BCRP regula pagamentos digitais no Peru

Linha do tempo da operação

Cadeia de ataque e TTPs

Embora o material não descreva um ataque cibernético, ele permite reconstruir uma cadeia regulatória e operacional que funciona como um fluxo de controle sobre a adquirência digital. O primeiro elo é a afiliação do comerciante, porque o regulamento fixa requisitos mínimos para avaliar e cadastrar os estabelecimentos. Depois vem o recebimento de recursos pelo Aceitador de Pagamentos, sua custódia em contas específicas e a conciliação diária entre saldos e obrigações de liquidação. O último trecho é a transferência final ao comerciante, acompanhada de obrigações de transparência, contratos claros e mecanismos de resolução de disputas.

Do ponto de vista técnico, o eixo de risco não é a exploração de uma vulnerabilidade clássica, mas a falha de segregação patrimonial, a opacidade contratual e o descasamento entre valores arrecadados e valores a liquidar. O regulamento responde a esse risco com controles de separação de contas, uso exclusivo de certas contas para recepção e transferência de recursos, publicação de tarifas e comissões e critérios mínimos sobre comissões e intercâmbio quando uma infraestrutura intervém na operação. A conciliação diária funciona como um controle de integridade operacional e contábil.

O material também mostra uma maturação do modelo de supervisão. O BCRP não se limita a uma definição conceitual do serviço, mas impõe obrigações de governança e exposição de informações. Isso é coerente com um mercado em que pagamentos com QR, cartões e transferências imediatas convivem com múltiplos atores, e onde a interoperabilidade deixa de ser uma aspiração para virar exigência regulatória. A rota de open banking citada pela Ligopay, com um possível modelo de iniciação de pagamentos em uma Fase 4, sugere que esse esquema pode evoluir para um ambiente ainda mais integrado.

Impacto regional

Panorama regional

A mudança regulatória é peruana, mas sua leitura regional é clara: o BCRP está levando o setor de pagamentos digitais a um modelo mais normatizado, com regras comuns para adquirência, arrecadação, transparência e custódia de fundos. Para a região, o caso importa porque estabelece um padrão de supervisão sobre empresas que intermedeiam pagamentos de comerciantes e sobre as infraestruturas que os processam. Também dialoga com a tendência de interoperabilidade e open banking mencionada no material.

A referência a uma futura Fase 4 de iniciação de pagamentos, incluída na análise da Ligopay, sugere uma arquitetura cada vez mais próxima de modelos de pagamento iniciados a partir de contas bancárias ou dinheiro eletrônico, com capacidade de conectar diferentes atores. Nesse cenário, a regulação da aceitação de pagamentos não seria um ponto final, mas uma camada intermediária dentro de uma agenda maior de interoperabilidade. O sinal é que o mercado de pagamentos no Peru já está sendo preparado para uma integração mais profunda entre adquirência, arrecadação, contas e canais digitais.

Peru

O Peru concentra todo o impacto verificável do material. O BCRP aprovou a Circular N.° 0026-2026-BCRP, que cria o Regulamento do Serviço de Aceitação de Pagamentos e estabelece um marco específico para adquirência e arrecadação de fundos no Sistema Nacional de Pagamentos. O alcance inclui provedores de serviços de pagamento e infraestruturas de pagamento, além de seus administradores e participantes diretos e indiretos.

O efeito mais sensível está na administração dos fundos. Os recursos que os aceitadores recebem em nome dos comerciantes devem ser preservados em contas separadas dos próprios recursos, com uso exclusivo para recepção e transferência, e com conciliação diária. A imprensa também relatou que as contas podem estar em empresas do sistema financeiro com classificação não inferior a B+ ou em emissores de dinheiro eletrônico participantes do Sistema LBTR. Esse desenho busca blindar o dinheiro dos comerciantes durante a etapa anterior à liquidação.

Em paralelo, a norma força transparência de mercado. Os contratos devem indicar comissões, condições, prazos de liquidação, responsabilidades e mecanismos de controvérsia. Os administradores de infraestruturas e os aceitadores devem publicar informações relevantes sobre tarifas e comissões. A Forbes Perú acrescentou que as tarifas de intercâmbio, quando houver infraestrutura de pagamento no meio, deverão obedecer a critérios objetivos, transparentes, proporcionais e não discriminatórios. Esse ponto não é menor, porque introduz um critério competitivo que afeta a relação entre adquirentes, aceitadores e infraestruturas.

O calendário de adequação é a outra variável-chave. A vigência foi fixada para 1º de janeiro de 2027 e várias notas destacaram que haverá tempo para adaptar entidades, contratos e processos. Isso significa que o mercado tem um período concreto para alinhar conciliações, segregação de fundos, relatórios operacionais, documentos contratuais e publicação de tarifas. No plano institucional, o regulamento completa a arquitetura aberta pela norma-mãe de abril de 2026.

Argentina

Não foram verificados fatos adicionais para a Argentina no material fornecido.

Chile

Não foram verificados fatos adicionais para o Chile no material fornecido.

Paraguai

Não foram verificados fatos adicionais para o Paraguai no material fornecido.

Bolívia

Não foram verificados fatos adicionais para a Bolívia no material fornecido.

Colômbia

Não foram verificados fatos adicionais para a Colômbia no material fornecido.

Brasil

Não foram verificados fatos adicionais para o Brasil no material fornecido.

México

Não foram verificados fatos adicionais para o México no material fornecido.

EUA

Não foram verificados fatos adicionais para os Estados Unidos no material fornecido.

Uruguai

Não foram verificados fatos adicionais para o Uruguai no material fornecido.

Indicadores técnicos

Não foram publicados IOCs técnicos no material disponível. O expediente traz identificadores normativos e regulatórios, como a Circular N.° 0026-2026-BCRP, a Circular N.° 0022-2025-BCRP e a Resolução SBS N.° 02326-2026, mas não inclui domínios, IPs, hashes, amostras, artefatos maliciosos nem indicadores de comprometimento de natureza forense.

Análise para equipes de segurança

Para equipes de segurança, o ponto de partida não é procurar malware, mas revisar a camada operacional e contratual dos fluxos de pagamento. O regulamento do BCRP obriga a separar fundos, conciliar saldos diariamente, dar transparência às comissões e formalizar as condições de serviço. Isso exige controles sobre conciliação contábil, segregação de contas, gestão documental e monitoramento de exceções na liquidação aos comerciantes.

A primeira prioridade é validar se os processos internos distinguem de forma efetiva fundos de terceiros e recursos próprios. Onde existirem contas arrecadadoras, a revisão deve incluir acessos, conciliações automáticas, regras de transferência e alertas por desvios. Se a entidade opera como aceitadora de pagamentos ou depende de terceiros para liquidar vendas de comerciantes, a superfície de risco não está apenas na tecnologia, mas também em tesouraria, compliance e atendimento de reclamações.

A segunda prioridade é contratual. O regulamento exige que os contratos com os comerciantes incluam comissões, prazos, responsabilidades e mecanismos de controvérsia. As equipes que gerenciam fornecedores ou terceiros devem revisar se a documentação vigente já cobre esses pontos ou se precisa de atualização antes de 1º de janeiro de 2027. Qualquer omissão pode virar problema de conformidade, mas também um foco de atrito operacional e reputacional.

A terceira prioridade é a governança de tarifas e de infraestrutura. Se a operação usa uma infraestrutura de pagamento, as tarifas de intercâmbio devem se alinhar a critérios objetivos, transparentes, proporcionais e não discriminatórios. Isso obriga a mapear dependências entre aceitadores, adquirentes, processadores e administradores de infraestrutura. Também abre uma linha de trabalho para detectar conflitos na formação de preços e no acesso a condições equivalentes.

A quarta prioridade é o período de adaptação. A entrada em vigor em janeiro de 2027 não deixa muito espaço para redesenhar sistemas, publicar informações, ajustar conciliações e reescrever contratos. Na prática, o trabalho deve se concentrar em inventário de fluxos, documentação de contas, parametrização de conciliações, revisão de SLAs e evidências de publicação de comissões. Se a organização participa de várias etapas do processo, vale separar responsabilidades por papel regulatório antes da data de corte.

Perguntas frequentes

O que muda entre a norma-mãe de abril de 2026 e o regulamento de outubro de 2026?

A norma-mãe do Sistema Nacional de Pagamentos criou o guarda-chuva regulatório geral e a figura das Entidades de Serviços de Pagamento. O regulamento de outubro de 2026 desce ao detalhe de uma atividade concreta, a aceitação de pagamentos de comerciantes, e define regras sobre fundos, comissões, contratos e interoperabilidade.

O que os aceitadores de pagamento devem fazer com o dinheiro que recebem dos comerciantes?

Eles devem manter esses recursos em contas separadas dos próprios fundos, com destino exclusivo à recepção e transferência do dinheiro dos comerciantes, e realizar conciliação diária entre o saldo da conta e suas obrigações de liquidação. Essa exigência cruza a seção de contexto e o impacto no Peru.

A quem a regulação do BCRP se aplica?

A provedores de serviços de pagamento que ofereçam ou participem do Serviço de Aceitação de Pagamentos e também às infraestruturas de pagamento, com seus administradores e participantes diretos e indiretos. A cobertura jornalística acrescenta que vale para empresas que processam pagamentos por cartões, QR, pagamentos imediatos e outros canais.

Quais elementos contratuais os comerciantes deverão ver antes de janeiro de 2027?

Os contratos deverão indicar com clareza as condições do serviço, as comissões aplicáveis, os prazos de liquidação, as responsabilidades de cada parte e os mecanismos de atendimento de controvérsias. Essa obrigação aparece junto com a publicação de tarifas e com os requisitos mínimos sobre afiliação e reclamações.

Quais prazos de vigência e adaptação a imprensa informou?

A entrada em vigor foi fixada para 1º de janeiro de 2027. Várias coberturas, como El Comercio, Gestión, La República e Infobae, também apontaram que haverá um período de adaptação para que as entidades incluídas ajustem seus processos antes dessa data.

Limitações do material

O material não inclui o texto integral da Circular N.° 0026-2026-BCRP, então não é possível reconstruí-la artigo por artigo nem detalhar exceções normativas específicas além do que foi divulgado pelas notas jornalísticas e legais disponíveis. Também não há informação oficial verificável sobre sanções, limites quantitativos de capital, métricas de supervisão ou cronogramas internos de implementação por tipo de entidade.

Não foram verificados IOCs técnicos, incidentes de segurança, vítimas, atribuições nem campanhas maliciosas associadas ao objeto desta investigação. Os únicos identificadores disponíveis são normativos. No plano regional, apenas o Peru traz fatos concretos; os demais países da estrutura de impacto regional não oferecem material verificável no expediente fornecido.