BREEZE COMET amplía ataques a pagos en Brasil

Actualización 4 de septiembre de 2026: nuevos reportes precisan que BREEZE COMET no se limita a atacar apps financieras, sino que compromete infraestructura de pago de bancos, fintech, procesadores, retailers, exchanges y proveedores de software bancario en Brasil. También se confirmó que opera con credenciales legítimas y material mTLS, lo que le permite pasar las verificaciones criptográficas de Pix.

BREEZE COMET comprometió organizaciones financieras, de retail y e-commerce en Brasil desde al menos 2024 y, una vez dentro de aplicaciones núcleo y plataformas de pago, ejecutó cientos de transacciones fraudulentas en oleadas de 24 a 48 horas. Las coberturas técnicas más recientes lo ubican dentro de la infraestructura de entidades autorizadas a cursar pagos, con impacto sobre Pix, STR y boletos, y con acceso a activos valuados en decenas de miles de dólares en al menos uno de los incidentes investigados.

¿Qué están haciendo los atacantes?

Los actores maliciosos están combinando malware bancario, suplantación de identidad y automatización con IA para atacar canales digitales y sistemas de pago. Google Cloud atribuye a BREEZE COMET actividad contra bancos, fintechs, operadores de pagos, comercios y proveedores de software bancario en Brasil, con foco en transferencias fraudulentas mediante Pix, STR y Boleto.

Las coberturas técnicas coinciden en que el grupo no se centra en víctimas individuales bancarias, sino en infiltrarse directamente en la infraestructura de entidades autorizadas a cursar pagos. SecurityLab, Valor Económico y GBHackers describieron ataques sobre bancos, fintech, procesadores, retailers, exchanges y proveedores de software bancario conectados al ecosistema de pagos brasileño.

Valor informó que, tras acceder a redes de instituciones financieras en Brasil, ese grupo usa herramientas de reconocimiento y malware propio para identificar credenciales y entrar a sistemas de pago. Además, emplea modelos de lenguaje generativos para acelerar la creación de scripts usados en reconocimiento de redes, validación de credenciales, despliegue de herramientas, selección de víctimas y extracción de datos.

Un análisis independiente sobre Pix añadió que las operaciones atribuidas a BREEZE COMET pasan todas las verificaciones criptográficas del sistema porque se realizan con material mTLS y credenciales válidas de entidades autorizadas. Ese enfoque desplaza el riesgo desde el protocolo hacia la seguridad de las identidades y los canales de integración.

NEXSIGHT CYBER WIRE también describió que BREEZE COMET abusa de cuentas de identidad persistentes y acceso a la RSFN, la Rede do Sistema Financeiro Nacional, combinados con credenciales mTLS reutilizables, para ejecutar transferencias fraudulentas que sortean controles antifraude habituales en bancos brasileños.

Medios y blogs de ciberseguridad agregaron que, en al menos uno de los incidentes investigados por Google, el grupo consiguió activos valorados en decenas de miles de dólares, con dos oleadas de cientos de transferencias en menos de 48 horas una vez que alcanzó los sistemas transaccionales.

TecMundo, citando a Zimperium, agregó que en América Latina los grupos de malware bancario con capacidades de IA están abusando de las funciones de accesibilidad de los móviles. Según esa advertencia, pueden leer la pantalla en silencio, aprobar transferencias en segundo plano, sortear controles biométricos e interceptar códigos enviados por mensajes y notificaciones.

¿Cómo están respondiendo bancos y fintechs?

Las entidades financieras están incorporando más capas de validación en tiempo real para decidir si una transacción es legítima sin friccionar al usuario. Valor explicó que los bancos en Brasil están reforzando el uso de datos transaccionales, información del dispositivo y biometría comportamental para combatir el fraude en pagos Pix.

En República Dominicana, Visa indicó que su solución Visa Advanced Authorization analiza hasta 400 atributos únicos en tiempo real durante la autorización de una transacción. Según la empresa, el esquema combina inteligencia artificial, autenticación, biometría y credenciales tipo passkeys para detectar operaciones potencialmente fraudulentas.

También en Brasil, bancos y operadoras móviles están cruzando datos de comportamiento transaccional con señales de red celular dentro de la iniciativa Open Gateway. Según Real Nacional, usan APIs para verificar en silencio si el dispositivo y el chip coinciden con el historial de la línea, detectar cambios recientes de SIM o de equipo asociados a fraude y reducir la necesidad de códigos adicionales para clientes confiables.

Colombia Fintech informó que Ionix Latam desplegó su plataforma Ionix Verify, que analiza documentos de identidad, realiza comparaciones biométricas e incorpora otras capas de seguridad. En Chile, G5 Noticias señaló que las entidades financieras también están reforzando defensas con biometría avanzada, cifrado de extremo a extremo y algoritmos de aprendizaje profundo capaces de diferenciar en tiempo real entre un usuario humano real y una suplantación sintética generada con IA.

¿Qué tan extendido es el fraude en la región?

Los intentos de fraude muestran una presencia alta y sostenida en varios países de América Latina. Bloomberg Línea informó, citando un reporte de Experian, que entre el 68% y el 74% de personas encuestadas en Colombia, México, Chile, Perú y Panamá recibió al menos un intento de fraude durante el último año.

Esa misma cobertura explicó después que Experian está combinando analítica avanzada, modelos de riesgo basados en identidad y herramientas de IA para validar en tiempo real quién está detrás de una acción en canales digitales. El objetivo es verificar autorizaciones y legitimidad de transacciones en esos mismos mercados.

Latin Times, citando datos de Finnovista y BioCatch, añadió que los casos de robo de identidad digital en América Latina aumentaron un 84% entre 2024 y comienzos de 2026. En México, BioCatch registró un incremento del 324% en intentos de toma de control de cuentas contra clientes de banca digital en ese período, casi el doble de la tasa observada en Colombia.

En Chile, un medio local reportó que los fraudes en medios de pago alcanzaron aproximadamente US$98 millones en el primer semestre de 2026. Esa cobertura dijo que las entidades financieras están reforzando sus defensas con biometría avanzada, cifrado de extremo a extremo y aprendizaje profundo para distinguir usuarios reales de suplantaciones sintéticas.

¿Qué técnicas usan las estafas de identidad?

Los controles tradicionales de eKYC están perdiendo eficacia frente a identidades falsas cada vez más baratas y convincentes. Mexico Business advirtió que documentos sintéticos, rostros generados por IA, clonación de voz y deepfakes están erosionando la verificación remota de identidad en banca digital, apertura de cuentas y acceso a servicios financieros.

Meganoticias y Duplos Chile describieron una estafa bancaria basada en el RUT. Primero, los delincuentes bloquean la cuenta con los datos del documento nacional de identidad y luego inducen a la víctima a entregar el código de verificación recibido por SMS o correo electrónico, bajo el pretexto de solucionar el problema. Con ese código, logran restablecer claves y tomar control de la cuenta.

AJN1, por su parte, señaló que las herramientas de IA para clonación de voz e imagen están elevando de forma directa las cifras de fraudes biométricos y robo de datos en Brasil. Ese análisis recordó que la LGPD clasifica la biometría facial y vocal como datos sensibles y que las víctimas de fraude vía Pix deben activar el Mecanismo Especial de Devolución de inmediato para intentar bloquear los fondos.

¿Qué dicen las firmas de seguridad y riesgo?

Las compañías de ciberseguridad y fraude están pidiendo más monitoreo en tiempo real y mejores controles de autenticación. Zimperium recomendó a los bancos reforzar la arquitectura interna de sus apps contra modificaciones no autorizadas y desplegar detección en tiempo real de comportamientos anómalos durante la transacción.

Iupana recogió la reacción de CISOs de América Latina tras una advertencia pública de empresas tecnológicas encabezadas por OpenAI. Según esa cobertura, los responsables de seguridad están revaluando modelos de riesgo, reforzando controles de autenticación y aumentando el monitoreo de intentos de suplantación y generación sintética de identidades en canales bancarios digitales.

Bloomberg Línea también señaló que el uso de IA en fraude obligó a Experian a apoyar sus verificaciones con analítica avanzada, modelos de identidad y validación en tiempo real. El resultado es un cambio en la defensa, que pasó de controlar solo la apertura de cuentas a revisar la legitimidad de cada acción en canales digitales.