Banco Central de Brasil endurece Pix

Actualización 21 de septiembre de 2026: el Banco Central de Brasil incorporó dos cambios nuevos al regulamento de Pix, la creación de la cobrança híbrida con boleto bancário y la posibilidad de marcar CPFs y CNPJs vinculados a sospechas fundadas de fraude. Ambas medidas se suman al paquete de ajustes ya anunciado para seguridad, participación y reparación de fraudes.

El Banco Central de Brasil concentró en septiembre una batería de cambios que endurece el control sobre Pix, los prestadores de servicios de activos virtuales, los bancos y las fintechs. Las medidas incluyen nuevas reglas para fraude, notificación de incidentes, participación en el sistema, contratación de nube y autorización de PSAV, con un calendario escalonado que se extiende hasta julio de 2027 y otros plazos que vencen en octubre de 2026 y marzo de 2026.

¿Qué cambia en la seguridad de nube y ciberseguridad?

Las resoluciones BCB 538 y CMN 5.274 actualizan el marco de seguridad cibernética y uso de nube de 2021 para las instituciones autorizadas a funcionar por el Banco Central, y fijan adecuación hasta el 1º de marzo de 2026. Según Merc Group, la BCB 538 vuelve obligatorios los tests de intrusión anuales, realizados por una empresa o profesional independiente, con documentación, plan de acción correctivo y retención de evidencias.

El mismo análisis señala además que la resolución endurece la debida diligencia sobre la contratación de servicios de nube y tecnología. Eso incluye exigencias sobre localización de datos, continuidad y salida, y amplía el examen de terceros y de la cadena de subcontratación.

¿Qué cambia para los activos virtuales?

La Resolución BCB 520 convierte desde el 2 de febrero de 2026 la prestación de servicio de activo virtual en Brasil en una actividad autorizada por el Banco Central, y ya no libre. FCM Law indica que los prestadores deben demostrar, al pedir autorización, cumplimiento de normas de gestión de riesgos de mercado, crédito, operacional y liquidez, además de una política de seguridad cibernética con plan de acción y respuesta a incidentes.

FinanceFeeds agrega que, con base en el artículo 91 de la misma resolución, bancos e instituciones de pago no podrán ofrecer operaciones con activos virtuales que involucren proveedores no autorizados o que no hayan iniciado el proceso de autorización en Brasil después del 30 de octubre de 2026. El mismo medio dice que las empresas que ya prestaban servicios de activos virtuales deben presentar su solicitud dentro de 270 días, plazo que fija ese mismo 30 de octubre de 2026.

¿Cómo se endurece el control sobre bancos y fintechs?

Serasa resume que la Resolución CMN 5.261, vigente desde diciembre de 2025, obliga a los bancos a cerrar cuentas de depósito cuando detecten irregularidades graves o uso indebido para mover dinero de terceros. La Resolução BCB 518 extiende obligaciones similares a las instituciones de pago, en un paquete de reglas orientadas a combatir el uso irregular de cuentas y los fraudes.

La misma nota menciona que la Resolución Conjunta 6, vigente desde 2023, obliga a bancos y fintechs a compartir datos sobre indicios de fraude a través de un sistema electrónico común. Ese esquema refuerza el monitoreo colaborativo de riesgos entre entidades.

¿Qué cambia en Pix?

El Banco Central aprobó cambios en el reglamento de Pix para ampliar el uso de la herramienta y reforzar mecanismos de seguridad y combate a fraudes, con implementación escalonada hasta julio de 2027, según G1. La formalización quedó en la Resolución BCB 587, que introduce bloques de cambios con fechas específicas: dispositivos sin plazo especial desde el 18 de septiembre de 2026, nuevas reglas de cobranza híbrida desde febrero de 2027 y habilitación de Pix Automático para cuentas-salario a partir del 1º de julio de 2027.

Agência Brasil señala que la nueva norma también redefine la obligación de participación en Pix. El Banco Central podrá dispensar de la participación obligatoria a instituciones con más de 500 mil cuentas transaccionales activas cuando el perfil de clientes o el modelo de negocio no justifiquen el acceso a la infraestructura, lo que reemplaza el criterio puramente cuantitativo por un análisis de riesgo y necesidad.

La misma resolución aclara la responsabilidad por marcas de sospecha fundada de fraude en el DICT. La institución que acepta una notificación de infracción o registra una marca pasa a ser responsable, debe informar al usuario afectado, responder pedidos de revisión en hasta 7 días y cancelar la marca si la sospecha no se confirma.

Poder360 detalla que la Resolução BCB nº 587 crea la figura de una cobrança híbrida que permite vincular un boleto bancário a una cobrança por Pix. Una vez pagado por uno de los canales, el otro queda automáticamente invalidado y las instituciones deben mantener sus sistemas sincronizados para impedir pagos duplicados.

El mismo medio explica que la resolución introduce formalmente la posibilidad de marcar CPFs y CNPJs involucrados en transacciones con fundada sospecha de fraude en el Pix. También exige la rejeição de operaciones asociadas a esas notificaciones y prevé mecanismos para que los usuarios contesten esas marcas, según el propio acto normativo del Banco Central.

¿Qué otras medidas de fraude y reparación se suman?

Campo Grande News informa que, desde febrero de 2027, las instituciones participantes del Pix deberán comunicar a los titulares de cuentas de personas físicas los incidentes de seguridad que involucren datos personales relacionados con bases de datos de componentes o infraestructura del sistema. La cobertura también describe un endurecimiento de los controles, con marcação de CPF y CNPJ sospechosos, procedimientos reforzados de rechazo de transacciones y ajustes en los recursos contra decisiones del Banco Central.

Mix Vale agrega que el Banco Central reformuló el Mecanismo Especial de Devolución, conocido como MED 2.0, para reorganizar los protocolos de seguridad y facilitar el resarcimiento de usuarios víctimas de fraudes, transferencias bajo coacción física o golpes digitales. Tribuna do Sertão, además, señala que parte de las disposiciones entra en vigor de inmediato en septiembre de 2026, mientras otras se escalonan durante 2027, y que el desligamiento de participantes sancionados pasa a ser efectivo inmediatamente después de la comunicación de la decisión definitiva.

¿Qué entra en juego con la futura ley de ciberseguridad?

TIInside informó que el CNCiber presentó en abril de 2026 una minuta de Lei Geral de Cibersegurança para Brasil, destinada a organizar reglas de seguridad digital a nivel nacional y crear un Sistema Nacional de Ciberseguridad y una Autoridad Nacional para fiscalizar el sector. La misma columna indica que, si se aprueba, las empresas tendrían 180 días para adaptarse, un plazo que también alcanzaría a instituciones financieras y operaciones de remesas internacionales.