FMI coloca um "grande ataque cibernético" entre os gatilhos de turbulência do sistema financeiro

O Fundo Monetário Internacional (FMI) divulgou em 13/10 o primeiro capítulo do Relatório sobre Estabilidade Financeira Global de outubro — e colocou o ciberataque no mesmo patamar de risco sistêmico que uma correção no mercado de inteligência artificial e uma alta súbita dos juros dos títulos soberanos. O documento trata os três como "catalisadores plausíveis de curto prazo" que formuladores de política deveriam monitorar, e é direto ao dizer que a resiliência atual dos mercados não elimina vulnerabilidades. Um ataque capaz de atingir um serviço crítico ou uma instituição financeira, diz o relatório, pode comprometer a confiança e se propagar rapidamente pelo sistema.

Fonte: FMI — Global Financial Stability Report, outubro/2026 · Reuters · Estado de Minas

Dois fatores, segundo o FMI, estão tornando a defesa mais difícil: a escassez de recursos — sobretudo em mercados emergentes — e a dependência de um número pequeno de fornecedores críticos de tecnologia. Um número merece atenção de quem responde por TI: em mais de 70% dos casos registrados em 2026, os fornecedores de software tiveram quase nenhum tempo para corrigir a falha antes de ela ser explorada — um salto de 20 pontos percentuais em relação ao ano anterior. O FMI observa ainda que, se a IA ajuda a defender, ela também deixa o ataque mais sofisticado. A recomendação é explícita: reforçar a supervisão de fornecedores terceirizados de tecnologia e ampliar a capacidade de defesa — não apenas comprar mais ferramentas.

Para quem opera sob regulação — banco, fintech, instituição de pagamento, cooperativa, adquirente —, a leitura prática é que o perímetro de risco deixou de ser "meu ambiente" e passou a ser "meu ambiente somado a quem o opera por mim". É a mesma classe de risco que aparece em incidentes recentes de fornecedor único: quando o terceiro cai, a operação para junto.

O que uma organização com sistemas críticos deveria testar e monitorar continuamente:

• Concentração de terceiros. Quantos processos críticos dependem do mesmo fornecedor, integrador ou provedor de nuvem — e qual é o plano se ele sair do ar hoje?
• Janela de correção. Quando uma falha crítica é publicada, quanto tempo a operação leva para corrigir? O indicador do FMI sugere que, na média do mercado, o atacante chegou antes.
• Acesso de terceiro com poder de ação. Cada fornecedor com acesso remoto tem credencial própria, escopo mínimo, trilha de auditoria e revogação ao fim do contrato?
• Evidência para o supervisor. Vazamento sem trilha técnica vira disputa sobre o que aconteceu; a prova precisa existir antes do incidente, não ser reconstruída depois.

O FMI não está prevendo o próximo ataque — está dizendo que um ataque grande já é grande o bastante para virar evento de mercado. Para o time de TI de uma instituição regulada, a pergunta que sobra não é "se", e sim quanto tempo ela levaria para provar o que aconteceu e que a porta fechou.