O Canadian Centre for Cyber Security publicou o ITSAP.00.080, "How to use online banking securely", como parte de sua série Awareness. O documento tem data de outubro de 2026 e está disponível no site do Cyber Centre em formato web e como PDF (810 KB). Trata-se de orientação pública, não de regulamentação: não há prazos, multas nem limites definidos. O público-alvo é qualquer pessoa que acesse seu banco por um site ou aplicativo móvel, o que no Canadá representa a maior parte da população adulta e uma parcela considerável das contas de redes sociais dos seus animais de estimação.

A publicação começa declarando o que o internet banking oferece: acesso em tempo real a informações financeiras, com a possibilidade de transferir dinheiro, pagar contas e gerenciar contas a qualquer momento por meio de um site ou aplicativo móvel. Em seguida, nomeia a contrapartida. A mesma conveniência, diz o Cyber Centre, "também pode criar oportunidades para fraudes e acessos não autorizados". Agentes de ameaça podem tentar roubar credenciais de acesso, redirecionar pagamentos ou enganar clientes para que aprovem transações.

Um ponto se destaca para quem constrói ou opera sistemas de identidade. O Cyber Centre menciona explicitamente a inteligência artificial, tanto no próprio setor bancário quanto em golpes online, como parte da tecnologia em evolução que muda a forma como esses riscos chegam aos clientes. O boletim não detalha técnicas específicas de IA no material analisado para este artigo, mas o fato de um documento de conscientização governamental voltado ao público geral mencionar IA ao lado de phishing diz muito sobre o quão disseminada essa preocupação se tornou.

O documento está estruturado em quatro partes: riscos comuns no internet banking, como proteger suas informações bancárias, passos a seguir em caso de fraude e uma seção "saiba mais" com links para recursos relacionados. A orientação completa está disponível no Canadian Centre for Cyber Security.

Sobre os riscos, o Cyber Centre adota uma postura equilibrada. Afirma que o internet banking é "geralmente seguro", mas observa que agentes de ameaça ainda podem tentar acessar contas de diversas formas e podem combinar métodos. O resultado de uma combinação bem-sucedida é descrito como acesso ou atividade não autorizada em conta bancária. Esse enquadramento importa. A orientação não trata uma senha vazada como o fim da história. Trata-a como um passo em uma cadeia que inclui também redirecionamento de pagamentos e o engano do cliente para que aprove uma transação que não pretendia realizar.

A primeira categoria de risco abordada pelo boletim é phishing e engenharia social. O Cyber Centre descreve essas tentativas como esforços para manipular o cliente a compartilhar informações sensíveis ou aprovar transações, com o contato chegando por mensagem de texto, e-mail e outros canais. Em outras palavras, o ataque não mira a pilha de autenticação do banco. Ele mira a pessoa segurando o telefone, que é também, inconvenientemente, quem tem autoridade para clicar em "aprovar".

As seções sobre medidas de proteção e resposta a fraudes estão listadas na publicação, mas não foram incluídas na íntegra no material analisado aqui, de modo que este artigo não resume suas recomendações específicas. Os leitores devem consultar a fonte diretamente. O que se pode afirmar é que o Cyber Centre enquadra toda a publicação como uma explicação dos riscos comuns e dos passos que uma pessoa pode adotar para se manter segura, o que a coloca firmemente na categoria de educação ao consumidor, e não na de conformidade regulatória.

Por que um boletim de conscientização voltado ao consumidor tem espaço em uma publicação de IAM? Porque a pessoa para quem esse documento foi escrito é o seu cliente, e cada risco que ele descreve recai sobre um fluxo que a sua equipe gerencia. O roubo de credenciais atinge o login. O redirecionamento de pagamentos atinge o gerenciamento de beneficiários e a autorização de transações. Enganar alguém para aprovar uma transação atinge o design do seu MFA e das suas notificações push. Um órgão governamental orientar o público a ser cuidadoso é bem-vindo. Lido de certa forma, é também um recado gentil de que os controles do lado do banco não deveriam depender de o público ser cuidadoso.

O lado encorajador: nada disso é território novo para equipes de CIAM em instituições financeiras, e a própria avaliação do Cyber Centre é que o internet banking é geralmente seguro. Isso é um elogio, conquistado ao longo de anos de trabalho pouco glamoroso em modelos de fraude e gerenciamento de sessão. O lado ácido: "geralmente" está carregando bastante peso nessa frase.

Para equipes de identidade e segurança, três pontos merecem verificação à luz deste boletim. Primeiro, analise como as aprovações de transações são apresentadas aos clientes no seu aplicativo e se o prompt exibe contexto suficiente (valor, beneficiário, canal) para que uma pessoa reconheça uma transação que não iniciou, já que a orientação aponta as aprovações enganadas como um risco distinto. Segundo, revise os controles em torno do cadastro ou alteração de beneficiário e verifique se esses eventos são registrados em log, têm limite de taxa e são confirmados fora de banda, pois o redirecionamento de pagamentos é citado separadamente do roubo de credenciais. Terceiro, confirme que suas comunicações voltadas ao cliente não se parecem com o phishing contra o qual o Cyber Centre está alertando: sem links em mensagens de texto solicitando login, identidades de remetente consistentes e uma declaração publicada do que sua instituição jamais solicitará por e-mail ou mensagem de texto.