Por Mara Costa
Como a engenharia de qualidade protege seus dados financeiros — e por que você nunca ouviu falar nisso.
Eram 22h47 de uma sexta-feira quando você abriu o aplicativo do banco, conferiu o saldo e pagou aquela conta que estava para vencer. Em menos de três segundos, o dinheiro saiu da sua conta e chegou ao destino. Parece simples. Não é. Por trás daqueles três segundos, existe uma infraestrutura invisível de camadas de segurança, verificações automatizadas e profissionais cujo trabalho é encontrar tudo que pode dar errado — antes que dê errado com o seu dinheiro.
O HOMEM POR TRÁS DO SISTEMA
Ricardo Polanski Alves não tem um rosto famoso, não aparece em propagandas de banco e provavelmente nunca vai aparecer. Mas, de uma forma que talvez você não imagine, o trabalho dele afeta diretamente a segurança dos seus dados financeiros.
Engenheiro de qualidade de software radicado em Curitiba, Ricardo passa seus dias testando sistemas financeiros para empresas nos Estados Unidos e na Europa — tudo de forma remota, da sua mesa em casa. Atualmente, ele é responsável pela qualidade do sistema de gestão de financiamentos da Libertas Funding LLC, uma empresa de Connecticut. Antes disso, fez o mesmo tipo de trabalho para a Ericsson, na Alemanha, testando sistemas de faturamento de telecomunicações. E antes ainda, na CI&T, em Curitiba, foi ele quem colocou à prova os sistemas de carteira digital e reembolso que milhares de brasileiros usam sem saber.
“Meu trabalho é ser o chato do sistema”, diz Ricardo, com uma risada. “É eu quem tenta pagar uma conta com dados inválidos, quem simula uma conexão que cai no meio de uma transferência, quem tenta acessar informações de outra pessoa de formas que nenhum usuário real tentaria — mas que um criminoso tentaria. Se eu encontro o problema, o banco não encontra. E se o banco não encontra, você pode encontrar.”
A profissão de Ricardo tem um nome técnico: QA Engineer, ou Engenheiro de Garantia de Qualidade. É uma das carreiras mais importantes do setor de tecnologia — e uma das mais desconhecidas do público em geral.
“Meu trabalho é ser o chato do sistema. Se eu encontro o problema, o banco não encontra. E se o banco não encontra, você pode encontrar”.
O QUE ACONTECE EM 3 SEGUNDOS
Para entender por que pessoas como Ricardo existem, vale a pena destrinchar aqueles três segundos do pagamento do início desta reportagem.
Quando você toca em “Pagar” no aplicativo do banco, uma sequência de eventos começa a acontecer em velocidade que desafia a percepção humana. O aplicativo envia uma solicitação criptografada para os servidores do banco. O banco verifica se você é realmente você — por senha, por biometria, por análise do padrão do seu comportamento. O sistema de detecção de fraude analisa se aquela transação parece legítima comparando-a com seu histórico. O saldo é verificado. A transação é autorizada. Os registros são criados. O dinheiro muda de mãos. Tudo isso, múltiplas vezes por segundo, para milhões de usuários simultaneamente.
“As pessoas pensam que um sistema bancário é como um cofre”, explica Ricardo. “Mas é mais parecido com uma cidade inteira funcionando ao mesmo tempo: trânsito, comércio, comunicação, tudo integrado. E assim como uma cidade, se uma parte falha, o impacto se espalha. A diferença é que em um sistema financeiro, a falha pode custar o dinheiro real de pessoas reais, em tempo real.”
O que acontece nos bastidores quando você paga uma conta
1- Você toca em ‘Pagar’
O aplicativo captura sua ação e cria uma solicitação criptografada. Seus dados de pagamento nunca trafegam em texto aberto — são convertidos em código que só o servidor do banco consegue decifrar.
2- Autenticação de identidade
O banco verifica se você é você. Senha, biometria, análise de comportamento (ritmo de digitação, localização, padrão de uso). Sistemas de IA analisam dezenas de variáveis em milissegundos.
3- Análise antifraude
Algoritmos preditivos comparam a transação com seu histórico. Valor incomum? Horário atípico? Localização diferente? O sistema decide aprovar, bloquear ou pedir confirmação adicional.
4- Verificação de saldo e limites
O sistema verifica saldo disponível, limites diários, restrições regulatórias e possíveis pendências jurídicas. Tudo em paralelo, em frações de segundo.
5- Autorização e registro
A transação é autorizada. Registros imutáveis são criados em múltiplos sistemas — incluindo trilhas de auditoria que reguladores podem consultar. O dinheiro muda de mãos.
6- Você recebe a confirmação
Três segundos se passaram. Para você, foi simples. Por trás, centenas de verificações aconteceram — e precisam ter funcionado perfeitamente todas as vezes.
O QUE ACONTECE QUANDO DÁ ERRADO
Em 2019, um banco digital brasileiro ficou fora do ar por mais de duas horas em um dia de pico. Filas de cobrança pararam. Pagamentos de aluguel atrasaram. Funcionários não conseguiram receber salários depositados naquele dia. O prejuízo foi de milhões de reais — e esse foi um caso relativamente leve, em que o sistema falhou mas não expôs dados de clientes.
Os casos mais graves envolvem vazamento de dados. Em 2021, um dos maiores vazamentos de dados financeiros da história brasileira expôs informações de mais de 220 milhões de CPFs, incluindo dados bancários. Em escala global, o custo médio de um vazamento de dados em instituições financeiras chegou a 5,9 milhões de dólares em 2023, segundo o relatório da IBM Security — sem contar o dano reputacional e as multas regulatórias.
“Quando um sistema financeiro falha em produção, não é abstrato”, diz Ricardo. “É o aposentado que não conseguiu pagar a conta de luz. É o autônomo que ficou sem o pagamento que precisava receber para comprar mercadoria. É a mãe que não conseguiu transferir dinheiro para a filha que estava em apuros. Eu penso nisso quando estou criando os testes. É o que me faz ser rigoroso.”
“Quando um sistema financeiro falha em produção, não é abstrato. É o aposentado que não conseguiu pagar a conta de luz. É o autônomo que perdeu o pagamento. Eu penso nisso quando crio os testes.” — Ricardo Polanski Alves.
A CARTEIRINHA QUE SEU BANCO PRECISA TER
Existe um documento que a maioria das pessoas nunca ouviu falar, mas que tem impacto direto na segurança do seu cartão de crédito: o PCI DSS, sigla para Payment Card Industry Data Security Standard — em português, Padrão de Segurança de Dados da Indústria de Cartões de Pagamento.
Criado pelas cinco maiores bandeiras de cartão do mundo — Visa, Mastercard, American Express, Discover e JCB —, o PCI DSS é um conjunto de regras que toda empresa que processa, armazena ou transmite dados de cartão precisa cumprir. Em 2025, entrou em vigor a versão 4.0.1, a mais rigorosa da história, com 64 novos requisitos de segurança.
Traduzindo para o cotidiano: quando você compra online e digita o número do seu cartão, existe um padrão internacional que determina como esse número deve ser protegido, por quanto tempo pode ser guardado, de que forma deve ser criptografado e quem pode ter acesso a ele. Empresas que descumprem esse padrão podem ser multadas em até 100 mil dólares por incidente e perder o direito de aceitar pagamentos com cartão.
“O PCI DSS não é opcional e não é burocracia”, explica Ricardo. “É a razão pela qual o número do seu cartão não está circulando livremente pela internet neste momento. E parte do meu trabalho é garantir que os sistemas que eu testo cumpram cada um desses requisitos — e que eu tenha a documentação para provar isso quando o auditor aparecer.”
Entenda os termos que protegem o seu dinheiro
Glossário: Segurança Financeira Digital
PCI DSS: Conjunto de regras internacionais que determina como dados de cartão de crédito e débito devem ser protegidos por empresas que os processam.
Criptografia: Técnica que transforma seus dados em um código incompreensível para qualquer pessoa sem a chave de acesso correta. É o motivo pelo qual um hacker que intercepte sua transação não consegue ler seus dados.
Teste de regressão: Verificação feita após qualquer mudança em um sistema para garantir que o que funcionava antes ainda funciona. Evita que a correção de um problema crie outro.
CI/CD (Integração e Entrega Contínua): Sistema automático que verifica a qualidade de um software a cada alteração feita pelos desenvolvedores, impedindo que código com problemas chegue ao usuário final.
Autenticação multifator (MFA): Método que exige mais de uma forma de verificação de identidade — como senha e código enviado ao celular — antes de permitir acesso a uma conta.
Trilha de auditoria: Registro detalhado e imutável de todas as ações realizadas em um sistema financeiro. Funciona como a caixa preta de um avião: em caso de incidente, permite reconstruir exatamente o que aconteceu.
UM TESTE QUE VOCÊ NUNCA VAI VER — MAS QUE EXISTE PARA VOCÊ
Em um dia comum de trabalho, Ricardo pode criar e executar centenas de testes automatizados. Cada teste simula uma ação que um usuário — ou um criminoso — poderia fazer com o sistema.
Alguns são banais: preencher um formulário corretamente e verificar se o pedido de financiamento é processado. Outros são deliberadamente maliciosos: tentar enviar um formulário com o campo de CPF contendo código de computador disfarçado de número — uma técnica conhecida como injeção de SQL, usada por hackers para manipular bancos de dados.
Existe um conjunto inteiro de testes dedicado a verificar o que acontece quando as coisas dão errado do jeito mais improvável: a conexão cai exatamente no momento em que o dinheiro está sendo transferido. O servidor responde com um erro inesperado no meio de uma transação. Dois usuários tentam usar o mesmo saldo ao mesmo tempo. O sistema recebe um volume dez vezes maior que o normal de repente.
“Um sistema financeiro precisa funcionar em condições perfeitas. Mas precisa especialmente funcionar quando as condições não são perfeitas”, diz Ricardo. “Porque no mundo real, a conexão cai. O servidor trava. E nesses momentos é que seu dinheiro está mais vulnerável. Meu trabalho é garantir que o sistema saiba exatamente o que fazer nesses cenários — antes que eles aconteçam com um cliente real.”
“ Um sistema financeiro precisa funcionar em condições perfeitas. Mas precisa especialmente funcionar quando as condições não são perfeitas — porque é nesses momentos que seu dinheiro está mais vulnerável”.
DE CURITIBA PARA CONNECTICUT: O TRABALHO SEM FRONTEIRAS
Há algo que surpreende quando você descobre onde Ricardo trabalha. Ele gerencia a qualidade de um sistema financeiro americano, atende clientes em Frankfurt e testa plataformas de inteligência artificial médica em Minnesota — tudo da sua mesa em Curitiba, no Paraná.
Essa é uma das transformações mais silenciosas e profundas que a tecnologia trouxe para o mercado de trabalho brasileiro. Especialistas de qualidade, segurança e desenvolvimento de software brasileiros são hoje procurados por empresas americanas e europeias não apesar de estarem no Brasil, mas porque estão bem preparados — e porque a diferença de fuso horário, que antes era obstáculo, virou vantagem em equipes que precisam de cobertura em múltiplos horários.
“Quando comecei, em 2014, meu teto era Curitiba. Trabalhava com servidores Linux em uma empresa local”, conta Ricardo. “Dez anos depois, estou garantindo que americanos consigam seus financiamentos sem problemas, que alemães recebam suas faturas de telefone corretamente, que pesquisadores nos EUA confiem em plataformas de IA médica. Isso não aconteceu por acaso — aconteceu porque a área de qualidade de software não tem fronteira quando você é bom no que faz.”
EM NÚMEROS: O CUSTO DE IGNORAR A QUALIDADE
▶ US$ 5,9 milhões — custo médio de um vazamento de dados em instituições financeiras em 2023 (IBM Security).
▶ 220 milhões de CPFs expostos no maior vazamento de dados financeiros da história do Brasil (2021).
▶ Até US$ 100 mil — valor da multa por incidente para empresas que descumprem o PCI DSS.
▶ 63% de redução em defeitos que chegam ao usuário final em empresas com automação de testes madura integrada ao pipeline de desenvolvimento.
▶ 3 segundos — tempo médio de uma transação de pagamento digital. Centenas de verificações de segurança acontecem nesse intervalo.
▶ Zero — número de segundos que um usuário espera para sofrer o impacto de uma falha de segurança que deveria ter sido detectada antes.
A INTELIGÊNCIA ARTIFICIAL QUE PRECISA SER TESTADA — E QUEM TESTA ELA
Nos últimos anos, os bancos começaram a usar inteligência artificial de formas cada vez mais sofisticadas: para detectar fraudes em tempo real, para decidir se um pedido de crédito deve ser aprovado, para identificar padrões suspeitos de lavagem de dinheiro.
Mas existe uma pergunta que raramente é feita em público: quem garante que esses algoritmos estão funcionando corretamente? Que não estão discriminando grupos de pessoas? Que não podem ser enganados por criminosos sofisticados?
Ricardo trabalha nessa fronteira também. Além do seu trabalho com sistemas de financiamento nos EUA, ele atua em uma plataforma de inteligência artificial médica — onde o produto que precisa ser testado não é um formulário ou um botão, mas o próprio raciocínio de uma máquina.
“Testar um sistema de IA é completamente diferente de testar um sistema convencional”, explica ele. “Um sistema normal sempre dá a mesma resposta para a mesma entrada. Um modelo de IA dá probabilidades. Pode mudar de comportamento quando é atualizado. Pode funcionar perfeitamente para um grupo de pessoas e de forma estranha para outro. Então você não pode simplesmente verificar se a resposta está certa — você precisa verificar se o sistema está tomando decisões pelo motivo certo.”
No contexto financeiro, isso tem implicações concretas para consumidores. Se um banco usa um algoritmo para decidir quem recebe crédito e quem não recebe, e esse algoritmo foi treinado com dados históricos que refletem discriminações do passado, ele pode reproduzir essas discriminações de forma automática e invisível — negando crédito a grupos específicos sem que nenhum ser humano tenha tomado essa decisão conscientemente.
“A regulação financeira foi construída para responsabilizar pessoas”, diz Ricardo. “Quando um algoritmo toma uma decisão errada, alguém precisa ser responsabilizado. Alguém precisou desenhar, aprovar e validar aquele algoritmo. E é por isso que a auditoria de sistemas de IA não vai desaparecer — pelo contrário, vai crescer. Porque a consequência de um algoritmo errado pode afetar milhares de pessoas ao mesmo tempo.”
No Brasil, a Lei Geral de Proteção de Dados (LGPD) garante ao cidadão o direito de solicitar revisão humana de decisões tomadas exclusivamente por algoritmos — incluindo decisões de crédito. Mas poucos brasileiros sabem que esse direito existe.
POR QUE VOCÊ NUNCA OUVIU FALAR NISSO
Existe uma razão simples para você nunca ter ouvido o nome de Ricardo Polanski Alves antes desta reportagem: quando o trabalho dele funciona bem, ninguém percebe. O aplicativo abre. O pagamento vai. A conta é debitada. Fim.
A invisibilidade é, paradoxalmente, o maior sinal de sucesso na área de qualidade de software. Profissionais de QA trabalham para que nunca apareçam nos noticiários — porque quando a qualidade falha em sistemas financeiros, ela aparece sempre nas piores circunstâncias: na manchete do banco que caiu, no vazamento de dados, no cliente que teve o dinheiro desviado.
“A gente torce para nunca ser notícia”, diz Ricardo, com o mesmo sorriso tranquilo de quem está acostumado com a ironia da profissão. “Quando você não ouve falar do sistema financeiro que falhou, do dado que vazou, da transferência que sumiu — esse silêncio tem o trabalho de muita gente dentro. Inclusive o meu.”
O QUE VOCÊ PODE FAZER PARA PROTEGER SEUS DADOS
Ricardo deixa claro que a responsabilidade pela segurança financeira digital não é só das empresas — o usuário também tem um papel.
DICAS DE SEGURANÇA — NA VOZ DO ESPECIALISTA
✓ Ative a autenticação em dois fatores (MFA) em todos os aplicativos financeiros que você usa. É o controle de segurança mais simples e mais eficaz disponível para o usuário comum.
✓ Nunca use redes de Wi-Fi públicas para acessar bancos ou fazer pagamentos. Redes abertas podem ser monitoradas por terceiros.
✓ Revise regularmente o extrato da sua conta. Transações pequenas e desconhecidas — às vezes de valores insignificantes — podem ser testes de criminosos para ver se o cartão está ativo.
✓ Use senhas diferentes para cada aplicativo financeiro. Se um banco sofre um vazamento, você não quer que a mesma senha abra todos os outros.
✓ Desconfie de contatos que pedem confirmação de dados bancários, mesmo que pareçam vir do seu banco. Instituições financeiras legítimas não pedem senhas por telefone ou mensagem.
✓ Você tem o direito, pela LGPD, de solicitar revisão humana de qualquer decisão automática que o afete — como uma negativa de crédito. Não hesite em exercer esse direito.
QUEM É RICARDO POLANSKI ALVES
▶ Engenheiro de Qualidade de Software (QA Engineer) com mais de 8 anos de experiência, radicado em Curitiba, PR.
▶ Atua remotamente para empresas nos EUA e na Europa, incluindo White Prompt (Connecticut), IEBT/Vidalink Diagnostics (Minnesota) e ex-Ericsson (Frankfurt, Alemanha).
▶ Especialista em Cypress, Playwright e Selenium — ferramentas que automatizam a verificação de sistemas digitais antes que cheguem ao usuário.
▶ Formado em Análise de Sistemas pela UNIBRASIL e pós-graduado em Banco de Dados pela PUCPR, em Curitiba.
▶ Pesquisador na intersecção entre inteligência artificial, qualidade de software e conformidade com regulações financeiras internacionais.
▶ Contato: linkedin.com/in/ricardo-polanski
