As instituições financeiras brasileiras administram trilhões de reais pertencentes à sociedade. Não custodiam apenas dinheiro. Custodiam patrimônio, dados pessoais, identidade digital, histórico financeiro, segredos empresariais e, em muitos casos, a própria continuidade econômica de empresas e famílias.
Diante dessa realidade, torna-se inaceitável que ainda existam instituições que insistam em tratar a cibersegurança como um centro de custos, quando ela constitui um dever jurídico, um imperativo de governança e um elemento indispensável da estabilidade econômica nacional.
A criminalidade digital deixou de ser um problema tecnológico. Hoje, representa uma das maiores ameaças ao sistema financeiro mundial. Organizações criminosas utilizam inteligência artificial, engenharia social, malware, ransomware, clonagem de identidade, invasões coordenadas e sofisticadas técnicas de manipulação psicológica para contornar sistemas de proteção que permanecem presos ao passado.
O ponto central é simples: quando uma instituição financeira possui capacidade econômica para investir em tecnologias modernas de prevenção e detecção de fraudes, mas opta por sistemas inferiores ou ultrapassados, ela deixa de enfrentar apenas um problema tecnológico. Passa a enfrentar um problema jurídico.
A Lei Geral de Proteção de Dados não exige apenas que os dados sejam armazenados. Exige que sejam protegidos mediante medidas técnicas e administrativas aptas a impedir acessos não autorizados, destruição, perda, alteração ou qualquer forma de tratamento ilícito.
A Resolução CMN nº 4.658/2018 igualmente não trata a segurança cibernética como mera recomendação. Ela impõe política formal de segurança, gestão permanente de riscos, mecanismos de prevenção, resposta a incidentes, continuidade operacional e governança compatível com a relevância da atividade desenvolvida.
Sob a ótica da Lei nº 6.404/1976, administradores possuem deveres fiduciários de diligência, prudência e lealdade. Ignorar riscos cibernéticos conhecidos, ou deixar de investir em mecanismos razoavelmente disponíveis para reduzi-los, pode representar grave deficiência na gestão dos riscos corporativos.
No âmbito do Código de Defesa do Consumidor, a atividade bancária integra típica relação de consumo. O serviço prestado deve ser adequado, eficiente e seguro. A tecnologia empregada deixa de ser um diferencial competitivo para tornar-se parte integrante da própria qualidade do serviço oferecido.
Mais recentemente, a Política Nacional de Segurança da Informação, instituída pelo Decreto nº 12.572/2025, consolidou um paradigma ainda mais amplo ao reconhecer que a segurança da informação está diretamente relacionada à proteção de dados, à gestão de riscos, às infraestruturas críticas, aos serviços essenciais e aos interesses estratégicos do Estado brasileiro. A política reforça que a disponibilidade, a integridade, a confidencialidade e a autenticidade das informações constituem valores estruturantes da segurança nacional.
Embora a coordenação da PNSI recaia sobre a Administração Pública Federal, sua lógica demonstra que determinados setores privados, especialmente o financeiro, não podem mais ser analisados apenas sob a ótica patrimonial. Quando um grande ataque cibernético compromete instituições que movimentam bilhões de reais, os reflexos ultrapassam o interesse privado e podem atingir mercados, cadeias produtivas, infraestrutura crítica, confiança no sistema financeiro e estabilidade econômica.
Nesse cenário, a atuação da Autoridade Nacional de Proteção de Dados deixa de limitar-se ao tratamento de dados pessoais. Violações relevantes podem desencadear responsabilizações administrativas decorrentes da LGPD e, quando os fatos revelarem riscos às infraestruturas críticas ou à segurança nacional, o episódio poderá dialogar institucionalmente com os órgãos responsáveis pela política nacional de segurança da informação, entre eles o Gabinete de Segurança Institucional da Presidência da República, dentro das competências estabelecidas pelo Decreto nº 12.572/2025.
Quem garante ao correntista que nesse momento pode estar ocorrendo um ataque em grande escala. A instituição financeira por questões óbvias não permitiria um vazamento catastrófico de tal informação. Já os pequenos golpes que na somatória perfazem valores também astronômicos são publicizados pela própria sociedade expressa em processos judiciais em face dessas instituições que na grande maioria das vezes deixa o cliente à mingua com seu valor subtraído de sua conta corrente, se negando à restituição.
Não há mais espaço para instituições bilionárias que aleguem surpresa diante de fraudes previsíveis, tampouco para aquelas que continuem oferecendo aos seus clientes mecanismos mínimos de autenticação enquanto o crime organizado opera com inteligência artificial, automação e redes criminosas transnacionais.
Quem administra patrimônio alheio assume, por consequência lógica, o dever de utilizar os melhores recursos tecnológicos razoavelmente disponíveis para protegê-lo.
A negligência tecnológica deixou de ser mera deficiência operacional. Ela representa potencial descumprimento de deveres legais de governança, proteção de dados, segurança do consumidor, gestão de riscos e estabilidade institucional.
No século XXI, a cibersegurança deixou de ser uma escolha empresarial.
É uma obrigação jurídica.
ANTONIO CARLOS MORAD
MORAD ADVOCACIA EMPRESARIAL