BCRA e Lei 21.719 reforçam controles

Resumo executivo

Argentina e Chile concentraram, no período revisado, as duas mudanças normativas mais densas para o sistema financeiro da região. Na Argentina, a Comunicação A 8471/2026 do BCRA incorporou o risco de fraude ao marco de risco operacional para entidades financeiras e certos provedores de serviços de pagamento, com exigências de identificação, avaliação, monitoramento, mitigação e relatórios periódicos ao diretório. No Chile, a Lei 21.719 deixou pronto um regime integral de proteção de dados pessoais para responsáveis e operadores públicos e privados, com agência sancionadora, notificação de vazamentos, avaliações de impacto e controles técnicos obrigatórios.

O valor analítico dos dois marcos está na convergência. Ambos obrigam a formalizar estruturas, responsáveis e evidência auditável, mas partem de ângulos diferentes. O BCRA trata a fraude como parte do risco operacional e separa prazos de adoção entre entidades financeiras e PSP com contas de pagamento. A lei chilena, por sua vez, ordena o tratamento de dados e a resposta a incidentes, além de impor sanções relevantes, uma agência especializada e obrigações que atingem diretamente bancos, emissores de cartão e qualquer agente intensivo em dados.

O cronograma também é distinto, e isso pesa no planejamento. Na Argentina, a entrada em vigor para entidades financeiras está marcada para 1º de dezembro de 2026, enquanto para determinados PSP a implantação se estende até setembro de 2027. No Chile, a data legal de entrada é 1º de dezembro de 2026, embora exista um projeto de lei apresentado ao Senado para adiar esse marco para 1º de dezembro de 2027. Esse adiamento está proposto, não aprovado. Por enquanto, a obrigação existe e a ação para perseguir infrações prescreve em quatro anos.

O restante do universo regional não apresenta, no material revisado, um equivalente com o mesmo nível de detalhe verificável sobre fraude financeira e proteção de dados. O Peru mantém uma estrutura de segurança da informação, cibersegurança e reporte de incidentes operacionais na SBS; a Colômbia avança com ordens judiciais e padrões de autenticação e validação para canais digitais, especialmente na venda virtual do SOAT; o Uruguai endurece a autenticação reforçada, o monitoramento antifraude e os alertas ao usuário; o México combina biometria, relatórios à CNBV, DMARC e monitoramento de risco; o Brasil consolida a regulação de PSAV e ativos virtuais; o Paraguai estreará uma lei integral de dados em 2027. Mas não há, nas fontes revisadas, um bloco comparável ao da Argentina e do Chile para 2026 e 2027.

Também não foram identificados IOCs, campanhas ativas, infraestrutura de C2 nem TTPs mapeadas em MITRE associadas de forma direta a essas reformas. O fenômeno documentado é institucional e normativo, não forense. A leitura útil para equipes de segurança, risco e compliance é que o centro de gravidade se deslocou para governança, rastreabilidade, autenticação reforçada, notificação de incidentes e evidência técnica anterior ao evento.

Contexto e antecedentes

A informação consolidada mostra uma região com camadas regulatórias sobrepostas, e não um único padrão homogêneo. A Argentina enquadrou a fraude como risco operacional de entidades financeiras e PSP. O Chile elevou a proteção de dados pessoais a um regime autônomo, com agência fiscalizadora e sancionadora. No Peru, a SBS já vinha exigindo SGSI-C, controles de acesso, criptografia, monitoramento e reporte antecipado de incidentes. No Uruguai, o BCU reforçou autenticação e monitoramento contra fraude em canais digitais. O México, por sua vez, opera sobre biometria, relatórios à CNBV, DMARC e governança de segurança da informação.

Esse contexto explica por que o informe deve ser lido como uma comparação entre dois marcos de referência, e não como uma cronologia de ameaças. O material não traz alertas técnicos, comprometimentos de infraestrutura nem sequências de ataque publicadas por CERTs nacionais ou bancos centrais que conectem essas reformas a campanhas concretas de fraude. O que aparece é um endurecimento do perímetro regulatório, com ênfase em prevenção, detecção, rastreabilidade e capacidade de demonstrar controles antes do incidente.

A diferença de enfoque também importa. O modelo argentino se concentra na gestão do risco de fraude em produtos e operações financeiras. O modelo chileno regula o tratamento de dados pessoais, a resposta a vazamentos e a arquitetura institucional que vai fiscalizar e sancionar. Na prática, os dois se cruzam, porque as instituições financeiras tratam grandes volumes de dados e operam em canais de alto risco, mas a fonte normativa da obrigação não é a mesma.

Tabela de fatos-chave

Linha do tempo da operação

<text x="330" y="150" font-size="18" font-weight="700">2026-09-16</text>
<text x="330" y="220" font-size="16" text-anchor="middle"><tspan x="330" dy="0">SBS 02271</tspan><tspan x="330" dy="1.2em">consulta pública</tspan></text>

<text x="520" y="150" font-size="18" font-weight="700">2026-09-25</text>
<text x="520" y="220" font-size="16" text-anchor="middle"><tspan x="520" dy="0">BCRA 8471 risco</tspan><tspan x="520" dy="1.2em">fraude</tspan></text>

<text x="710" y="150" font-size="18" font-weight="700">2026-10-01</text>
<text x="710" y="220" font-size="16" text-anchor="middle"><tspan x="710" dy="0">BCU 2497 em dobro</tspan><tspan x="710" dy="1.2em">fator</tspan></text>

<text x="900" y="150" font-size="18" font-weight="700">2026-10-07</text>
<text x="900" y="220" font-size="16" text-anchor="middle"><tspan x="900" dy="0">SOAT Colômbia</tspan><tspan x="900" dy="1.2em">canais</tspan><tspan x="900" dy="1.2em">seguros</tspan></text>

<text x="1060" y="150" font-size="18" font-weight="700">2026-12-01</text>
<text x="1060" y="220" font-size="16" text-anchor="middle"><tspan x="1060" dy="0">Chile e</tspan><tspan x="1060" dy="1.2em">Argentina</tspan><tspan x="1060" dy="1.2em">vigentes</tspan></text>

Cadeia de ataque e TTPs

O material não documenta uma campanha única nem uma cadeia maliciosa com IOCs públicos. O que aparece é uma coleção de táticas observáveis no fraude financeiro regional, sobretudo falsificação de identidade, abuso de credenciais, canais digitais não presenciais, deepfakes, clonagem de voz, phishing, dispositivos comprometidos e uso de domínios ou plataformas que aparentam legitimidade. Na Bolívia, por exemplo, a ASFI alertou sobre uma plataforma fraudulenta que usava seu nome e imagem institucional, com vídeos e vozes gerados por IA. Na Colômbia, o SOAT virtual e os créditos expressos por carteiras digitais mostram falsificação, engenharia social e validações frágeis como vetores recorrentes.

No plano regulatório, as respostas convergem em três camadas. A primeira é a autenticação reforçada e a biometria. A segunda é o monitoramento de comportamento, geolocalização, alertas por dispositivos desconhecidos e validação da operação antes de permitir mudanças sensíveis. A terceira é rastreabilidade e evidência, que no Chile assume a forma de registro interno de vazamentos, demonstração de controles prévios ao incidente e notificação à autoridade, e na Argentina se traduz em relatórios ao diretório, autoavaliações e planos de mitigação.

Em outras palavras, o informe não permite afirmar uma TTP ofensiva concreta atribuível a um ator. Ele permite mapear o perímetro defensivo que as autoridades estão exigindo para neutralizar ataques que, por natureza, exploram identidade, confiança e ausência de fricção nos canais digitais.

<rect x="300" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="385" y="175" font-size="18" font-weight="700">Monitoramento</text>
<text x="385" y="200" font-size="16">Conduta, geolocalização.</text>

<rect x="530" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="615" y="175" font-size="18" font-weight="700">Mitigação</text>
<text x="615" y="200" font-size="16">Bloqueio, reversão</text>

<rect x="760" y="140" width="170" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="845" y="175" font-size="18" font-weight="700">Relatório</text>
<text x="845" y="200" font-size="16">Diretório, autoridade</text>

<rect x="990" y="140" width="140" height="90" rx="14" fill="#ffffff" stroke="#2563eb"/>
<text x="1060" y="175" font-size="18" font-weight="700">Evidência</text>
<text x="1060" y="200" font-size="16">Auditável</text>

Impacto regional

Panorama regional

O impacto regional mais claro não vem de uma onda técnica de comprometimento, mas da formalização acelerada de controles antifraude e de privacidade. Argentina e Chile fixam o patamar mais alto no que foi possível verificar. A Argentina regula a fraude como risco operacional e separa etapas para entidades financeiras e PSP. O Chile institui um regime completo de privacidade com agência, sanções, notificação de vazamentos e obrigações técnicas que alcançam o sistema financeiro.

A comparação também expõe assimetrias. Uruguai e México endurecem controles de autenticação e monitoramento, mas com foco mais operacional. A Colômbia reage a fraudes específicas no SOAT e em carteiras digitais, com ordens judiciais e alertas a usuários. O Peru mantém sua camada de segurança e reporte no ecossistema SBS. O Brasil concentra o material na regulação de ativos virtuais e PSAV, não em fraude bancária tradicional. O Paraguai avança para uma lei integral de dados com vigência em 2027. Não há, para Peru, Paraguai ou Brasil, um bloco verificável em 2026 e 2027 que combine fraude financeira e proteção de dados com o mesmo nível de detalhe normativo observado na Argentina e no Chile.

Argentina

A Comunicação A 8471/2026 do BCRA colocou a fraude dentro do risco operacional e obrigou bancos e PSP a trabalhar com estruturas, políticas, responsáveis, apetite e tolerância ao risco, identificação de riscos, autoavaliações, monitoramento e mitigação. O material também indica que, para PSPCP, há um esquema gradual que começa em setembro de 2026 e se completa em setembro de 2027, enquanto para entidades financeiras a vigência começa em 1º de dezembro de 2026.

O ponto mais forte para as equipes internas é a exigência de governança. O relatório do BCRA fala em governança, políticas antifraude, responsáveis designados, monitoramento, mitigação e reporte, e o El Cronista acrescenta relatórios periódicos ao diretório com indicadores, incidentes relevantes, métricas, medidas corretivas e novas metodologias de fraude. A Marval soma a obrigação de usar score de risco de fraude na abertura de clientes e de contas.

Chile

A Lei 21.719 entra em vigor em 1º de dezembro de 2026, embora exista um projeto legislativo para adiá-la em um ano. Enquanto a lei não mudar, a obrigação vale, e o eventual adiamento depende de aprovação do Congresso. A norma cria a Agência de Proteção de Dados Pessoais com poderes para investigar, multar, ordenar medidas corretivas e até suspender temporariamente tratamentos.

Siberson e Duemint descrevem um esquema de alto impacto para bancos e outras entidades intensivas em dados. Há dever de justificar cada tratamento, aplicar controles proporcionais ao volume e à sensibilidade das informações, manter evidência auditável, notificar vazamentos sem demora indevida e registrar internamente os incidentes. Se o vazamento afetar dados sensíveis, menores de 14 anos ou dados econômicos, financeiros, bancários ou comerciais, os titulares também precisam ser notificados.

Peru

O Peru não tem, no material, um novo regime antifraude equivalente ao argentino ou ao chileno, mas mantém um bloco consolidado de segurança e cibersegurança. A SBS preserva o SGSI-C, exige controles de acesso de privilégio mínimo, inventário de ativos de informação, criptografia, monitoramento de rede e reporte de incidentes cibernéticos relevantes. A Resolução SBS 02326-2026 acrescenta obrigações específicas quando as EAF usam carteiras digitais ou aplicativos para contribuições previdenciárias.

O projeto da SBS sobre reporte único de incidentes operacionais, por enquanto, segue em consulta. Isso significa que ele ainda não substitui os relatórios vigentes de continuidade de negócios e de cibersegurança. Para o setor financeiro peruano, o quadro de 2026 e 2027 é de continuidade regulatória e refinamento de canais, mais do que de uma nova arquitetura antifraude com nome próprio.

Colômbia

A Colômbia aparece no material com respostas pontuais ao fraude digital, não com uma lei marco única. O Tribunal de Cundinamarca determinou à Superintendência Financeira um plano para canais digitais seguros do SOAT e para detecção precoce da fraude, e ao MinTIC um protocolo interinstitucional para identificar, reportar e desmontar páginas, perfis, links e aplicativos fraudulentos. A Superintendência informou 2.870 inconformidades por possíveis fraudes ou falsificações de identidade nessa compra virtual.

Em paralelo, a Superintendência emitiu alertas sobre créditos rápidos em carteiras digitais e lembra que o phishing segue entre as principais modalidades de fraude. O Noticias RCN acrescenta que, sob uma norma de segurança vigente, os bancos podem acabar arcando com fraudes com cartões se não provarem que cumpriram suas obrigações de segurança. A mensagem dominante é clara: autenticação, validação de canais e capacidade de demonstrar controles.

Brasil

O Brasil consolidou o perímetro de ativos virtuais e PSAV. As Resoluções BCB 519, 520 e 521 criaram a figura da SPSAV, exigem constituição local, capital mínimo, governança, controles internos, segregação patrimonial, diretores responsáveis por riscos, PLD e cibersegurança, além de regras sobre operações de câmbio com criptoativos, inclusive transferências de e para wallets autocustodiadas.

O material revisado não mostra, para 2026 e 2027, uma reforma antifraude bancária tradicional equivalente à argentina ou à uruguaia. Mostra, sim, um controle muito mais rígido sobre ativos virtuais e fluxos internacionais. Isso amplia o perímetro de supervisão financeira, mas não permite afirmar uma nova política setorial de fraude com a mesma granularidade observada em outros países.

México

O México combina biometria, relatórios regulatórios, monitoramento contínuo e controles de e-mail. A Nu México informa que a Circular Única de Bancos exige um responsável pela segurança da informação, obriga a reportar incidentes à CNBV e a entregar um informe detalhado em até cinco dias úteis. A ITSitio acrescenta exigências técnicas para impressão digital e biometria facial, enquanto iWorld e Expansión descrevem ampla adoção de DMARC para o correio institucional bancário.

Fast Company e Forbes reforçam a leitura de mercado: a prevenção de fraude se apoia em sinais de comportamento, identidade e confiança digital, com monitoramento analítico e modelos de risco. O sistema mexicano não aparece como uma única reforma de 2026, mas como um conjunto de controles que empurra para mais autenticação, rastreabilidade e governança de dados.

Uruguai

O Uruguai é o outro caso de endurecimento visível. A circular 2.497 do BCU ampliou a autenticação reforçada para acessos, transferências, compras não presenciais e mudanças de dados sensíveis. Também fixou requisitos para detectar operações incomuns, geolocalização, dispositivos desconhecidos e padrões suspeitos, e exige notificar eletronicamente qualquer tentativa de alterar credenciais ou dados de contato.

O alcance é amplo e cobre bancos, cooperativas, administradoras de crédito, entidades concedentes de crédito, empresas de serviços financeiros, casas de câmbio, transferências de recursos e plataformas P2P. A obrigação de avaliar periodicamente a eficácia dos sistemas de monitoramento e corrigir falhas dá à norma uma dimensão de controle contínuo, próxima do padrão já visto em outros mercados da região.

Paraguai

O Paraguai aparece com uma lei integral de proteção de dados que, segundo Última Hora e Ceibo.digital, entrará em plena vigência em novembro de 2027. O material destaca que ela alcançará toda organização pública ou privada que trate dados pessoais, com uma agência nacional e multas de até dez mil jornales mínimos no patamar mais alto.

A informação verificável ainda não desenvolve, nas fontes revisadas, uma ponte específica com fraude financeira ou exigências técnicas do mesmo calibre das observadas na Argentina e no Chile. O dado forte para o sistema financeiro é que o marco de privacidade já tem horizonte e exige preparação antecipada.

Estados Unidos

No material disponível, os Estados Unidos aparecem apenas como referência técnica indireta. O El Cronista cita uma recomendação oficial da CISA sobre autenticação multifator para proteger contas e aplicativos, usada como apoio técnico ao comentar a Comunicação A 8471 do BCRA. Não há, neste corpus, uma reforma comparável nem um fato local que exija desenvolvimento próprio.