Boas práticas de segurança de dados financeiros

Última atualização: 6 de agosto de 2026

Principais lições deste artigo

• As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, vigentes a partir de março de 2026, impõem requisitos obrigatórios de cibersegurança, MFA, criptografia, logs e pentests anuais para instituições autorizadas pelo BCB.

• A LGPD estabelece multas de até R$ 50 milhões por infração e exige proteção de dados pessoais e financeiros em todas as etapas da operação de antecipação de recebíveis.

• Fraude de cedente e duplicidade de cessão são os principais riscos. Validação em registradoras autorizadas, como CERC e CIP, e monitoramento contínuo são controles essenciais para reduzir perdas.

• Controles como MFA, criptografia AES-256, segregação de funções, logs imutáveis e resposta a incidentes em até 72 horas são obrigatórios e devem ser aplicados também a terceiros.

• Transforme seu negócio com a infraestrutura de crédito completa da Celcoin, que reúne APIs modulares, KYC, AML, criptografia e monitoramento em uma única plataforma neutra.

Checklist de 8 passos para segurança em antecipação de recebíveis BCB

1. Mapear todos os dados pessoais e financeiros processados na jornada de antecipação.

2. Implementar autenticação multifator (MFA) em todos os acessos a ambientes críticos.

3. Aplicar criptografia TLS 1.2+ em trânsito e AES-256 em repouso para dados de cedentes e recebíveis.

4. Adotar controle de acesso com princípio do menor privilégio e segregação de funções.

5. Validar cedentes e parceiros em registradoras autorizadas pelo Banco Central, como CERC e CIP.

6. Manter logs auditáveis e imutáveis com retenção mínima de cinco anos.

7. Realizar pentests anuais por empresa especializada independente, conforme art. 22 da Resolução BCB 538/2025.

8. Estabelecer plano de resposta a incidentes com SLA de contenção e notificação à ANPD em até 72 horas.

1. Contextualização do tema

A antecipação de recebíveis é uma operação de crédito em que o cedente, empresa detentora do direito creditório, transfere esse direito a um cessionário, como um fundo, uma fintech ou uma instituição financeira, em troca de liquidez imediata. Os atores envolvidos incluem originadores, correspondentes bancários, gestoras de FIDCs, custodiantes, administradores e registradoras.

A Resolução BCB nº 96/2021 dispõe sobre abertura, manutenção e encerramento de contas de pagamento. A obrigatoriedade do registro de recebíveis de cartão foi estabelecida pela Resolução CMN nº 4.734/2019 e pela Circular BCB nº 3.952/2019, convertendo cada recebível em um ativo digital rastreável. Esse modelo de Unidade de Recebível ampliou o acesso ao crédito, mas também criou novos vetores de risco. A duplicidade de cessão, em que o mesmo recebível é antecipado mais de uma vez, permanece uma fragilidade estrutural sem controles centralizados.

Tratar temas como criptografia e tokenização de recebíveis, KYC e autenticação para originadores, monitoramento de logs em operações de crédito e prevenção de fraudes em cessão de direitos como requisitos operacionais e regulatórios reduz riscos financeiros e regulatórios.

2. Diagnóstico inicial

Compreender a superfície de risco da operação orienta a escolha dos controles de segurança. Os fatores determinantes incluem volume e diversidade de cedentes, número de integrações com registradoras e sistemas de score, modelo de cessão com ou sem coobrigação e grau de terceirização de serviços de nuvem e processamento.

Esses fatores de risco definem quais exigências regulatórias se aplicam à operação. As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 estendem a responsabilidade da instituição autorizada aos serviços terceirizados de processamento e armazenamento de dados e de computação em nuvem, que devem atender aos mesmos padrões de segurança. Pela LGPD, no art. 46, dados financeiros devem ser protegidos contra acessos não autorizados em todas as etapas do ciclo de vida.

Dica útil: realizar um mapeamento de dados, ou data mapping, identificando o que é coletado, onde está armazenado, quem acessa, com qual finalidade e por quanto tempo é retido, cria a base para qualquer programa de conformidade com a LGPD e com as resoluções do BCB.

3. Execução do processo

Organizar os controles de segurança em domínios práticos facilita a implementação. Este guia aborda oito domínios principais.

Governança e política de segurança cibernética

As resoluções de cibersegurança exigem políticas de segurança cibernética efetivas aplicadas na prática ao ambiente tecnológico, e não apenas documentos formais. Para atender a esse requisito de efetividade, a política deve cobrir autenticação, gestão de vulnerabilidades, criptografia, proteção de rede e controle de acessos, com revisão periódica documentada.

Controle de acesso com MFA e least privilege

A Resolução BCB 538 define controles para gestão de acessos em ambientes críticos. O princípio do menor privilégio determina que cada usuário ou sistema acesse apenas os recursos estritamente necessários para sua função. As resoluções também exigem revogação automatizada de acessos no desligamento de colaboradores e provisionamento just in time para acessos privilegiados.

Criptografia e tokenização de recebíveis

A LGPD, no art. 46, e a Resolução BCB 85/2021 recomendam criptografia em trânsito com TLS 1.2+ e em repouso com AES-256. A tokenização substitui dados sensíveis de recebíveis por tokens não identificáveis e reduz o impacto de eventuais vazamentos. Hardware Security Modules com certificação FIPS 140-2 gerenciam o ciclo de vida completo das chaves criptográficas em operações financeiras.

Como validar parceiros no Banco Central

Validar o cedente por meio de registradoras autorizadas pelo Banco Central, como CERC e CIP, é o controle primário para reduzir os riscos mencionados anteriormente, como lastro fabricado e duplicidade de cessão. A verificação deve incluir consulta ao cadastro da registradora, análise de consistência fiscal e operacional do cedente e confirmação de que o recebível não está onerado em outra operação. O Banco Central introduziu procedimentos de credenciamento para prestadores de serviços de tecnologia com acesso à RSFN, o que afeta a seleção e a governança de fornecedores em cadeias de terceirização.

Monitoramento de logs em operações de crédito

As resoluções exigem o registro de acessos e operações críticas. Sistemas SIEM correlacionam logs de APIs, firewalls, endpoints e bancos de dados para identificar atividade maliciosa em tempo real e apoiar investigações de incidentes.

Prevenção de fraudes em cessão de direitos

Nenhuma alteração de domicílio bancário ou destino de liquidação deve ser executada com base exclusivamente em e-mail, e a confirmação deve ocorrer por canal independente com aprovação dupla e registro em log. Verificação out of band, como callback para número pré-cadastrado, antes de qualquer alteração de dados bancários do cedente, é uma medida eficaz contra fraude de Business Email Compromise.

Boas práticas: implementar segregação de funções para aprovação de operações de cessão reduz o risco de fraude interna. Quem registra o recebível não deve ser a mesma pessoa que autoriza a liquidação. Trilhas de auditoria imutáveis de todas as aprovações atendem às exigências de governança da CVM e do Banco Central.

KYC e autenticação para originadores

Para operações de abertura de conta, concessão de crédito e KYC ou AML, as bases legais primárias sob a LGPD são execução de contrato, no art. 7º, V, e cumprimento de obrigação legal, no art. 7º, II, o que dispensa consentimento para esses fins específicos. O KYC deve incluir verificação documental, análise de background e validação de dados bancários antes do primeiro desembolso.

Gestão de terceiros, resposta a incidentes, continuidade e backups

Incidentes de segurança que gerem risco ou dano relevante devem ser comunicados à ANPD e aos titulares em até 3 dias úteis, com plano documentado de contenção, investigação, remediação e análise pós-incidente. Backups imutáveis e testados, combinados com segmentação de rede e EDR, são controles essenciais para recuperação rápida de ransomware que atinja o pipeline de análise e liquidação.

4. Validação e acompanhamento

Medir a eficácia dos controles implementados por indicadores objetivos permite ajustar a operação com base em evidências. Os critérios de sucesso incluem ausência de incidentes de cessão duplicada nos relatórios de registradoras, tempo médio de detecção e contenção de anomalias dentro do SLA definido, cobertura de 100% dos acessos críticos por MFA e aprovação nos pentests anuais exigidos pela Resolução BCB 538/2025 sem vulnerabilidades críticas abertas.

Realizar revisão periódica mantém o programa de segurança alinhado à evolução do negócio. Essa revisão deve contemplar atualização do mapeamento de dados, reavaliação de fornecedores terceirizados conforme os padrões das resoluções vigentes e testes de restauração de backups. A Resolução BCB 538 exige avaliação contínua de vulnerabilidades com processos documentados de remediação e monitoramento de desvios de configuração.

Infraestrutura da Celcoin para controles regulados

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Empresas como originadores, fintechs, correspondentes bancários e gestoras de fundos podem implementar os controles descritos neste guia sem construir tudo internamente. A Celcoin disponibiliza uma plataforma full stack neutra que cobre toda a jornada do crédito, da originação à cobrança, com KYC, AML, autenticação robusta, APIs modulares e monitoramento integrados.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Uma solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes e protege sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

Cada uma dessas funcionalidades foi desenvolvida para atender aos requisitos das resoluções de cibersegurança sem que sua empresa precise construir a infraestrutura do zero. Transforme seu negócio com a infraestrutura de crédito completa da Celcoin e opere antecipação de recebíveis com os controles regulatórios já integrados.

Perguntas frequentes

O que são as Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 e quem deve cumpri-las?

As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025 são normas do Banco Central do Brasil que estabelecem requisitos mínimos obrigatórios de cibersegurança e gestão de riscos tecnológicos para todas as instituições autorizadas a funcionar pelo BCB. Essas instituições incluem bancos, fintechs, cooperativas de crédito, instituições de pagamento e administradoras de consórcio. Com vigência a partir de 1º de março de 2026, as normas exigem políticas de segurança cibernética efetivas, autenticação forte com MFA, criptografia, controle de acessos, logs auditáveis com retenção mínima de cinco anos e pentests anuais realizados por empresa especializada independente. A responsabilidade se estende a serviços terceirizados de nuvem e processamento de dados, que devem atender aos mesmos padrões.

Como a LGPD se aplica especificamente a operações de antecipação de recebíveis e FIDCs?

A LGPD, Lei nº 13.709/2018, regula o tratamento de dados pessoais e financeiros processados em operações de antecipação de recebíveis e FIDCs. Dados como CPF, histórico de transações, scores de crédito, chaves Pix e logs de acesso são classificados como dados pessoais protegidos pela lei. As bases legais mais utilizadas em operações de crédito são execução de contrato, no art. 7º, V, e cumprimento de obrigação legal, no art. 7º, II, que cobrem KYC, PLD ou FT e consultas a bureaus de crédito sem necessidade de consentimento. O descumprimento pode resultar em multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada ao teto mencionado anteriormente, além de outras sanções administrativas previstas no art. 52 da lei.

Quais são os principais riscos de fraude em antecipação de recebíveis e como mitigá-los?

Os dois principais vetores de fraude são a fraude de cedente, em que o assignor cede um recebível inexistente e gera perda total do ativo, e a duplicidade de cessão, em que o mesmo recebível é antecipado mais de uma vez. A mitigação exige validação do cedente em registradoras autorizadas pelo Banco Central, como CERC e CIP, análise de consistência cadastral e fiscal do cedente, verificação out of band antes de qualquer alteração de domicílio bancário, segregação de funções entre quem registra e quem aprova a liquidação e monitoramento contínuo com alertas em tempo real para anomalias no fluxo de cessão.

O que é o princípio do menor privilégio e por que ele é relevante para operações de crédito?

O princípio do menor privilégio, ou least privilege, determina que cada usuário, sistema ou processo acesse apenas os recursos estritamente necessários para executar sua função. Em operações de antecipação de recebíveis, isso significa que um analista de crédito não deve ter acesso ao módulo de liquidação e que um sistema de consulta a registradoras não deve ter permissão de escrita em bases de dados de cedentes. A aplicação desse princípio reduz a superfície de ataque interna e limita o impacto de credenciais comprometidas. As resoluções de cibersegurança tornam obrigatória a gestão de acessos privilegiados com provisionamento just in time e revogação automatizada no desligamento de colaboradores.

Uma fintech ou correspondente bancário precisa construir toda essa infraestrutura de segurança internamente?

Uma fintech ou um correspondente bancário não precisa construir toda a infraestrutura de segurança internamente. A complexidade regulatória e o custo de desenvolvimento de controles de segurança, como MFA, criptografia, KYC, AML, logs auditáveis, pentests e resposta a incidentes, tornam esse caminho inviável para a maioria das empresas. A alternativa é contratar uma infraestrutura tecnológica full stack que já entregue esses controles integrados e permita que a empresa foque no desenvolvimento de produtos e na experiência do cliente. Nesse modelo, o parceiro de infraestrutura mantém a plataforma atualizada em conformidade com as resoluções do Banco Central e com a LGPD, enquanto a empresa opera sob licenças e controles já homologados.