BTG Pactual e a segurança dos dados financeiros: o que bancos e clientes precisam saber

Publicado pela Pentesty · Segurança financeira

No fim de abril de 2026, o BTG Pactual, um dos maiores bancos de investimento da América Latina, notificou clientes de contas internacionais sobre um possível acesso não autorizado a dados pessoais decorrente de um ataque cibernético.

O banco confirmou o incidente e se comunicou diretamente com os clientes afetados. A extensão completa dos dados acessados não foi divulgada publicamente. Mas, para uma instituição que administra patrimônio internacional, mesmo a exposição parcial de dados de contas tem implicações sérias para a privacidade e a segurança financeira.

Esse incidente lembra que nenhum setor é imune, nem mesmo a parte da economia que mais recebe investimentos em segurança e regulação. Plataformas voltadas ao consumidor enfrentam pressões diferentes, mas as medidas dos usuários após uma invasão têm pontos em comum. Veja nossa análise do vazamento da Udemy e do ShinyHunters para entender como dados de identidade se transformam em instrumentos de ataque depois de um vazamento.

O que sabemos

O BTG Pactual confirmou que sofreu um ataque cibernético direcionado aos seus sistemas, que houve acesso não autorizado a dados pessoais de contas internacionais e que o banco notificou proativamente os clientes afetados.

Não foram divulgados os tipos específicos de dados acessados, como números de contas, saldos, documentos de identidade ou histórico de transações. Também não se sabe o número exato de clientes afetados, o vetor usado para obter acesso nem se os dados foram exfiltrados ou apenas acessados durante a intrusão.

Infelizmente, esse nível de divulgação é comum em incidentes de segurança financeira. As obrigações regulatórias precisam ser equilibradas com o risco de litígio e os danos à reputação, e esse equilíbrio costuma deixar o público com uma visão incompleta.

Por que as instituições financeiras são alvos prioritários

As motivações para atacar bancos são óbvias: dinheiro e dados. Mas vale entender a dinâmica específica dos ataques cibernéticos financeiros modernos.

Dados bancários estão entre os mais fáceis de monetizar no mundo. Um único registro que reúna nome, número da conta, documento de identidade e histórico de transações pode ser vendido por centenas de dólares em mercados da dark web. Em escala, uma invasão no setor financeiro pode ter valor extraordinário.

Grandes bancos como o BTG Pactual também operam em várias jurisdições, cada uma com requisitos de segurança, padrões de comunicação e leis de proteção de dados diferentes. Manter uma postura de segurança consistente em meio a essa complexidade é realmente difícil. Isso não é uma desculpa. É um fato que os atacantes conhecem e exploram.

Bancos modernos também dependem de centenas de fornecedores, provedores de SaaS e parceiros de tecnologia. Um ataque não precisa invadir diretamente o banco. Comprometer um fornecedor ou um sistema conectado pode abrir um caminho de entrada. A natureza interconectada da infraestrutura financeira cria uma grande superfície de ataque, difícil de mapear e monitorar completamente de dentro da instituição. Essa realidade da cadeia de suprimentos faz parte do que o OWASP Top 10 descreve como componentes vulneráveis e risco de integridade. Nosso guia do OWASP Top 10 para desenvolvedores conecta essas categorias a práticas concretas de engenharia.

Contas internacionais: um perfil de risco específico

O fato de a notificação do BTG Pactual mencionar especificamente contas internacionais merece atenção.

Contas internacionais frequentemente envolvem transferências entre países, que têm valores elevados e são difíceis de reverter. Envolvem estruturas offshore e holdings com informações complexas sobre beneficiários finais. Atendem pessoas de alto patrimônio, alvos atraentes de spear phishing e engenharia social. E incluem vários documentos de identidade de diferentes jurisdições, passaportes, números de identificação fiscal e muito mais.

Se os atacantes acessaram esse tipo de dado, os riscos posteriores são significativos. Phishing direcionado a clientes de alto patrimônio, falsificação de identidade para transferências fraudulentas ou venda discreta dos dados a partes capazes de explorá-los estrategicamente são cenários realistas.

O que os clientes devem fazer

Se você recebeu uma notificação do BTG Pactual ou é cliente de qualquer instituição financeira que esteja enfrentando um incidente de segurança, há várias medidas que deve tomar imediatamente.

Acesse sua conta e revise todas as transações recentes. Procure qualquer atividade que não reconheça, incluindo pequenas transações de teste que às vezes antecedem transferências fraudulentas maiores.

Atualize a senha do portal bancário e verifique se a autenticação multifator está ativa. Use um aplicativo autenticador em vez de SMS sempre que possível, pois o MFA por SMS pode ser interceptado em ataques de troca fraudulenta de chip, conhecidos como SIM swapping.

Fique extremamente atento a qualquer comunicação que afirme ser do banco. Atacantes que obtêm dados de clientes bancários tentam usá-los imediatamente. Ligue diretamente para o banco usando os números do site oficial para verificar qualquer contato suspeito.

Se documentos de identidade puderem ter sido comprometidos, considere colocar um alerta ou bloqueio de crédito no seu cadastro.

Você também tem o direito de perguntar ao banco quais categorias específicas de dados foram acessadas. Pergunte diretamente e documente a resposta.

O que isso revela sobre a segurança financeira

O incidente do BTG Pactual ilustra uma verdade mais ampla. Os perímetros de segurança dos serviços financeiros não são impenetráveis, independentemente do nível de investimento ou da supervisão regulatória.

Para os profissionais de segurança, isso reforça a importância da mentalidade de presumir uma invasão, ou "assume breach". As organizações devem projetar sistemas e respostas partindo da possibilidade de uma invasão em algum momento, em vez de supor que suas defesas resistirão indefinidamente. Isso significa segmentar dados, monitorar padrões de acesso e manter procedimentos testados de resposta a incidentes, exercitados regularmente, em vez de apenas escritos e arquivados.

A visibilidade da superfície de ataque é igualmente importante. Muitas organizações não têm uma visão completa do que está acessível pela internet. A gestão da superfície de ataque externa significa conhecer o que um atacante vê ao observar sua infraestrutura. Essa visão de fora para dentro é justamente o que serviços como a Pentesty.co foram criados para oferecer, usando as mesmas ferramentas e técnicas dos atacantes e entregando resultados acionáveis em um relatório profissional com o qual sua equipe pode trabalhar imediatamente. Quando o relatório é denso ou tem muito ruído, o problema de separar sinal e ruído é o mesmo de outros contextos. Veja por que seu relatório de pentest pode estar mentindo para você.

A gestão de riscos de terceiros não é opcional para organizações que tratam dados financeiros. Cada fornecedor com acesso a sistemas sensíveis é uma possível porta de entrada. Essas relações precisam de supervisão de segurança, além de itens de conformidade contratual marcados em uma lista.

E conformidade não é segurança. Passar em uma auditoria define um piso, não um teto. As organizações que tratam a conformidade regulatória como o objetivo final do programa de segurança aparecem repetidamente nas notificações de incidentes.

As consequências regulatórias

Dependendo das jurisdições envolvidas, o BTG Pactual pode ser fiscalizado sob a LGPD, a Lei Geral de Proteção de Dados do Brasil, que exige notificar incidentes relevantes à ANPD e aos titulares afetados. Se dados de residentes da União Europeia estiverem envolvidos, as obrigações do GDPR também se aplicam. As regras locais dos países onde estão as contas internacionais afetadas podem acrescentar outros requisitos.

O Banco Central do Brasil também pode exigir comunicações, dependendo da natureza e do escopo do incidente. Os custos reputacionais e financeiros de uma invasão confirmada podem ser substanciais. A prevenção é sempre o melhor investimento.

Principais conclusões

O BTG Pactual confirmou acesso não autorizado a dados de contas internacionais após um ataque cibernético. Dados financeiros internacionais têm um perfil de risco elevado por causa dos valores altos das contas e da exposição entre países. Os clientes devem revisar imediatamente a atividade das contas, atualizar credenciais e observar atentamente tentativas de phishing. Instituições financeiras precisam de uma postura de segurança proativa, pois a conformidade, sozinha, não basta. Visibilidade da superfície de ataque e gestão de riscos de terceiros são requisitos básicos, não práticas avançadas.

Quando um banco é invadido, a pergunta raramente é se isso poderia ter sido evitado. A pergunta é por que não foi detectado antes. Pentesty.co ajuda equipes de segurança a encontrar exposições na infraestrutura antes dos atacantes, com testes de intrusão automatizados e relatórios profissionais entregues em minutos.

Precisa de visibilidade contínua do seu perímetro? Solicite acesso antecipado à Pentesty.