Mercado de BaaS no Brasil tem 79 prestadores e 5.533 empresas clientes, mostra Banco Central; 97,1% da amostra usa APIs

Levantamento do BC com dados de junho aponta segurança de APIs, gestão de certificados digitais e prevenção a fraudes como pontos críticos do modelo

Edifício-sede do Banco Central, em Brasília. Foto: Senado Federal/Wikimedia Commons (CC BY 2.0)

O mercado de BaaS (Banking as a Service) no Brasil reúne 79 prestadores e 5.533 entidades tomadoras de serviços, a maioria empresas não reguladas pelo Banco Central, segundo levantamento do BC com dados de junho de 2026, como mostrou o Finsiders Brasil nesta quinta-feira (5). Entre os prestadores, a maior parte opera como instituição de pagamento (IP), seguida por SCD, banco e financeira (SCFI).

O mapeamento foi publicado na quarta-feira (4) no blog do BC, em artigo de Aristides Andrade Cavalcante Neto e Jefferson Umebara Pelegrini, servidores do Departamento de Gestão Estratégica e Supervisão Especializada (Degef). Os autores destacam que, pelas características operacionais desses prestadores, merecem atenção especial a interconectividade, a concentração de relacionamentos operacionais e a velocidade das transações feitas por interfaces de integração automatizadas.

Numa amostra de 68 prestadores, 97,1% usam ou fornecem serviços por APIs. Entre os que fornecem serviços por APIs, 77,9% têm controles e requisitos de segurança específicos para essas interfaces, 64,7% definem e monitoram limites operacionais e 54,4% fazem avaliações periódicas de segurança. Só 47,5% mantêm inventário dos componentes de software fornecidos por terceiros, lacuna que o artigo liga a incidentes recentes com credenciais comprometidas e interfaces administrativas expostas.

Na gestão de certificados digitais, 55,6% monitoram o uso dos certificados, 50,8% usam cofres de chaves (key vault) e 38,1% usam módulos de segurança de hardware (HSM). Na prevenção a fraudes, 86,4% monitoram comportamentos atípicos e 84,8% bloqueiam preventivamente operações suspeitas. Até setembro de 2026, as instituições supervisionadas comunicaram ao BC 99 ataques hackers relevantes, contra 76 em todo o ano de 2025; o artigo ressalva que a alta também reflete maior capacidade de detecção e reporte.

“79 prestadores e 5.533 tomadoras de serviços”

Banco Central, segundo o Finsiders Brasil

As regras da Resolução Conjunta nº 16, que disciplina o BaaS, valem desde 28 de novembro de 2025, e os contratos em vigor precisam se adequar até 31 de dezembro de 2026.

Por que importa. com 5.533 empresas plugadas em só 79 prestadores, há em média cerca de 70 tomadoras para cada prestador de BaaS, e um estudo publicado no blog do BC aponta segurança de APIs, certificados e fraude como pontos críticos. Quem oferece infraestrutura com esses controles prontos tem argumento de venda forte até 31 de dezembro, e há espaço para fintechs que vendem segurança de API, gestão de chaves e antifraude para esses prestadores.

Fonte: Finsiders Brasil, com dados do Banco Central. Texto reescrito pela Redação Mundo das Fintechs.