Chile, México y Colombia endurecen controles

Cadena de ataque y TTPs

No hay en el material una campaña técnica única con infraestructura, direcciones, hashes o familias de malware que permita reconstruir una cadena de ataque clásica. Lo que sí aparece es un patrón regional de ataque y control, donde la presión ofensiva sobre datos financieros, identidades y mensajería móvil obliga a las empresas a elevar sus defensas y a los reguladores a exigir trazabilidad. En Argentina, los SMS Blasters muestran un vector de fraude basado en suplantación de marca y evasión de controles de industria. En Paraguay, la pericia fiscal citada por ABC Color describe funcionalidades no declaradas y órdenes de bloqueo en controladores de licencias. En Chile, el foco está en la respuesta regulatoria a brechas y en la demostración de seguridad. En México y Colombia, la dimensión técnica se traslada al monitoreo, al análisis de riesgo y al intercambio estandarizado de información.

La lectura de TTPs, entonces, es estructural y no forense. El vector dominante es el abuso de confianza, ya sea mediante SMS engañosos, suplantación de identidad, abuso de credenciales, ocultamiento funcional o intercambio de datos sin gobernanza suficiente. El objetivo es siempre el mismo, acceder a información sensible, alterar procesos o monetizar el acceso a datos financieros. La respuesta regulatoria se concentra en minimizar exposición, fortalecer autenticación, documentar controles y exigir aprobación o trazabilidad adicional cuando el riesgo sube.

Impacto regional

Panorama regional

La lectura comparada muestra tres movimientos distintos pero complementarios. Chile está consolidando un régimen de privacidad clásico con autoridad, registro, notificación de brechas y medidas técnicas exigibles. México está transformando el antilavado operativo en un sistema de riesgo computable, con automatización, clasificación y auditoría. Colombia está formalizando una capa de infraestructura para finanzas abiertas, donde los datos financieros circulan bajo reglas de autorización, interoperabilidad y supervisión técnica.

En los tres países, la protección no se limita al plano jurídico. El dato tiene que ser inventariado, clasificado, protegido, auditado y, en algunos casos, compartido mediante interfaces estandarizadas. Esto impacta tanto a bancos como a fintech, comercios, proveedores de software, inmobiliarias, emisores de crédito, plataformas de pagos y cualquier actor que trate datos personales o financieros a escala operativa.

Chile

Chile impone el cambio más nítido en materia de privacidad, porque la Ley 21.719 sustituye la antigua Ley 19.628 y crea una Agencia de Protección de Datos Personales con capacidad de fiscalizar, instruir, certificar modelos de prevención, revocar certificaciones y aplicar sanciones administrativas. El núcleo de la reforma es claro, documentar qué datos se tratan, para qué, bajo qué base legal y con qué medidas de seguridad.

La norma también refuerza los deberes de transparencia, respuesta a solicitudes de titulares y aviso de filtraciones. Cuando una vulneración genere un riesgo razonable, la empresa debe informar a la Agencia sin dilaciones indebidas y registrar internamente la comunicación. Si la brecha involucra datos sensibles, de menores de 14 años o económico-financieros, la notificación debe llegar además al titular afectado.

En seguridad, el estándar exigido es proporcional al riesgo e incluye seudonimización, cifrado, resiliencia de los sistemas, capacidad de restauración rápida y pruebas periódicas de eficacia. Siberson remarca que, tras un incidente, el responsable deberá demostrar que las medidas existían y operaban adecuadamente, lo que obliga a conservar evidencias, registros de monitoreo y documentación de pruebas. LexAlert agrega que las multas pueden superar los mil millones de pesos chilenos en casos graves o reiterados.

El calendario sigue siendo un factor crítico. La fecha vigente en el texto legal es el 1 de diciembre de 2026, recogida también por el Decreto 662. Sin embargo, existe un proyecto para postergar la entrada en vigor al 1 de diciembre de 2027 y fortalecer la institucionalidad de la Agencia. Mientras esa reforma no se apruebe y publique, el plazo legalmente exigible sigue siendo 2026.

México

México movió su sistema antilavado hacia un esquema de cumplimiento más sofisticado y más exigente para actividades vulnerables. El Acuerdo 115/2026 incorpora once nuevos capítulos a las Reglas de carácter general de la LFPIORPI y, según los análisis citados, desplaza el foco desde el cumplimiento formal hacia la gestión efectiva del riesgo. Eso implica mirar perfiles, comportamientos y vínculos, no solo montos o formularios.

Las obligaciones se distribuyen en varias capas. Para el 30 de noviembre de 2026 entra en vigor la reforma general. El 1 de marzo de 2027 se activan el enfoque basado en riesgo, la matriz institucional, la clasificación de riesgo de clientes, la actualización del manual interno y la adecuación operativa correlativa. El 1 de junio de 2027 entran los mecanismos automatizados del artículo 41, incluidos los sistemas de alertas para clientes de riesgo alto y personas políticamente expuestas.

El contenido técnico es extenso. HG Abogados y PLD.mx detallan exigencias de manuales internos, conocimiento del cliente, clasificación de riesgo, gestión de listas de PEP, identificación del beneficiario controlador, capacitación anual con evaluación, monitoreo automatizado del perfil transaccional y auditoría anual independiente. The Legal 500 agrega que el cambio preciso de interpretación alcanza también a fideicomisos, asociaciones en participación y proveedores de servicios de activos virtuales.

El punto más sensible es la cadena de decisión. Coem.mx explica que cuando un cliente sea PEP y además esté clasificado con riesgo alto, cualquier operación deberá contar con aprobación de un directivo o equivalente. Eso agrega una capa de gobierno corporativo sobre relaciones que antes podían resolverse con controles menos formales. En conjunto, la reforma convierte el riesgo en un insumo operativo, no en un dato aislado del expediente.

Colombia

Colombia formalizó un modelo de finanzas abiertas que ya no depende solo de buenas prácticas o acuerdos privados. El Decreto 368 de 2026 establece una infraestructura regulada, interoperable e interconectada para el acceso y suministro estandarizado de datos y servicios financieros, con autorización previa, expresa e informada del titular. Forbes Colombia lo presenta como un marco obligatorio para las entidades contempladas, con intercambio mediante APIs bajo estándares definidos por la Superintendencia Financiera.

La implementación está todavía en construcción. El Heraldo reporta siete mesas técnicas entre junio y julio de 2026 con más de 157 entidades, mientras El País de Cali y CERLatam consignan que la Superintendencia Financiera avanza en una hoja de ruta y en un cronograma para la expedición de estándares, el directorio de participantes y los indicadores de seguimiento. Eso muestra que la norma ya existe, pero su interoperabilidad real depende de piezas reglamentarias adicionales.

La lógica de fondo es la estandarización segura. El material de Batea Fintech explica que determinados datos financieros circularán entre participantes habilitados bajo reglas de autorización y protección de datos aplicables. El objetivo es aumentar la competencia, mejorar la simetría de información y habilitar nuevos productos. En ese marco, el uso de APIs no es una opción comercial, sino la interfaz que ordena el intercambio.

A ese frente se suma la discusión de identidad digital. La Ley 2573 de 2026, también en Colombia, refuerza la protección frente a reportes negativos derivados de suplantación de identidad y exige medidas de seguridad digital suficientes y razonables para mecanismos de verificación de identidad y tratamiento de datos personales. La SIC abrió una consulta pública para construir lineamientos y protocolos, lo que completa un ecosistema regulatorio que mezcla identidad, crédito y protección de datos.

Argentina

Argentina no aparece aquí con una nueva ley general, pero sí con un caso práctico que ilustra el riesgo operativo de los fraudes por mensajería. TeleSemana reportó una campaña de SMS Blasters que usa antenas portátiles no pertenecientes a operadoras licenciadas para enviar mensajes fraudulentos con enlaces engañosos orientados a robar credenciales bancarias y contraseñas. Claro y Telecom emitieron alertas y reforzaron protocolos de prevención.

La dimensión jurídica también es relevante. Microjuris Argentina recoge jurisprudencia según la cual el acceso de terceros a datos bancarios mediante ardides especialmente diseñados no rompe el nexo causal, porque el banco tiene un deber de seguridad de resultado y debe detectar movimientos extraños que no se condigan con el perfil transaccional del cliente. En otra publicación, Mario Vadillo sostiene que una decisión judicial reciente cargó al banco con el 80 por ciento de la responsabilidad por no detectar operaciones inusuales.

Paraguay

Paraguay ya cuenta con una Ley N.º 7593/2025 de protección de datos personales cuya vigencia general está fijada para el 27 de noviembre de 2027. El dato importante no es solo la fecha, sino que TEDIC advierte que el país todavía debe completar la reglamentación y los mecanismos de implementación, algo clave para que la norma tenga efectividad real.

Al mismo tiempo, el expediente público de ciberseguridad y bancarización sigue activo. ABC Color informó sobre una investigación fiscal a Itti por presunto sabotaje informático contra Banco Atlas, con una pericia que detectó funcionalidades no declaradas y órdenes de bloqueo en el core bancario. El caso marca la relevancia de los controles técnicos y contractuales sobre software crítico y acceso a sistemas financieros.

Bolivia

Bolivia sigue sin una ley general de protección de datos personales, y esa ausencia se traduce en una falta de obligaciones estructurales para los responsables de tratamiento. Opinión y sala.red coinciden en que no existe una autoridad administrativa dedicada, ni un régimen de sanciones específico, ni deberes como informar qué datos se guardan, borrarlos a pedido o notificar filtraciones. La Constitución ofrece una acción de protección de privacidad, pero como recurso judicial individual.

Pese a ese vacío, el ecosistema financiero y fintech opera con referencias regulatorias parciales. Yanapti señala que las empresas tecnológicas deben atender condiciones de tecnología, gestión de riesgos, tratamiento de información, protección de datos y ciberseguridad. 4notify agrega que la Ley 164 protege la privacidad de las comunicaciones electrónicas y que el Banco Central y la ASFI ordenan varios rieles de pago, como QR Simple y ACH-LIP. El país tiene actividad regulatoria, pero no un marco integral de privacidad.

Perú

Perú está en una fase de diseño y despliegue por etapas de su Sistema de Finanzas Abiertas. La SBS publicó una hoja de ruta de cuatro fases que se extiende hasta 2029, con una fase de reglas y especificaciones entre 2026 y 2027, una implementación gradual entre el segundo semestre de 2026 y 2028 y una cuarta fase que incorporará seguros, pensiones, cooperativas y fintech. Ligopay y Diario Financiero añaden que el foco está en estándares de interoperabilidad, seguridad para APIs y consentimiento del usuario.

El sistema financiero peruano, además, ya cuenta con piezas habilitantes. El BCRP desarrolla una Plataforma de Pagos Minoristas que permite iniciación centralizada de pagos, y la regulación de fintech se reparte entre SBS, SMV y BCRP. Gestión advierte que, en alianzas con terceros, la responsabilidad frente a filtraciones seguirá recayendo en la entidad financiera. La lectura es clara, el open finance peruano se está construyendo sobre una base de pagos y gobernanza todavía en consolidación.

Brasil

Brasil presenta el ecosistema más maduro en términos de Open Finance. El modelo está regulado por el Banco Central, pero operado por una entidad privada formada por asociaciones de mercado, bajo una lógica de autorregulación asistida. SpaceMoney, la ENAP y Openi coinciden en que el consentimiento del cliente es obligatorio, puede revocarse y se articula mediante APIs seguras, con requisitos técnicos y de seguridad definidos por la regulación.

El sistema, sin embargo, sigue evolucionando. Valor Investe reporta que el Banco Central prepara nuevas reglas para permitir que empresas fuera del sistema financiero reciban datos de clientes autorizantes. Convergência Digital subraya que la seguridad, las certificaciones y la especialización técnica siguen siendo desafíos relevantes. El caso de las 644 chaves Pix reportadas por Portal AZ confirma que la superficie de riesgo sigue activa incluso en un marco regulado y operativo.

México, Estados Unidos y Uruguay como señales complementarias

México muestra la versión más dura del control basado en riesgo para actividades vulnerables, mientras Estados Unidos incorpora piezas de intercambio financiero y privacidad con iniciativas federales fragmentadas. Uruguay, en cambio, está diseñando su propio sistema de finanzas abiertas con control del usuario, APIs y supervisión del Banco Central, en línea con la agenda de pagos y con mayores exigencias para proveedores de servicios de activos virtuales. Son trayectorias distintas, pero comparten la misma dirección, más estandarización, más consentimiento documentado y más responsabilidad regulatoria.

Indicadores técnicos

No se publicaron IOCs técnicos clásicos, como dominios, IPs, hashes o muestras de malware, en el material consolidado. El informe solo puede referenciar vectores, normas y actores institucionales, pero no artefactos forenses verificables. Esa ausencia es consistente con el tipo de investigación disponible, que se centra en regulación, cumplimiento y casos doctrinales o de cobertura periodística.

Análisis para equipos de seguridad

El primer ajuste operativo es documental. En Chile, cualquier organización que trate datos personales tendrá que llegar al 1 de diciembre de 2026 con el Registro de Actividades de Tratamiento completo, las bases de licitud identificadas, el inventario de flujos y evidencias de medidas de seguridad. La norma no premia la intención, exige prueba. Eso implica revisar políticas, bitácoras, pruebas de restauración, cifrado, seudonimización y tiempos de respuesta ante brechas.

El segundo ajuste es de riesgo. México obliga a pensar en matrices vivas, no en expedientes estáticos. Las organizaciones sujetas a la LFPIORPI tendrán que actualizar clasificaciones de clientes, reforzar listas de PEP, automatizar monitoreo y entrenar a su personal con evaluación anual. Un manual copiado de plantillas no servirá si no se alinea con el comportamiento real de las operaciones y con la evidencia que pide la autoridad.

En Colombia, el foco debe ponerse en la capa de integración. El intercambio por APIs bajo estándares definidos por la Superintendencia Financiera implica gobierno de interfaces, autorización trazable, control de terceros y monitoreo de disponibilidad y desempeño. El riesgo no está solo en la fuga de datos, sino en la mala implementación de consentimientos, la exposición por proveedores y el desacople entre participantes habilitados. La hoja de ruta oficial y los proyectos de decreto muestran que esta superficie seguirá cambiando.

Para entornos financieros y de pagos, los casos de Argentina, Paraguay y Brasil funcionan como señales de control. Argentina muestra que la mensajería fraudulenta sigue escalando y que los bancos pueden quedar expuestos si no detectan operaciones atípicas. Paraguay exhibe cómo un presunto sabotaje de software puede atacar el núcleo bancario. Brasil confirma que incluso un modelo avanzado de Open Finance depende de buen diseño de acceso, segregación de credenciales y una gobernanza de permisos finamente instrumentada.

Preguntas frecuentes

¿Qué país concentra el cambio regulatorio más inmediato entre Chile, México y Colombia?

Chile, porque la Ley 21.719 ya tiene fecha general de vigencia fijada para el 1 de diciembre de 2026 y obliga a preparar registro, seguridad y notificación de brechas. México también se activa pronto, pero sus obligaciones se distribuyen por etapas hasta 2027. Colombia ya tiene el decreto base, pero sigue afinando estándares de implementación.

¿Qué diferencia técnica hay entre la Ley 21.719 de Chile y el Acuerdo 115/2026 de México?

La ley chilena ordena protección de datos, notificación de incidentes y medidas de seguridad proporcionales al riesgo. El acuerdo mexicano, en cambio, reorganiza la prevención de lavado para actividades vulnerables, introduce clasificación de riesgo, enfoque basado en riesgos, monitoreo automatizado y controles reforzados sobre clientes PEP y beneficiarios controladores.

¿Qué tienen en común Colombia y Uruguay en sus proyectos de finanzas abiertas?

Ambos países proponen infraestructura regulada, interoperable y basada en consentimiento previo, expreso e informado del usuario. En los dos casos, las APIs son el mecanismo de intercambio y el banco central conserva un rol central en la regulación, supervisión y definición de estándares técnicos para los participantes.

¿Qué implica para un banco argentino la jurisprudencia citada sobre ciberestafas?

Implica que la entrega voluntaria de claves por parte del usuario no borra automáticamente la responsabilidad de la entidad. La jurisprudencia y los comentarios doctrinales citados insisten en que el banco conserva un deber de seguridad y debe detectar movimientos extraños que no coincidan con el perfil transaccional del cliente.

¿Qué obligaciones nuevas aparecen en Chile si ocurre una brecha con datos sensibles?

La empresa debe notificar a la Agencia de Protección de Datos por los medios más expeditos y sin dilaciones indebidas, además de registrar internamente la comunicación. Si la brecha involucra datos sensibles, información de menores de 14 años o datos económico-financieros, también debe informar directamente a los titulares afectados.

Limitaciones del material

El material no incluye una investigación forense con indicadores técnicos verificables, por lo que no fue posible identificar dominios, IPs, hashes, muestras, infraestructura de mando y control ni campañas atribuidas a un actor específico. Tampoco hay un caso único que enlace, de forma demostrada, los cambios regulatorios de la región con una operación adversaria concreta.

En Colombia, varias piezas sobre la hoja de ruta del Sistema de Finanzas Abiertas y los ajustes al cronograma están atribuidas por la fuente como incertidumbres o cobertura sectorial, por lo que se mantuvieron como tales y no se elevaron a hecho confirmado cuando no correspondía. En Chile, el proyecto que postergaría la Ley 21.719 sigue en tramitación y no altera, por ahora, la fecha vigente de 1 de diciembre de 2026.

El informe se construye exclusivamente con el material provisto y no incorpora corroboración externa adicional. Por eso, las subsecciones sobre Argentina, Paraguay, Bolivia, Perú, Brasil, México, Colombia, Estados Unidos y Uruguay reflejan solo lo que pudo verificarse dentro del set de research consolidado.

Gráficos