BCRA activa score antifraude en transferencias

El Banco Central de la República Argentina dictó la Comunicación A 8473 y puso en marcha un sistema de evaluación de riesgo de fraude para pagos electrónicos basado en información que el propio BCRA suministrará a los administradores de transferencias inmediatas. La medida alcanza a entidades financieras, PSPCP y administradores del esquema, y se integra con una apertura de datos pública orientada a detectar maniobras sospechosas, cuentas vinculadas a fraudes y juego ilegal.

¿Qué cambia con la Comunicación A 8473?

La norma obliga a usar un score de riesgo de fraude para el alta de clientes, el monitoreo transaccional y la revisión periódica del padrón, con evidencia disponible para la Superintendencia de Entidades Financieras y Cambiarias. Además, fija que la información y el score se utilicen solo para las finalidades previstas y con controles de trazabilidad y resguardo.

Según el análisis de Bruchou & Funes de Rioja, el BCRA entregará mensualmente y sin costo a los administradores de transferencias inmediatas información sobre personas humanas de carácter público o agregada, que deberá combinarse con datos de la Central de Prevención de Fraude y, eventualmente, con información transaccional compartida. Con eso, se construirá un score por cada CUIL o CUIT para ponerlo a disposición de bancos y PSPCP que originen transferencias inmediatas.

¿A quiénes alcanza y qué deben conservar?

La Comunicación A 8473 alcanza a entidades financieras, Proveedores de Servicios de Pago que ofrecen Cuentas de Pago y administradores de transferencias inmediatas, y les impone conservar evidencia del uso del score en procesos clave. También deben adoptar medidas de seguridad, confidencialidad, integridad y disponibilidad de la información, con mecanismos de control sobre accesos, usos, transferencias e incidentes.

Bruchou & Funes de Rioja señala que esa evidencia debe quedar disponible ante la supervisión del regulador. El mismo análisis agrega que los sujetos alcanzados pueden ser sancionados bajo los artículos 41 y 42 de la Ley de Entidades Financieras, con multas, inhabilitaciones y otras medidas administrativas en caso de incumplimiento.

¿Qué plazos fijó el BCRA?

La norma estableció plazos diferenciados: 60 días corridos desde que los administradores suministren la documentación técnica sobre el score para las altas de clientes y la revisión periódica del padrón, y 90 días corridos para el monitoreo transaccional.

Para los administradores de transferencias inmediatas, Bruchou & Funes de Rioja precisa un plazo propio de 120 días corridos desde la publicación de la norma para implementar el esquema. Coberturas periodísticas en Argentina indicaron además que la puesta en marcha sería gradual y que desde septiembre de 2026 los administradores empezarían a recibir la información pública para construir perfiles de riesgo y distribuirlos sin costo entre bancos y PSPCP.

¿Cómo se conecta con otras reglas de la región?

En Argentina, Ciberseguridad Latam venía destacando la Comunicación A 7724 del BCRA como un instrumento relevante en la regulación de ciberseguridad de los bancos y en el combate contra el cibercrimen. En paralelo, la prensa generalista local señaló que la Comunicación A 8471 incorporó el fraude interno y externo al marco de gestión del riesgo operacional y exigió estrategias, políticas y prácticas antifraude, además de una estructura responsable formal.

En México, la CNBV también viene ajustando reglas de autenticación y seguridad en operaciones por comisionistas tecnológicos y canales digitales. Según Ciberseguridad Latam, esas flexibilizaciones alcanzan consultas de saldo y operaciones de bajo riesgo, aunque se mantienen requisitos reforzados de múltiple factor para transacciones de mayor riesgo. ZeroTrust Consulting agregó que ciertas reglas permiten el uso de SMS como factor de autenticación en algunos esquemas de menor riesgo.

Los Criterios de Política Económica 2027 de la SHCP, por su parte, indican que la dependencia participará en trabajos de coordinación y comunicación entre autoridades financieras para atender incidentes de ciberseguridad y seguirá impulsando cambios regulatorios en prevención de lavado de dinero y financiamiento al terrorismo. Un análisis de Truora también remarca que la CNBV exige identificación y verificación continua de la identidad de los clientes antes y durante toda la relación con la institución, no solo en el onboarding.

Alcance operativo, plazos y antecedentes judiciales

La Comunicación "A" 8473/2026 del Banco Central de la República Argentina puso en marcha un régimen obligatorio para prevenir y mitigar el fraude en transferencias electrónicas, con alcance sobre entidades financieras, proveedores de servicios de pago que ofrecen cuentas de pago y administradores de esquemas de transferencias inmediatas. El esquema se apoya en una herramienta de perfilado de riesgo para bancos y billeteras digitales, y también apunta a cuentas asociadas al juego ilegal.

Según El Destape, el texto publicado en el Boletín Oficial remite a un anexo técnico que no fue incorporado al aviso, de modo que varias obligaciones no pueden reconstruirse con precisión solo a partir de la versión oficial publicada. Esa falta de documentación deja un margen de incertidumbre hasta que las entidades reciban las especificaciones operativas. La nueva regulación, no obstante, ya quedó definida como obligatoria.

Los plazos de adecuación también quedaron desagregados. Los administradores de esquemas de transferencias inmediatas tienen 120 días corridos desde la publicación para cumplir las nuevas disposiciones, mientras que las entidades financieras cuentan con 60 días y los proveedores de servicios de pago con 90 días para implementar distintos apartados una vez recibida la documentación técnica. En la práctica, eso obliga a bancos y fintech a ajustar procesos internos por etapas, y no con un único plazo general.

La herramienta fue cubierta por El Destape, Yogonet Latinoamérica y Rosario Finanzas, que coincidieron en vincularla con el combate al fraude en pagos electrónicos. Según esas coberturas, el uso ampliado de datos públicos busca reforzar los dispositivos internos de análisis y monitoreo de transacciones, con detección temprana de operaciones sospechosas. Rosario Finanzas agregó además que el sistema fue presentado como una forma de reforzar el control sobre operaciones de juego ilegal, con mayor supervisión y trazabilidad de transacciones asociadas a actividades ilícitas.

La práctica judicial reciente aporta otros antecedentes. En una causa reseñada por Infobae, un peritaje concluyó que el sistema de banca electrónica del banco cumplía con los estándares técnicos exigidos por el BCRA y no presentó fallas de seguridad durante el período investigado. Aun así, la justicia ordenó devolver el dinero y pagar daño moral a la víctima. El fallo anuló 17 transferencias hechas en pocos minutos por 176.900 pesos, según Infobae, y atribuyó responsabilidad al banco por la atención al cliente y el tratamiento de la denuncia de fraude.

Noticias NQN informó otro caso en Cinco Saltos, donde un tribunal anuló un préstamo digital no solicitado y ordenó borrar el registro del cliente en la Central de Deudores del BCRA. Ese antecedente apuntó a cómo las entidades aplican procesos de onboarding digital y validación de identidad frente a operaciones remotas.

La tendencia se completa con la condena al banco ICBC reseñada por 0264 Noticias, que incluyó la devolución de fondos y una multa equivalente a 65 canastas básicas totales, además de casi 12 millones de pesos. Ese caso fue presentado como una señal de responsabilidad patrimonial severa ante fallas de seguridad o gestión de incidentes de ciberataque en banca electrónica.