No último dia 7 de julho de 2025, o Banco Central do Brasil publicou a Orientação Técnica nº 01/2025, direcionada a todas as instituições financeiras, meios de pagamento e organizações participantes do Sistema de Pagamentos Instantâneos (SPI), com foco no combate a fraudes internas e no fortalecimento da resiliência do Sistema Financeiro Nacional.
Entre diversas recomendações técnicas — que incluem reforço em firewalls, monitoramento de VPNs e segmentação de ambientes —, uma em especial chama atenção dos profissionais que atuam com segurança além da camada digital:
“Realizar varredura lógica e física do ambiente tecnológico com o objetivo de identificar dispositivos indevidamente conectados à rede corporativa…”
Essa menção à varredura física (muitas vezes negligenciada na cultura de cibersegurança) traduz um ponto-chave que há tempos reforçamos em nossas abordagens junto ao setor financeiro, jurídico e corporativo:
A segurança digital depende — inevitavelmente — de um ambiente físico seguro.
O elo mais fraco da segurança: o ambiente
Conexões não autorizadas, dispositivos espiões, microtransmissores RF, dongles maliciosos e câmeras ocultas são apenas alguns dos vetores físicos que, quando inseridos em locais estratégicos, podem:
-
Espionar decisões estratégicas;
-
Capturar credenciais digitadas ou faladas;
-
Estabelecer backdoors via conexões clandestinas;
-
Comprometer terminais de atendimento ou estações de trabalho.
Esses ataques, silenciosos e precisos, não deixam rastros digitais imediatos, tornando-se invisíveis a firewalls, antivírus e SIEMs.
Eles só podem ser identificados com metodologia, tecnologia e treinamento específicos — ou seja, com operações de varredura ambiental TSCM profissional.
TSCM: o que é, e por que o Banco Central agora se alinha
TSCM (Technical Surveillance Counter-Measures) é o nome técnico das chamadas varreduras ambientais, processo sistemático de inspeção física e eletrônica para detectar:
-
Dispositivos ocultos (câmeras, microfones, transmissores);
-
Equipamentos conectados indevidamente à rede (fisicamente ou por rádiofrequência);
-
Interferências e sinais de radiofrequência anômalos;
-
Riscos estruturais de comprometimento (cablagens expostas, acesso indevido, bugs plantados etc.).
É uma prática comum e obrigatória em países como EUA, Israel e Reino Unido — inclusive em instituições financeiras, auditórios, salas de reunião executiva e áreas com dados sensíveis.
Ao recomendar varredura física, o Banco Central sinaliza, de forma clara, que a segurança cibernética não é mais suficiente sem a contrapartida de segurança física especializada.
Coerência com a Doutrina de Segurança Orgânica
Do ponto de vista da segurança orgânica, a orientação do BCB ressoa com os princípios clássicos da proteção ao conhecimento sensível, um dos pilares da contrainteligência corporativa:
Ambientes onde decisões críticas são tomadas não podem ser vulneráveis.
Ambientes onde circulam credenciais, tokens, chaves privadas ou mensagens criptografadas não podem ser tratados como locais comuns.
É nesses ambientes que se esconde o risco invisível.
É lá que um pendrive adulterado, um adaptador USB disfarçado, uma tomada modificada ou até mesmo um cabo sabotado pode se tornar a brecha de milhões.
Quem precisa se preocupar?
-
Bancos e cooperativas financeiras
-
Fintechs e gateways de pagamento
-
Provedores de serviços conectados ao Pix
-
Escritórios jurídicos com atuação empresarial
-
Empresas em auditoria ou M&A
-
Departamentos de inovação e TI
-
Salas de decisão do board ou comitês estratégicos
Se sua instituição lida com decisões, informações estratégicas, negociações ou desenvolvimento tecnológico, você está na linha de interesse de atacantes oportunistas e profissionais.
Segurança não é mais uma questão de antivírus e firewalls.
É uma questão de postura institucional.
O BCB foi claro: fraudes internas, cooptação de colaboradores e comprometimento do ambiente são ameaças reais.
E nós reforçamos: sem inspeção física, não há blindagem completa.
