Brasil: Open Finance y fraudes con deepfakes

Timeline de la operación

Cadena de ataque y TTPs

El patrón observado en el material es consistente con una cadena de ataque modular. El primer paso suele ser el acceso inicial por ingeniería social, phishing, smishing, vishing o abordajes personales. En Brasil, Exame advierte que muchos golpes de Open Finance utilizan datos reales como nombre, CPF, dirección e historial de compras para volver más creíbles las solicitudes de consentimiento. Esa parte inicial no busca forzar una intrusión técnica compleja, sino obtener una acción del usuario, un código, una aprobación o una apertura de sesión.

Luego aparece la fase de suplantación o abuso de cuentas válidas. MITRE define la técnica Valid Accounts como el uso de credenciales legítimas comprometidas para acceder a sistemas. En el corpus brasileño, eso se traduce en invasión de cuentas, secuestro de identidades digitales, acceso a GOV.BR, reutilización de credenciales y apertura de productos financieros a nombre de la víctima. La operación puede continuar con cambio de contactos, desvío de autenticadores, portabilidad de llaves Pix o apertura de cuentas mule para mover el dinero.

El segundo gran bloque es la evasión de controles biométricos. Diario do Nordeste, Metro1, CNN Brasil, Itaú Unibanco y IT Section describen deepfakes, selfies manipuladas, videos sintéticos y técnicas de inyección para burlar prueba de vida y reconocimiento facial. La idea no es solo “parecer real”, sino producir una señal aceptable para el sistema automatizado. Correio 24 Horas incluso reporta un caso en Bahia donde se usaron fotos de rostos de idosos para sortear el reconocimiento facial en apps bancarias y contratar préstamos.

En este punto la técnica Masquerading de MITRE encaja con precisión. El atacante usa identidades y apariencias falsas para eludir defensas. La falsificación puede ser documental, biométrica o de contexto. En varios reportes aparece además la combinación de foto, audio y video, lo que sugiere campañas que cruzan credenciales, suplantación audiovisual y manipulación del flujo de onboarding.

El tercer bloque es la monetización. Aparecen transferencias por Pix, contratación fraudulenta de préstamos, movimientos hacia cuentas de terceros, vaciamiento de cuentas y uso de boletos falsificados. La investigación de Agência Brasil y Quod muestra que Pix fue el canal predominante. El caso de la Operação Infiltrados, con cerca de R$ 45 millones desviados, y la detención de un funcionario sospechoso de desviar cerca de R$ 2 millones, ilustran que la monetización puede apoyarse tanto en canales automatizados como en abuso interno.

La persistencia suele completarse con lavado y fragmentación. Evertec describe organizaciones criminales con división de funciones entre ingeniería social, malware, lavado de dinero, apertura de cuentas mula, falsificación de documentos y tráfico de datos. Ese dato es relevante porque explica por qué los ataques ya no parecen actos aislados, sino servicios especializados. El modelo Fraud as a Service reduce la barrera de entrada para bandas menores y profesionaliza la operación.

Impacto regional

Panorama regional

El caso brasileño tiene valor de referencia para el resto de América Latina porque combina tres elementos que no siempre aparecen juntos. Primero, una infraestructura de pagos y datos altamente integrada, con Open Finance, Pix y fintechs interconectadas. Segundo, un uso creciente de IA generativa para fraude de identidad, deepfakes y personificación. Tercero, una respuesta regulatoria que se mueve rápido, pero que aún depende de que bancos, proveedores y autoridades coordinen controles técnicos en tiempo real.

La relación entre identidad y fraude ya no es un asunto puramente documental. Los reportes citados muestran que la industria empezó a tratar la biometría facial, la prueba de vida y el consentimiento digital como superficies atacables. En paralelo, el crimen organizado trabaja con accesos a datos filtrados, ingeniería social dirigida y secuestro de sesiones. Esa combinación se repite con variaciones en varios países de la región, aunque Brasil concentra la mayor profundidad del material recolectado.

Brasil

Brasil es el centro del informe. Evertec Trends, Exame, Agência Brasil, Quod, CNN Brasil, Serasa, O Globo, IT Section, Itaú Unibanco, Metro1, Diário do Nordeste, la Polícia Federal, el Banco Central y ANPD componen un cuadro consistente. El fraude se desplazó desde el uso indebido de tarjetas y boletos hacia un entorno donde el atacante explota Open Finance, Pix, la identidad digital y la biometría facial.

Los datos de escala son elocuentes. Más de 9 millones de indicios de fraude en el primer semestre de 2026, 78% vía celular, 85% con Pix y cerca del 40% originados en ingeniería social. A eso se suman más de 24 millones de víctimas estimadas por Fenasbac y GASA entre julio de 2024 y junio de 2025, casi R$ 29 mil millones en perjuicios y un crecimiento de 43% en pérdidas vía Pix frente a 2023. La ANPD, por su parte, ubicó a Brasil con 39% de los casos de deepfake de América Latina en 2025 y un alza de 126% interanual en ataques con imágenes, voces e identidades falsas.

El frente operativo refleja esa escala. El material incluye fraudes en cuentas sociales de Caixa, apertura de cuentas falsas, préstamos fraudulentos, desvíos en cuentas de beneficiarios, abuso interno por parte de empleados de banco y un caso de gran fraude histórico, el Bank Master, que Insight Crime relaciona con redes criminales y milicias. La lectura combinada es que el fraude financiero brasileño dejó de depender solo del perímetro digital clásico y pasó a penetrar la cadena de confianza que sostiene al sistema de pagos.

Colombia

Colombia aparece con una agenda regulatoria y preventiva más visible en el material. La Ley 2573 de 2026, según El País, suspende cobros y borra temporalmente reportes negativos por suplantación de identidad a partir de noviembre de 2026. La Superintendencia Financiera creó un espacio específico para orientar a la ciudadanía frente a phishing, smishing, vishing, suplantación de identidad y fraude amigable, con recomendaciones de reporte inmediato, inactivación de productos y denuncia ante Policía y Fiscalía.

El riesgo práctico, sin embargo, ya muestra señales parecidas a las de Brasil. TintaTIC describe más de 218.000 reclamaciones por suplantación de identidad y destaca la apertura de cuentas digitales con datos robados y la creación de registros adulterados. Semana advierte sobre correos, voces y videos deepfake que imitan bancos o personas de confianza. Pulzo alertó sobre smishing ligado al lanzamiento de Bre-B, con mensajes falsos que piden contraseñas, códigos e incluso biometría. BBVA Colombia, por su parte, recomienda activar autenticación biométrica y verificar desde la app oficial ante notificaciones sospechosas.

El bloque de casos también es fuerte. El Espacio Digital reportó un falso asesor bancario en Bogotá que obtenía datos para fraude con tarjetas de crédito. La FM describió una estafa en billeteras digitales que usa identidades suplantadas y transferencias “por error” para cargar deudas a la víctima. Creditolab y Juan Antonio Matiz recopilan pasos de respuesta, como denunciar ante Fiscalía, contactar al banco, bloquear tarjetas, revisar reportes de crédito y actuar ante posible SIM swapping. En conjunto, el país muestra una combinación de controles regulatorios, educación al usuario y despliegue de señales de alarma contra suplantación y fraude de onboarding.

México

México aporta un patrón técnico paralelo, aunque con menos detalle regulatorio en el material. Condusef reportó 43.871 reclamaciones por intentos de fraude financiero en el primer semestre de 2026, un alza de 16,7% interanual, y 118.287 reportes totales, 11,3% más que un año antes. Shufti Pro señala que el país enfrenta account takeover, manipulación de pagos por SPEI, ingeniería social y lavado vinculado a carteles. Eso sugiere una convergencia entre fraude financiero y ciberdelito organizado.

Juan Guevara, citado por Imagen Radio, describió una técnica de ataque de inyección en procesos de apertura de cuentas por app. El atacante interrumpe la cámara y reemplaza la señal con un video falso generado por IA para engañar el sistema de selfie o video. El mismo corpus menciona un alza fuerte del fraude en apertura de cuentas digitales y del account takeover, aunque esos porcentajes aparecen atribuidos por las fuentes y no deben tomarse como serie oficial consolidada dentro de este informe.

Banorte respondió con una estrategia de doble seguridad basada en verificación de líneas telefónicas con telcos y biometría conductual que analiza geolocalización, uso del dispositivo y otros patrones. Xataka México añade que la CNBV aprobó cambios para permitir identificación con documentos oficiales, huellas y reconocimiento facial, especialmente en cuentas nivel 3 y 4, y que depósitos o retiros en efectivo superiores a 140.000 pesos deben acreditarse con biometría. MITRE encaja bien con el cuadro mexicano, porque el material refleja acceso inicial por ingeniería social, uso de cuentas válidas comprometidas y masquerading mediante deepfakes o identidades sintéticas.

Indicadores técnicos

No se publicaron IOCs técnicos clásicos en el material consolidado, como hashes, IPs, dominios, URLs de infraestructura criminal o artefactos de malware. El corpus sí aporta indicadores operativos y de contexto que ayudan a perfilar las campañas.

Análisis para equipos de seguridad

El principal aprendizaje operativo es que la defensa ya no puede descansar en una única capa. En Brasil, el atacante combina consentimiento inducido, compromiso de credenciales, manipulación biométrica y monetización rápida por Pix o crédito. Eso obliga a que la detección se desplace desde el evento aislado hacia la secuencia completa de comportamiento.

Para equipos antifraude, el primer foco debe ser el flujo de consentimiento. Si Open Finance se apoya en autorizaciones válidas del usuario, la telemetría debe detectar desvíos en la experiencia de alta, secuestro de sesión, cambios bruscos de dispositivo, horarios atípicos, origen de red inusual y reutilización de datos reales filtrados para disparar solicitudes. El material sugiere que muchos ataques no se detectan porque la operación luce “autorizada”. Hay que observar la calidad del consentimiento, no solo su existencia.

El segundo foco es la biometría. La combinación de selfie, video y prueba de vida necesita controles contra inyección, deepfakes y manipulación documental. IT Section detalla que en validaciones remotas ya se exigen mecanismos específicos contra deepfake e inyección biométrica. La lectura práctica es que la validación de identidad no debería depender solo de una imagen frontal, sino de biometría multimodal, señales de liveness, comparación con bases confiables y análisis contextual. CNN Brasil y ClickPetroleo e Gás / Exame citan el uso de biometría multimodal y liveness 3D como respuesta precisamente para evitar que un rostro sintético pase como real.

El tercer foco está en los pagos instantáneos. El Banco Central ya endureció reglas, pero la capacidad del atacante para mover dinero con velocidad sigue siendo el riesgo central. Por eso la verificación previa de CPF/CNPJ, nombre del titular y comportamiento transaccional debe integrarse antes de habilitar llaves Pix, portar claves o aceptar transacciones a cuentas con sospecha fundada. La Resolução BCB nº 501/25 y las normas relacionadas muestran que el regulador está empujando la detección hacia el momento previo o inmediato a la autorización, no solo al chargeback posterior.

El cuarto foco es el fraude organizado. Evertec describe una estructura con especialistas separados por función. Eso obliga a pensar la defensa como un problema de cadena de suministro criminal. No alcanza con bloquear al usuario engañado. También hay que identificar redes de cuentas mula, dispositivos reutilizados, patrones de afiliación entre cuentas, uso repetido de identidades sintéticas, contraseñas recicladas y comportamiento de funnels coordinados. El objetivo es romper la economía de escala del fraude, no solo reaccionar caso por caso.

A nivel de priorización, los equipos deberían tratar como alta prioridad tres escenarios concretos. Primero, onboarding remoto con selfie o video. Segundo, autorización de consentimiento o de llaves Pix desde dispositivos nuevos o sesiones secuestradas. Tercero, solicitudes de préstamo o apertura de cuenta con datos reales filtrados y señales de ingeniería social. En esos casos, la fricción adicional, como challenge step-up, verificación por segundo canal, revisión humana o suspensión temporal, parece justificable por el nivel de riesgo que muestra el material.

También conviene cruzar fraude y ciberseguridad de forma más estrecha. MITRE ayuda a ordenar el análisis. Initial Access cubre el acceso inicial por phishing o smishing. Valid Accounts explica el uso de credenciales legítimas comprometidas. Masquerading refleja deepfakes y suplantación visual. Esa taxonomía, aplicada al fraude bancario, permite compartir lenguaje entre equipos antifraude, SOC, IAM, riesgo y compliance.

Limitaciones del material

El material no incluye indicadores técnicos explotables de infraestructura criminal, como IPs, hashes, dominios o muestras de malware. Tampoco contiene un único caso investigado de punta a punta con cadena completa confirmada desde acceso inicial hasta monetización. Lo disponible es una combinación robusta de reportes técnicos, regulatorios, judiciales y periodísticos que permiten reconstruir patrones, pero no atribuir con certeza una campaña unificada.

Varias cifras aparecen atribuidas por las propias fuentes y no por documentos primarios accesibles en el corpus. Ese es el caso de algunos porcentajes reportados por medios sobre crecimiento de deepfakes, account takeover o apertura de cuentas digitales. En este informe se preservó esa incertidumbre cuando fue necesario.

La cobertura geográfica es desigual. Brasil concentra la mayor parte del material verificable y por eso estructura el análisis principal. Colombia y México ofrecen suficientes hechos para una lectura comparada. Argentina, Chile, Paraguay, Bolivia, Perú, Estados Unidos y Uruguay no aportaron hechos verificables adicionales dentro del research consolidado, por lo que no se desarrollan como subsecciones separadas.