Quando se fala em segurança da informação no mercado financeiro, ataques externos, invasões e golpes costumam ocupar o centro das atenções. Mas, para instituições que processam grandes volumes de pagamentos, parte importante dos riscos pode estar dentro da própria arquitetura dos sistemas: permissões excessivas, credenciais compartilhadas, falhas no controle de acessos ou integrações sem mecanismos adequados de autenticação. Em operações de alta volumetria, esses pontos ganham dimensão ainda maior. Uma configuração inadequada pode permitir, por exemplo, que um usuário aprove uma transação acima de sua alçada ou que uma credencial comprometida seja utilizada para realizar operações que deveriam estar fora daquele perfil.

Para Eurico Nicacio, Head of Cloud, Security e IT na Trio, empresa especializada em tecnologia para pagamentos, a segurança precisa ser considerada desde a construção da infraestrutura financeira. “Segurança não pode ser uma camada adicionada depois que a operação já está funcionando. Quando estamos falando de pagamentos e grandes volumes de transações, controle de acesso, autorização e rastreabilidade precisam fazer parte da arquitetura desde o início. É isso que permite crescer mantendo controle sobre quem pode fazer o quê e reconstruir cada ação quando necessário”, afirma Nicacio.

Na prática, uma arquitetura estruturada dessa maneira permite que regras de segurança sejam incorporadas aos próprios fluxos. Uma API, por exemplo, pode determinar previamente quais informações e operações estão disponíveis para cada credencial, enquanto controles de alçada podem impedir que um pagamento avance sem a autorização correspondente.

Conformidade é ponto de partida, não de chegada

Instituições de pagamento estão sujeitas a requisitos do Banco Central relacionados a segurança, disponibilidade dos sistemas, resposta a incidentes e recuperação de falhas. No caso do Pix, o BC também utiliza indicadores de qualidade para avaliar aspectos como disponibilidade, reclamações e timeouts.  Em operações B2B de alto volume, entretanto, as necessidades podem avançar além dos requisitos regulatórios. Entre os recursos relevantes estão histórico verificável de disponibilidade, webhooks autenticados, restrição do uso de credenciais de API, separação entre perfis de visualização, execução e aprovação, além de logs auditáveis das ações realizadas.

“Cumprir a regulação é indispensável, mas uma empresa que movimenta milhares ou milhões de transações precisa olhar também para a resiliência da operação. Segurança e disponibilidade estão diretamente relacionadas à continuidade do negócio. Quanto maior a escala, maior precisa ser a capacidade de identificar, limitar e responder rapidamente a qualquer comportamento fora do esperado”, destaca Peterson Santos, CEO e cofundador da Trio.

Outro ponto de atenção está na gestão de identidades e permissões. Entre os problemas que podem surgir estão acessos concedidos durante a entrada de um funcionário e nunca revisados, compartilhamento de logins e manutenção de usuários ativos após desligamentos. Uma das estratégias para reduzir esses riscos é o princípio do menor privilégio: cada profissional deve ter acesso apenas às informações e funções necessárias para exercer sua atividade.

A Trio estrutura seu controle de usuários em perfis com alçadas por valor e tipo de operação. As ações realizadas dentro da conta geram registros rastreáveis, enquanto eventos e mudanças no estado das transações podem ser enviados aos sistemas dos clientes por webhooks configuráveis e autenticados. “Em uma operação financeira, não basta saber que determinada transação aconteceu. É preciso conseguir identificar quem realizou a ação, quando ela ocorreu, qual autorização existia e em que contexto. Essa rastreabilidade protege a empresa, seus clientes e também os profissionais envolvidos na operação”, afirma Nicacio.

Segurança também depende de comunidade

Além dos investimentos internos, a evolução da segurança digital depende da troca de conhecimento entre empresas, pesquisadores e profissionais especializados. É nesse contexto que a Trio será patrocinadora da primeira edição da BSides CWB, marcada para 17 de outubro de 2026, na PUCPR, em Curitiba. 

A BSides integra uma rede internacional de eventos de segurança da informação criada em Las Vegas em 2009. Em julho de 2026, a organização contabilizava 1.329 eventos realizados em 300 cidades de 73 países. No Brasil, a iniciativa chegou em 2011 e, somente em 2025, suas edições reuniram mais de 2,3 mil participantes.

A programação curitibana terá palestras e treinamentos técnicos, espaços dedicados a diferentes áreas da cibersegurança e competição de Capture the Flag (CTF), além de atividades voltadas à formação e à troca de experiências entre profissionais.

“Segurança é uma área em que nenhuma empresa consegue evoluir isoladamente. Novas vulnerabilidades, técnicas de ataque e formas de proteção surgem o tempo todo. Apoiar uma comunidade como a BSides é também contribuir para que profissionais e empresas estejam mais preparados para enfrentar esses desafios”, diz Nicacio.

Para a Trio, que atua como instituição de pagamento autorizada e supervisionada pelo Banco Central, a participação no evento reforça uma estratégia de aproximação com a comunidade técnica responsável por desenvolver e aprimorar práticas de segurança.

“Em um sistema financeiro cada vez mais digital e conectado, a discussão sobre segurança deixa de estar restrita à prevenção de ataques. Ela passa pela maneira como cada sistema é construído, como os acessos são concedidos, como as transações são registradas e pela capacidade de manter a operação funcionando mesmo diante de incidentes”, conclui Nicacio.

Sobre a Trio

Criada em 2020 por Peterson Ferreira dos Santos e Manoel de Oliveira Souza, empreendedores com forte experiência em tecnologia e mercado financeiro, a Trio é especializada em tecnologia para pagamentos, atua como uma Instituição de Pagamento regulada pelo Banco Central (IP 619) e como Gestora de Recursos com registro na CVM. O grande diferencial da Trio está em sua conta corporativa feita sob medida para times financeiros e concebida para entregar alta performance em operações financeiras de ponta a ponta, sem intermediários.  A Trio desenvolve soluções voltadas especialmente para o ambiente corporativo, com destaque para ferramentas de gestão financeira, integração por APIs, sistemas de conciliação facilitada e soluções baseadas em Pix. Para mais informações, acesse o site www.trio.com.br e o perfil oficial da Trio no Instagram: @trio.fin.