BCRA y Ley 21.719 refuerzan controles

Resumen ejecutivo

Argentina y Chile concentraron en el período revisado los dos cambios normativos más densos para el sistema financiero de la región. En Argentina, la Comunicación A 8471/2026 del BCRA incorporó el riesgo de fraude dentro del marco de riesgo operacional para entidades financieras y ciertos Proveedores de Servicios de Pago, con exigencias de identificación, evaluación, monitoreo, mitigación y reportes periódicos al directorio. En Chile, la Ley 21.719 dejó listo un régimen integral de protección de datos personales para responsables y encargados públicos y privados, con agencia sancionadora, notificación de brechas, evaluaciones de impacto y controles técnicos obligatorios.

El valor analítico de ambos marcos está en la convergencia. Los dos obligan a formalizar estructuras, responsables y evidencia auditable, pero lo hacen desde ángulos distintos. El BCRA ataca el fraude como parte del riesgo operacional y segmenta plazos de adopción entre entidades financieras y PSP con cuentas de pago. La ley chilena, en cambio, ordena el tratamiento de datos y la respuesta a incidentes, y suma sanciones relevantes, una agencia especializada y obligaciones que afectan de lleno a bancos, emisores de tarjetas y cualquier actor intensivo en datos.

El cronograma también es distinto y eso importa para la planificación. En Argentina, la entrada en vigencia para entidades financieras está fijada para el 1 de diciembre de 2026, mientras que para determinados PSP el despliegue se extiende hasta septiembre de 2027. En Chile, la fecha legal de entrada es el 1 de diciembre de 2026, aunque existe un proyecto de ley ingresado al Senado para postergar ese hito hasta el 1 de diciembre de 2027. Esa postergación está propuesta, no aprobada. Por ahora, la obligación existe y la acción para perseguir infracciones prescribe en cuatro años.

El resto del universo regional no presenta, en el material revisado, un equivalente con el mismo nivel de detalle verificable sobre fraude financiero y protección de datos. Perú mantiene un andamiaje de seguridad de la información, ciberseguridad y reporte de incidentes operacionales en la SBS; Colombia avanza con órdenes judiciales y estándares de autenticación y validación para canales digitales, especialmente en la venta virtual del SOAT; Uruguay endurece la autenticación reforzada, el monitoreo antifraude y las alertas a usuarios; México combina biometría, reportes a la CNBV, DMARC y monitoreo de riesgo; Brasil consolida la regulación de PSAV y activos virtuales; Paraguay estrenará una ley integral de datos en 2027. Pero no hay, en las fuentes revisadas, un bloque comparable al de Argentina y Chile para 2026 y 2027.

Tampoco se identificaron IOCs, campañas activas, infraestructura C2 ni TTPs mapeadas a MITRE asociadas de forma directa a estas reformas. El fenómeno documentado es institucional y normativo, no forense. La lectura útil para equipos de seguridad, riesgo y cumplimiento es que el centro de gravedad se desplazó hacia gobernanza, trazabilidad, autenticación reforzada, notificación de incidentes y evidencia técnica previa al evento.

Contexto y antecedentes

La información consolidada muestra una región con capas regulatorias superpuestas, no un único patrón homogéneo. Argentina tomó el fraude y lo encuadró en el riesgo operacional de entidades financieras y PSP. Chile elevó la protección de datos personales a un régimen autónomo con agencia fiscalizadora y sancionadora. En Perú, la SBS ya venía exigiendo SGSI-C, controles de acceso, criptografía, monitoreo y reporte temprano de incidentes. En Uruguay, el BCU reforzó autenticación y monitoreo contra fraude en canales digitales. México, por su parte, se mueve sobre biometría, reportes a la CNBV, DMARC y gobernanza de seguridad de la información.

Ese contexto explica por qué el informe debe leerse como una comparación entre dos marcos de referencia, no como una cronología de amenazas. El material no aporta alertas técnicas, compromisos de infraestructura ni secuencias de ataque publicadas por CERT nacionales o bancos centrales que conecten estas reformas con campañas de fraude concretas. Lo que sí aparece es un endurecimiento del perímetro regulatorio, con especial énfasis en prevención, detección, trazabilidad y capacidad de demostrar controles previos al incidente.

La diferencia de enfoque también es importante. El esquema argentino se centra en gestión del riesgo de fraude en productos y operaciones financieras. El esquema chileno regula el tratamiento de datos personales, la respuesta a brechas y la arquitectura institucional que va a fiscalizar y sancionar. Ambos se tocan en la práctica, porque las entidades financieras tratan grandes volúmenes de datos y operan en canales de alto riesgo, pero la fuente normativa de la obligación no es la misma.

Tabla de hechos clave

Timeline de la operación

<text x="330" y="150" font-size="18" font-weight="700">2026-09-16</text>
<text x="330" y="220" font-size="16" text-anchor="middle"><tspan x="330" dy="0">SBS 02271</tspan><tspan x="330" dy="1.2em">consulta pública</tspan></text>

<text x="520" y="150" font-size="18" font-weight="700">2026-09-25</text>
<text x="520" y="220" font-size="16" text-anchor="middle"><tspan x="520" dy="0">BCRA 8471 riesgo</tspan><tspan x="520" dy="1.2em">fraude</tspan></text>

<text x="710" y="150" font-size="18" font-weight="700">2026-10-01</text>
<text x="710" y="220" font-size="16" text-anchor="middle"><tspan x="710" dy="0">BCU 2497 doble</tspan><tspan x="710" dy="1.2em">factor</tspan></text>

<text x="900" y="150" font-size="18" font-weight="700">2026-10-07</text>
<text x="900" y="220" font-size="16" text-anchor="middle"><tspan x="900" dy="0">SOAT Colombia</tspan><tspan x="900" dy="1.2em">canales</tspan><tspan x="900" dy="1.2em">seguros</tspan></text>

<text x="1060" y="150" font-size="18" font-weight="700">2026-12-01</text>
<text x="1060" y="220" font-size="16" text-anchor="middle"><tspan x="1060" dy="0">Chile y</tspan><tspan x="1060" dy="1.2em">Argentina</tspan><tspan x="1060" dy="1.2em">vigentes</tspan></text>

Cadena de ataque y TTPs

El material no documenta una campaña de ataque única ni una cadena maliciosa con IOCs públicos. Lo que sí aparece es una colección de tácticas observables en el fraude financiero regional, sobre todo suplantación, abuso de identidad, canales digitales no presenciales, deepfakes, clonación de voz, phishing, dispositivos comprometidos y uso de dominios o plataformas que aparentan legitimidad. En Bolivia, por ejemplo, ASFI advirtió sobre una plataforma fraudulenta que usaba su nombre e imagen institucional, con videos y voces generadas por IA. En Colombia, el SOAT virtual y los créditos exprés por billeteras digitales muestran suplantación, ingeniería social y validaciones débiles como vectores recurrentes.

A nivel regulatorio, las respuestas convergen en tres capas. La primera es autenticación reforzada y biometría. La segunda es monitoreo de comportamiento, geolocalización, alertas por dispositivos desconocidos y validación de la operación antes de permitir cambios sensibles. La tercera es trazabilidad y evidencia, que en Chile toma la forma de registro interno de brechas, demostración de controles previos al incidente y notificación a la autoridad, y en Argentina se traduce en reportes al directorio, autoevaluaciones y planes de mitigación.

En otras palabras, el informe no permite afirmar una TTP ofensiva concreta atribuible a un actor. Sí permite mapear el perímetro defensivo que las autoridades están exigiendo para neutralizar ataques que, por su naturaleza, explotan identidad, confianza y ausencia de fricción en los canales digitales.

<rect x="300" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="385" y="175" font-size="18" font-weight="700">Monitoreo</text>
<text x="385" y="200" font-size="16">Conducta, geoloc.</text>

<rect x="530" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="615" y="175" font-size="18" font-weight="700">Mitigación</text>
<text x="615" y="200" font-size="16">Bloqueo, reverso</text>

<rect x="760" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="845" y="175" font-size="18" font-weight="700">Reporte</text>
<text x="845" y="200" font-size="16">Directorio, autoridad</text>

<rect x="990" y="140" width="140" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="1060" y="175" font-size="18" font-weight="700">Evidencia</text>
<text x="1060" y="200" font-size="16">Auditable</text>

Impacto regional

Panorama regional

El impacto regional más claro no viene de una ola técnica de compromiso, sino de la formalización acelerada de controles antifraude y privacidad. Argentina y Chile fijan la vara más alta en lo verificable. Argentina regula el fraude como riesgo operacional y separa etapas para entidades financieras y PSP. Chile monta un régimen completo de privacidad con agencia, sanciones, notificación de brechas y obligaciones técnicas que alcanzan al sistema financiero.

La comparación deja ver asimetrías. Uruguay y México endurecen controles de autenticación y monitoreo, pero con un foco más operativo. Colombia reacciona a fraudes específicos en el SOAT y en billeteras digitales, con órdenes judiciales y advertencias a usuarios. Perú mantiene su capa de seguridad y reporte en el ecosistema SBS. Brasil concentra el material en la regulación de activos virtuales y PSAV, no en fraude bancario tradicional. Paraguay avanza hacia una ley integral de datos con vigencia en 2027. No hay, para Perú, Paraguay ni Brasil, un bloque verificable en 2026 y 2027 que combine fraude financiero y protección de datos con el mismo nivel de detalle normativo observado en Argentina y Chile.

Argentina

La Comunicación A 8471/2026 del BCRA colocó el fraude dentro del riesgo operacional y obligó a bancos y PSP a trabajar con estructuras, políticas, responsables, apetito y tolerancia al riesgo, identificación de riesgos, autoevaluaciones, monitoreo y mitigación. El material también indica que para PSPCP hay un marco gradual que arranca en septiembre de 2026 y se completa en septiembre de 2027, mientras que para entidades financieras la vigencia comienza el 1 de diciembre de 2026.

El punto más fuerte para equipos internos es la exigencia de gobierno. El reporte del BCRA habla de gobernanza, políticas antifraude, oficiales responsables, monitoreo, mitigación y reporting, y El Cronista suma reportes periódicos al directorio con indicadores, incidentes relevantes, métricas, medidas correctivas y nuevas metodologías de fraude. Marval agrega la obligación de usar score de riesgo de fraude en alta de clientes y apertura de cuentas.

Chile

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, aunque existe un proyecto legislativo para postergarla un año. Mientras no cambie la ley, la obligación rige y la eventual postergación depende de aprobación congresal. La norma crea la Agencia de Protección de Datos Personales con facultades para investigar, multar, ordenar medidas correctivas y hasta suspender temporalmente tratamientos.

Siberson y Duemint describen un esquema de alto impacto para bancos y otras entidades intensivas en datos. Hay deber de justificar cada tratamiento, aplicar controles proporcionales al volumen y sensibilidad de la información, llevar evidencia auditable, notificar brechas sin dilación indebida y registrar internamente los incidentes. Si la brecha afecta datos sensibles, menores de 14 años o datos económicos, financieros, bancarios o comerciales, también deben notificarse los titulares.

Perú

Perú no tiene en el material un nuevo régimen antifraude equivalente al argentino o al chileno, pero sí un bloque consolidado de seguridad y ciberseguridad. La SBS mantiene el SGSI-C, exige controles de acceso de mínimo privilegio, inventario de activos de información, criptografía, monitoreo de red y reporte de incidentes cibernéticos significativos. La Resolución SBS 02326-2026 agrega obligaciones específicas cuando las EAF usan billeteras digitales o aplicativos para aportes previsionales.

El proyecto de la SBS sobre reporte único de incidentes operacionales, por ahora, sigue en consulta. Eso significa que no reemplaza todavía los reportes vigentes de continuidad del negocio y de ciberseguridad. Para el sector financiero peruano, la foto 2026-2027 es de continuidad regulatoria y refinamiento de canales, más que de una nueva arquitectura antifraude con nombre propio.

Colombia

Colombia aparece en el material con respuestas puntuales a fraude digital, no con una ley marco única. El Tribunal de Cundinamarca ordenó a la Superintendencia Financiera un plan para canales digitales seguros del SOAT y detección temprana del fraude, y al MinTIC un protocolo interinstitucional para identificar, reportar y desmontar páginas, perfiles, enlaces y aplicaciones fraudulentas. La Superintendencia reportó 2.870 inconformidades por posibles fraudes o suplantaciones en esa compra virtual.

En paralelo, la Superintendencia emitió advertencias por créditos exprés en billeteras digitales y recuerda que el phishing sigue entre las principales modalidades de fraude. Noticias RCN agrega que, bajo una norma de seguridad vigente, los bancos pueden terminar asumiendo fraudes con tarjetas si no prueban que cumplieron sus obligaciones de seguridad. La señal dominante es clara: autenticación, validación de canales y capacidad de demostrar controles.

Brasil

Brasil consolidó el perímetro de activos virtuales y PSAV. Las Resoluciones BCB 519, 520 y 521 crearon la figura de la SPSAV, exigen constitución local, capital mínimo, gobernanza, controles internos, segregación patrimonial, directores responsables de riesgos, PLD y ciberseguridad, y reglas sobre operaciones de cambio con criptoactivos, incluidas las transferencias desde y hacia wallets autocustodiadas.

El material revisado no muestra, para 2026-2027, una reforma antifraude bancaria tradicional equivalente a la argentina o a la uruguaya. Sí muestra un control mucho más estricto sobre activos virtuales y flujos internacionales. Eso amplía el perímetro de supervisión financiera, pero no permite afirmar una nueva política sectorial de fraude con la misma granularidad que en otros países.

México

México combina biometría, reportes regulatorios, monitoreo continuo y controles de correo electrónico. Nu México dice que la Circular Única de Bancos exige responsable de seguridad de la información, obliga a reportar incidentes a la CNBV y a entregar un informe detallado dentro de los cinco días hábiles. ITSitio agrega requerimientos técnicos para huella dactilar y biometría facial, mientras iWorld y Expansión describen una adopción amplia de DMARC para el correo institucional bancario.

Fast Company y Forbes refuerzan la lectura de mercado: la prevención de fraude se apoya en señales de comportamiento, identidad y confianza digital, con monitoreo analítico y modelos de riesgo. El sistema mexicano no aparece como una única reforma de 2026, sino como un conjunto de controles que empujan hacia mayor autenticación, trazabilidad y gobierno de datos.

Uruguay

Uruguay es el otro caso de endurecimiento visible. La circular 2.497 del BCU amplió la autenticación reforzada para accesos, transferencias, compras no presenciales y cambios de datos sensibles. También fijó requisitos para detectar operaciones inusuales, geolocalización, dispositivos desconocidos y patrones sospechosos, y exige notificar electrónicamente cualquier intento de modificar credenciales o datos de contacto.

El alcance es amplio y cubre bancos, cooperativas, administradoras de crédito, entidades otorgantes de crédito, empresas de servicios financieros, casas de cambio, transferencias de fondos y plataformas P2P. La obligación de evaluar periódicamente la eficacia de los sistemas de monitoreo y corregir fallas le da a la norma una dimensión de control continuo que la acerca al estándar que ya se ve en otros mercados de la región.

Paraguay

Paraguay aparece con una ley integral de protección de datos que, según Última Hora y Ceibo.digital, entrará en plena vigencia en noviembre de 2027. El material subraya que alcanzará a toda organización pública o privada que trate datos personales, con una agencia nacional y multas de hasta diez mil jornales mínimos en su tramo más alto.

La información verificable no desarrolla aún, en las fuentes revisadas, un puente específico hacia fraude financiero o exigencias técnicas del mismo calibre que las observadas en Argentina y Chile. El dato fuerte para el sistema financiero es que el marco de privacidad ya tiene horizonte y obliga a prepararse con antelación.

Estados Unidos

En el material disponible, Estados Unidos aparece solo como referencia técnica indirecta. El Cronista cita una recomendación oficial de la CISA sobre autenticación multifactor para proteger cuentas y aplicaciones, usada como apoyo técnico al comentar la Comunicación A 8471 del BCRA. No hay, en este corpus, una reforma comparable ni un hecho local que requiera desarrollo propio.