Banco Central de Brasil endurece reglas del PIX

El Banco Central de Brasil anunció nuevas reglas de seguridad para PIX que entrarán en vigor el 1 de marzo de 2027. El paquete incluye cambios en los comprobantes, más tiempo para contestar transacciones sospechosas y nuevas exigencias para los aplicativos de bancos e instituciones financieras, con el objetivo declarado de reforzar el combate al fraude.

¿Qué cambia en los comprobantes de PIX?

El Banco Central prohibió la inclusión de propagandas, ofertas comerciales, hiperlinks o cualquier contenido ajeno a la transacción en los comprobantes de pagos vía PIX. Según la nota oficial citada por Tribuna do Agreste, la medida busca evitar que esos comprobantes se conviertan en un vector de golpes mediante enlaces maliciosos.

La restricción alcanza también a cualquier elemento que no sea propio de la operación. La decisión forma parte del paquete de nuevas reglas de seguridad que el regulador hizo público con fecha 3 de septiembre de 2026 y cuya entrada en vigor quedó fijada para el 1 de marzo de 2027.

¿Cómo cambia la disputa de fraudes en el MED?

El plazo para contestar transacciones sospechosas mediante el Mecanismo Especial de Devolución pasó de 30 a 80 días, de acuerdo con Tecmundo e IstoÉ Dinheiro. El Banco Central presenta el cambio como una forma de mejorar la revisión de casos y de dar más tiempo para que comercios y prestadores de servicios aporten evidencia.

G1 informó que los aplicativos de bancos e instituciones financieras deberán permitir que los clientes adjunten documentos y comprobantes al responder una transferencia fraudulenta. En la práctica, eso incluye comprobantes fiscales y registros de entrega, que según la cobertura citada pueden ayudar a demostrar que una operación fue legítima.

IstoÉ Dinheiro agregó que el aumento a 80 días implica un salto de 166% en el tiempo disponible para contestar accionamientos improcedentes. La misma cobertura señaló que el Banco Central complementó estas medidas con la futura remoción del límite fijo de R$ 500 para el PIX por aproximación y con la obligación de mapear flujos de fondos fraccionados en distintas cuentas, en busca de mayor control sobre el uso del sistema en el lavado de dinero.

¿Qué otros cambios de seguridad aparecen en el paquete regulatorio?

Además de PIX, el endurecimiento regulatorio del Banco Central y del Consejo Monetario Nacional también se refleja en el frente cripto y en los requisitos de seguridad para instituciones financieras. En el caso de las prestadoras de servicios de activos virtuales, las Resoluciones BCB nº 519, 520 y 521/2025, en vigor desde el 2 de febrero de 2026, disciplinan su autorización y funcionamiento, y también las operaciones de cambio con criptoactivos vinculados a mercados internacionales.

Vidigal Neto Advogados señaló que ese régimen integró requisitos prudenciales y de gobernanza al universo de las PSAV. Fincatch añadió que estas empresas deben demostrar capacidad para implementar la Travel Rule, garantizar la segregación operativa y la seguridad de los activos de clientes, además de organizar documentación probatoria para el proceso de autorización.

TrustSwap sostuvo que, bajo esas mismas resoluciones, los prestadores quedan sujetos a requisitos de capital mínimo de entre aproximadamente R$ 10,8 millones y R$ 37,2 millones, según la actividad. También indicó que las plataformas extranjeras deben operar mediante una entidad brasileña autorizada y que los flujos con stablecoins usados para pagos internacionales y remesas pasan a tratarse como operaciones de cambio, con límites por operación y obligación de reporte desde el 4 de mayo de 2026.

Portal do Bitcoin informó que el cierre de Coinext reflejó un impacto concreto de ese endurecimiento regulatorio sobre el mercado local, al señalar que las empresas que no lograran cumplir las nuevas exigencias de autorización y controles tendrían que cesar operaciones. TechCripto agregó que el Banco Central definió el régimen de PSAV como la nueva categoría regulada para prestadores de servicios de activos virtuales, marcando el inicio formal de la supervisión prudencial y de ciberseguridad sobre estas entidades.

¿Cómo se amplía la exigencia de seguridad sobre bancos y fintechs?

La actualización de la Resolución CMN nº 5.274/2025 refuerza controles sobre protección de claves y certificados, rastreabilidad, monitorización continua, pruebas de seguridad y gestión de riesgos de proveedores, de acuerdo con Prodist. Ese esquema se suma a la política de seguridad cibernética ya exigida por la Resolución CMN nº 4.893/2021.

El foco regulatorio también se extiende a la cadena de suministro tecnológica de bancos, cooperativas y fintechs. Prodist describe una supervisión más amplia sobre terceros y herramientas críticas, mientras que el material de Fincatch remarca que la ciberseguridad pasó a ser evidencia de gobernanza dentro de los procesos de autorización de las PSAV.

Cambios adicionales en Pix, el MED y el frente cripto

El Banco Central de Brasil sumó el 11 de septiembre de 2026 medidas antifraude para operaciones con activos virtuales. La novedad incluye una retención cautelar de hasta 24 horas en ciertas transferencias al exterior o a wallets de autocustodia por montos superiores a US$ 10.000. También endureció los requisitos para proveedores de servicios de TI, con más exigencias de gobernanza, controles internos, capital y trazabilidad.

La prohibición de propaganda, ofertas comerciales, anuncios y enlaces externos en los comprobantes de Pix quedó incorporada en la nueva versión del manual de requisitos mínimos para la experiencia del usuario de Pix. CNN Brasil informó que el veto alcanza anuncios, ofertas comerciales, hiperlinks y cualquier contenido no relacionado con la transacción, mientras que NSC Total señaló que el objetivo es cerrar brechas que venían siendo explotadas en golpes con archivos falsos. Otra cobertura local indicó que la Instrucción Normativa BCB nº 774 exige informar al usuario cuando una transacción sea bloqueada por sospecha fundada de fraude.

Ese mismo paquete regulatorio también refuerza la verificación de contactos registrados en Pix. Además, las instituciones tendrán hasta 11 días para responder si la solicitud de devolución del MED fue aceptada o considerada procedente. TNH1 señaló que el MED quedó definido de manera explícita como mecanismo exclusivo para fraudes y golpes, y que el usuario conserva hasta 80 días para solicitar la devolución en casos de fraude.

BBC News Brasil informó ese cambio y DOL indicó que la ampliación apunta a proteger a comercios y prestadores de servicios. Según DOL, ese margen extra les permite reunir documentación como notas fiscales y comprobantes de entrega para probar la legitimidad de la transacción. G1 agregó que los aplicativos de bancos e instituciones financieras deberán permitir que el cliente adjunte documentos y comprobantes al contestar una transferencia considerada fraudulenta por el MED.

El medio especializado Clearing Post agregó que la Instrução Normativa BCB nº 766 elevó de 30 a 80 días la ventana para que el receptor pueda contestar una devolución realizada vía Mecanismo Especial de Devolución, y que las instituciones tienen hasta el 1 de marzo de 2027 para adaptar sus sistemas a las nuevas reglas de comprobantes.

El Banco Central también dijo que seguirá intensificando acciones regulatorias y supervisoras para elevar los estándares de seguridad, gobernanza y gestión de riesgos en el sistema financiero. Valor Econômico recogió esa definición oficial y señaló que el regulador apunta a preservar la integridad operacional y el funcionamiento adecuado de los mercados.

En paralelo, cobertura especializada reportó que el BC endureció las exigencias de seguridad cibernética para instituciones financieras, con integración segura entre sistemas, control de accesos, pruebas de intrusión y monitoreo de credenciales. Esa línea también aparece en la agenda del regulador para el sector de activos virtuales. Una nota de análisis financiero vinculó ese endurecimiento normativo con el caso Master y añadió que la Resolução BCB nº 584 introdujo medidas específicas antifraude para servicios con activos virtuales.

Las empresas de activos virtuales que ya operaban en Brasil debían presentar hasta el 30 de octubre de 2026 la primera fase de la solicitud de autorización ante el Banco Central. Global Legal Insights indicó que las VASPs preexistentes al 2 de febrero de 2026 pueden seguir operando mientras el regulador analiza la petición, bajo un régimen de grandfathering.

La Resolução BCB nº 552 amplió la aplicación de reglas de conformidad, controles internos, auditoría y seguridad cibernética a prestadoras autorizadas de servicios de activos virtuales, según Fincatch. El mismo relevamiento detalló que las entidades ya operativas tienen ese plazo para pedir autorización y que el régimen alcanza a la estructura de gobierno, auditoría y seguridad del sector.

InfoMoney informó que las normas exigen autorización previa, capital mínimo compatible con la operación, sede física propia en Brasil, segregación patrimonial entre la empresa y los clientes y controles efectivos de prevención al lavado de dinero. BlockBR sumó que las SPSAV deben ser personas jurídicas constituidas en Brasil, con objeto social exclusivo, capital mínimo escalonado por porte y riesgo operativo, políticas de compliance y gestión de riesgos, procesos de KYC y AML, y estándares mínimos de continuidad operacional.

Transfeera señaló que las firmas que quieran entrar al mercado sin historial previo no pueden acogerse al régimen transitorio, lo que eleva la barrera de entrada y las somete desde el inicio a los requisitos del regulador. Veja agregó que, vencido el plazo del 30 de octubre de 2026, las instituciones financieras autorizadas ya no podrán viabilizar negocios con prestadoras de servicios de activos virtuales que no tengan licencia o trámite de autorización en curso. BitNotícias, por su parte, indicó que la auditoría de exchanges pasa a ser un requisito estructural permanente, no un procedimiento puntual.