A sexta-feira em que dois bancos culparam alguém sem nome
Na sexta-feira, 6 de novembro, quem tentou sacar ou depositar criptomoeda no Nubank ou no Mercado Pago deu de cara com um aviso no aplicativo. Os dois serviços estavam suspensos. A explicação, nos dois casos, apontava para fora de casa: um fornecedor. Sem nome.
O Nubank falou em instabilidade num “fornecedor externo de dados”, disse que não havia risco de segurança e que as operações voltariam quando o serviço fosse restabelecido, segundo reportagem da Folhapress publicada no mesmo dia. O Mercado Pago foi um pouco mais longe: atribuiu o problema a “um incidente sofrido por um fornecedor de monitoramento de risco e prevenção à lavagem de dinheiro” e informou que parte das transferências para carteiras externas foi bloqueada “como medida de proteção”. Compra e venda seguiram normais.
O Nubank retomou saques e depósitos às 22h daquela sexta, depois de quase um dia de suspensão, de acordo com levantamento da TV Sim Brasil publicado em 7 de novembro. Até ali, segundo a mesma reportagem, o Mercado Pago não tinha confirmado a normalização.
E aí começou a parte curiosa. A área de suporte do próprio Nubank cita a Fireblocks como custodiante dos ativos digitais dos clientes. A Fireblocks soltou nota dizendo que a interrupção “não é resultado de nenhum problema na plataforma Fireblocks”. Ou seja: um banco culpa um fornecedor que não nomeia, o fornecedor mais óbvio diz que não foi ele, e o cliente fica sem saber quem falhou. Nas palavras da TV Sim Brasil, “nenhuma das três empresas confirmou publicamente qual fornecedor causou a instabilidade”.
Não é escândalo. As duas empresas dizem que recursos e dados dos clientes ficaram protegidos. Mas é um retrato bem fiel de como a maioria das empresas comunica incidente hoje.
Mas o banco não está errado em “proteger” o nome do fornecedor?
Penso que não está errado, mas está incompleto. Existem bons motivos para segurar o nome no primeiro momento: investigação em curso, cláusula de confidencialidade, risco de expor um parceiro que ainda está sob ataque. Nenhum deles justifica deixar o cliente sem as três respostas que ele quer de verdade.
O que aconteceu com o meu dinheiro e com os meus dados?
O que vocês fizeram para conter?
Quando volta, e como eu fico sabendo?
O nome do fornecedor é o que menos importa para o cliente. Importa para quem precisa avaliar o risco dali para frente (outro banco que usa o mesmo serviço, por exemplo). O problema de “foi um fornecedor” é outro: a frase transfere a culpa sem transferir a responsabilidade. Para quem contratou o banco, o banco é o responsável. O contrato com o terceiro é assunto entre o banco e o terceiro.
E o que a regra brasileira já exige de quem comunica?
Mais do que muita empresa imagina, quando há dado pessoal em jogo. A Resolução CD/ANPD nº 15, de abril de 2024, aprovou o Regulamento de Comunicação de Incidente de Segurança. Segundo a página oficial da Autoridade Nacional de Proteção de Dados (ANPD), atualizada em agosto de 2026, o controlador tem três dias úteis para comunicar a ANPD e os titulares, com possibilidade de complementar a informação em até 20 dias úteis, justificando.
E a comunicação ao titular tem conteúdo mínimo. Linguagem simples, a natureza dos dados afetados, os riscos e possíveis impactos, as medidas tomadas para reverter ou mitigar, a data em que a empresa soube do incidente e um contato para informações. Repare no que não está na lista: o nome do fornecedor. A regra não pede culpado. Pede consequência, providência e canal.
No caso da cripto, as duas empresas dizem que os dados e os recursos ficaram protegidos, então pode nem haver obrigação de comunicar pela Lei Geral de Proteção de Dados Pessoais (LGPD). Mas o roteiro da ANPD serve de régua para qualquer comunicado, obrigatório ou não. É um bom checklist do que o cliente quer ouvir.
Por que isso pesa mais no sistema financeiro agora?
Porque os números subiram rápido. O Relatório de Estabilidade Financeira do Banco Central (BC), divulgado em 27 de outubro e noticiado pela Agência O Globo, registra 99 incidentes cibernéticos comunicados ao BC em 2026 até setembro. Em todo o ano de 2025 foram 76. Em 2024, 59. Fraudes respondem por 68 dos 99 casos, ou 69%. O próprio BC pondera que parte da alta vem de detecção melhor.
Um dos casos descritos no relatório é exatamente o enredo do terceiro: criminosos invadiram um provedor de tecnologia e conseguiram as chaves do certificado digital de uma instituição cliente. O certificado não tinha sido desativado depois de uma mudança de conexão. O BC impôs limites temporários de operação e exigiu a troca do certificado. E, detalhe, o relatório não identifica as empresas envolvidas.
O mesmo levantamento, feito com 1.365 instituições no primeiro semestre, mostra que só 42% avaliam periodicamente o risco cibernético de cada fornecedor. Isso no setor mais regulado do país, e em dado autodeclarado.
Some a isso que o prazo para as empresas de cripto pedirem autorização ao BC terminou em 30 de outubro, segundo a TV Sim Brasil. O mercado está entrando na regulação justamente quando descobre de quem depende.
Onde fica o problema para nós do mundo real?
Fora dos bancos, a situação costuma ser pior, porque ninguém cobra. A empresa média brasileira tem uma fila de fornecedores que tocam dado de cliente: folha de pagamento, CRM, emissão de nota, antifraude, atendimento terceirizado. Quantos desses contratos dizem quem avisa quem, em quanto tempo, e quem fala com o cliente final quando o problema é do terceiro?
Na minha leitura, o erro mais comum não é técnico. É de ensaio. A empresa tem plano de resposta a incidente, às vezes até bem escrito, mas ele foi pensado para o ataque dentro de casa. Quando o incidente acontece no fornecedor, a primeira hora vai embora em descobrir quem do outro lado atende o telefone. E o comunicado sai com a única coisa que a empresa sabe naquele momento: “foi um fornecedor”.
Três perguntas resolvem boa parte disso, e dá para fazer ainda este mês.
Os contratos com os fornecedores críticos têm prazo de notificação de incidente para a sua empresa, em horas, e não em “prazo razoável”?
Existe um modelo de comunicado ao cliente que responde o que aconteceu, o que foi feito e quando volta, sem depender do nome do terceiro?
Alguém já simulou o incidente no fornecedor, com a área de comunicação na sala?
O que esperar daqui para frente?
A tendência é a cobrança vir de fora. O BC já mostrou, no relatório, que olha para o elo do fornecedor. A ANPD já tem prazo e conteúdo definidos. E o cliente, que aprendeu a ler aviso de app, vai continuar perguntando quem falhou.
O nome do fornecedor pode esperar a investigação. A resposta ao cliente, não. Quando o próximo incidente acontecer no terceiro, o seu comunicado vai dizer o que mudou para o cliente, ou só vai apontar para fora?
Café com Bytes, Onde tecnologia encontra provocação.
Até o próximo Café com Bytes, com ceticismo saudável e café bem passado.
Ricardo Brasil | Especialista em IA Responsável e Diretor de TI na GWS Engenharia — Colunista Café com Bytes | Tecnologia | Inteligência Artificial
Sobre o Autor
Ricardo Brasil é Diretor de TI e Gestão Corporativa da GWS Engenharia, especialista em IA Responsável, transformação digital e governança de TI. É colunista da série Café com Bytes, onde escreve semanalmente sobre tecnologia, inteligência artificial e seus impactos no ambiente corporativo brasileiro.
