milhões antes de a poeira baixar. O detalhe que deveria tirar o sono de qualquer CTO de fintech não é o valor. É o vetor.
Não houve genialidade técnica. Nenhum zero-day, nenhuma cadeia elaborada de exploração. O que abriu a porta foi uma credencial legítima de um provedor terceiro — uma dessas empresas que conectam bancos ao PIX. Um acesso válido, funcionando exatamente como projetado, usado por quem não devia. O ataque atravessou a infraestrutura pela fronteira que quase ninguém audita com o mesmo rigor que audita o próprio código: a cadeia.
Se você opera um banco digital, uma lending ou uma fintech de payments, essa história não é sobre o BMP. É sobre a superfície de risco que você herdou sem nunca ter mapeado por completo.
A tentação é ler o caso C&M/PIX como um problema de gestão de credenciais de um fornecedor específico. É mais fundo que isso. O padrão se repete porque o risco quase sempre se esconde na parte do sistema que ninguém revisa linha a linha.
Dois lugares concentram esse ponto cego: o código legado que você recebeu de fusões, migrações e reescritas pela metade — e as dependências de terceiros que sustentam a base. Hoje, mais de 75% do volume de qualquer codebase moderno é open source (Synopsys/CISQ, 2024). Ou seja: a maior parte do que roda em produção na sua fintech não foi escrita pelo seu time. São bibliotecas, frameworks e SDKs mantidos por terceiros, versionados por terceiros, e — com frequência desconfortável — vulneráveis por conta de terceiros.
Chaves PIX ilustram bem o custo dessa lacuna. A QI SCD teve 25.349 chaves PIX expostas em março de 2025, episódio que o Banco Central atribuiu a "falhas pontuais nos sistemas". E não foi um caso isolado: foram ao menos quatro instituições com vazamento de chave em doze meses. O denominador comum não é azar. É a distância entre o que a política de segurança promete e o que o sistema efetivamente faz quando ninguém está olhando.
Até recentemente, dava para tratar a segurança da cadeia como um exercício de boa vontade da engenharia. Desde dezembro de 2025, não dá mais. A Resolução CMN 5.274, em conjunto com a Resolução BCB 538, passou a exigir pentest independente anual das instituições reguladas.
O que muda na prática: uma vez por ano, alguém de fora vai olhar para o seu sistema com a intenção de quebrá-lo. Se o primeiro relatório de vulnerabilidades da sua fintech chegar pela mão do pentester obrigatório, ele vai chegar tarde, caro e com auditor por perto. A pergunta operacional deixa de ser "vamos fazer pentest?" e passa a ser "o que ele vai encontrar antes de encontrarmos?".
Aqui está a tese que sustenta tudo isso: conformidade não se prova em política — se prova no que o sistema realmente faz. O BACEN cobra o resultado, mas não vai auditar o seu repositório linha a linha. Quem precisa enxergá-lo, antes de qualquer terceiro, é você.
Sejamos honestos sobre o que dá para enxergar. O SQA não vigia a credencial que um fornecedor seu deixou vazar — esse controle mora do lado do terceiro, e nenhum scan de repositório o alcança. O que ele mostra é a sua versão do mesmo risco: onde o seu próprio código confia cegamente em terceiros. O caso do BMP é a categoria; o seu repositório tem a versão dele.
É esse o trabalho do pilar de Code Security do SQA. Ele lê o repositório e mapeia a exposição real do sistema em três frentes: vulnerabilidades no código próprio, hotspots que pedem revisão humana (autenticação, criptografia, controle de acesso) e — o ponto cego de sempre — dependências de terceiros com falhas conhecidas, além de secrets que ficaram no histórico do Git.
A diferença que importa está na priorização. Rodar um scanner e receber mil CVEs não é visibilidade; é ruído com aparência de trabalho. O SQA gradua o risco de A–F por exposição real, separando a vulnerabilidade que alguém consegue alcançar em produção do achado teórico que nunca será tocado. O resultado é uma lista curta e acionável do que endereçar primeiro — não uma planilha que ninguém lê até o incidente.
E é rápido. O primeiro grau A–F sai em ~15 minutos depois de conectar o repositório; o diagnóstico completo fica pronto em horas, não em semanas.
Antes do próximo pentest obrigatório — e antes de a cadeia decidir por você — vale saber o que o seu código realmente expõe.
Conecte um repositório e receba o diagnóstico A–F gratuito — com a leitura de Code Security priorizada por risco concreto: o que um atacante alcançaria primeiro, e o que o auditor vai perguntar. Sem planilha de mil CVEs. Só o que importa, antes que importe do jeito errado.
A Codurance é uma consultoria global de engenharia de software, reconhecida por sua expertise em qualidade, arquitetura e práticas modernas de desenvolvimento, com forte base em Software Craftsmanship.
Apoia empresas na construção de capacidade técnica sustentável, desenvolvendo sistemas confiáveis, seguros e fáceis de evoluir, reduzindo custos, riscos e tempo de entrega.
No Brasil, destaca-se principalmente por projetos de Software Quality Assessment (SQA), modernização tecnológica e transformação de engenharia.
Mais informações: https://www.codurance.com/pt/
Contato: contato@codurance.com