Brasil endurece las reglas del Pix

El Banco Central de Brasil endureció el marco antifraude y de seguridad del Pix, pero para el usuario final regularizado no habrá cambios operativos visibles. Las transferencias, el uso de claves, los pagos con QR y el resto de las operaciones seguirán funcionando de forma habitual, mientras que el impacto recaerá sobre las instituciones que no se adapten a las nuevas exigencias.

Más peso para el riesgo cibernético

De acuerdo con coberturas periodísticas, el Banco Central pasará a tratar el riesgo cibernético con el mismo peso supervisor que el capital y la liquidez. Eso habilita la suspensión o limitación preventiva de la actuación de bancos y fintechs en Pix cuando se identifiquen vulnerabilidades relevantes.

La medida aparece como respuesta a pérdidas estimadas en más de R$ 1,5 mil millones por ataques registrados en los últimos 12 meses. En ese contexto, el regulador también estudia un modelo de acceso diferenciado al sistema según el nivel de seguridad de cada institución.

Las entidades con estándares elevados mantendrían acceso pleno. En cambio, las que tengan controles considerados insuficientes podrían operar con restricciones de valor, horario y capacidad para registrar nuevas claves. En los casos más graves, el sistema prevé la suspensión total.

Auditorías, reportes y controles previos

El endurecimiento regulatorio también se apoya en auditorías más rigurosas y en un aumento del deber de reporte de incidentes de seguridad digital al Banco Central, incluso de eventos que antes eran considerados menores. Según las coberturas citadas, cuando en una supervisión aparezcan irregularidades, las instituciones podrán quedar sometidas a rondas adicionales de auditoría antes de permanecer en Pix.

En paralelo, el refuerzo del marco antifraude incorpora la obligatoriedad de consultar el sistema BC Protege+ antes de abrir cuentas o de incluir titulares y representantes. Ese control permite que los ciudadanos restrinjan preventivamente la apertura de cuentas en su nombre. La consulta deberá ser continua, las 24 horas, los 7 días de la semana, y se vuelve obligatoria a partir del 1 de diciembre de 2025.

Un régimen de acceso más restrictivo

Otros reportes señalan que el Banco Central prevé límites de horario, días y valores, además del bloqueo del registro de nuevas claves y de restricciones de funcionalidad para instituciones que incumplan requisitos mínimos de ciberseguridad o presenten fragilidades relevantes. Esas medidas pueden aplicarse antes de llegar a la exclusión definitiva del sistema.

La cobertura periodística también atribuye el giro regulatorio a los ataques hackers registrados en 2025 contra PSTIs y otros intermediarios del sistema. Según esas notas, los hechos generaron pérdidas millonarias y llevaron al Banco Central a aclarar en la regulación que la supervisión puede adoptar medidas preventivas rápidas, como limitar transacciones, horarios y el alta de nuevas claves, cuando una institución represente un riesgo para la seguridad del sistema financiero.