Chile, México e Brasil apertam regras de PLD

Cadeia de ataque e TTPs

Casbaneiro continua sendo o caso mais claro de como uma campanha bancária regional se adapta a defesas e a ambientes regulatórios que exigem monitoramento mais fino. Segundo os relatórios da pesquisa, a carga útil permanece latente até detectar que o usuário acessa sites bancários, momento em que intercepta credenciais e manipula sessões financeiras. Isso o torna especialmente sensível para bancos e fintechs que dependem apenas de bloqueio por hash ou por domínio, porque o gatilho operacional ocorre no momento real da navegação.

A arquitetura de infraestrutura também mudou. A SocPrime descreveu servidores distribuídos de recepção de dados para o C2, com vários endpoints de exfiltração. A RST Cloud, por sua vez, documentou técnicas MITRE ATT&CK que incluem ofuscação, descoberta do sistema, execução via web e manipulação de processos, o que se encaixa em uma operação desenhada para persistir, se esconder e extrair dados em camadas. O resultado prático é que a detecção não pode depender de uma única assinatura nem de uma única lista de bloqueio.

A campanha observada em agosto de 2026 afetou usuários bancários do México, Peru, Argentina e Colômbia, com iscas de faturas ou avisos legais e PDFs maliciosos. A isso se somou o uso de campanhas de phishing com tema de emprego no Brasil, e um ator financeiramente motivado, BREEZE COMET, também ativo no país. Em paralelo, a pesquisa menciona intrusões assistidas por LLM, domínios DuckDNS e binários múltiplos, o que sugere uma superfície operacional em que automação, exfiltração e pós-exploração já não são exceções raras.

Fluxo observado na campanha Casbaneiro

A sequência técnica descrita pelos relatórios sugere um percurso bastante clássico, mas ainda efetivo: entrega por phishing, ativação quando a vítima entra em um site financeiro, carga latente, roubo de credenciais, manipulação de sessão e exfiltração para servidores distribuídos. O ponto relevante não é a novidade de cada etapa, e sim o acoplamento entre elas. Quando a infraestrutura de saída muda para um modelo distribuído, o controle de reputação ou o bloqueio estático perde eficácia rapidamente.

Esse padrão também ajuda a entender por que vários dos novos marcos regulatórios do relatório empurram para monitoramento automatizado, alertas por desvio e preservação histórica de evidências. A defesa regulatória e a defesa técnica começam a se parecer. O supervisor pede rastreabilidade e o adversário obriga a produzi-la para cada incidente, transação ou acesso suspeito.

Impacto regional

O panorama regional mostra um movimento convergente: os reguladores já não se limitam a pedir relatórios ou consentimentos, mas exigem capacidade operacional para classificar risco, preservar evidência, notificar incidentes, auditar processos e justificar decisões automatizadas. Isso afeta bancos, fintechs, PSAV, operadoras de telecomunicações, entidades de crédito e, em vários países, qualquer organização que trate dados pessoais ou administre fluxos sensíveis de informação financeira. A pressão não é uniforme, mas é sincrônica: os prazos mais duros estão entre novembro de 2026 e janeiro de 2028.

Panorama regional

Chile, Paraguai, México e Brasil concentram as mudanças mais estruturais em dados pessoais, ativos virtuais e PLD. Peru e Colômbia avançam em cibersegurança, incidentes operacionais e verificação de identidade. A Argentina introduz um marco formal de gestão de fraude no sistema financeiro. O Uruguai organiza a autorização de PSAV e soma uma nova camada antifraude em meios de pagamento. A Bolívia, por enquanto, fica em um ponto intermediário, com um compromisso de reforma ainda sem cronograma fechado.

Chile

O Chile tem uma Lei N.º 21.719 que, segundo a Biblioteca do Congresso Nacional, entra em vigor em 1º de dezembro de 2026 e substitui a antiga Lei N.º 19.628. O Ministério da Economia informou, porém, que o Governo propôs adiar a data para 1º de dezembro de 2027 para dar tempo de instalar a Agência de Proteção de Dados Pessoais e definir padrões de aplicação. A mudança não é pequena, porque o projeto também amplia de três para cinco os conselheiros do órgão e ajusta a primeira designação de autoridades.

Para o setor privado, a consequência é dupla. Se a data original for mantida, a agência receberá poderes sancionadores sobre responsáveis pelo tratamento, inclusive empresas privadas. Se o adiamento avançar, as organizações ganham tempo, mas não uma pausa completa, porque o desenho institucional ficará mais detalhado e a adequação deverá começar antes. O relatório de Anguita & Osorio deixa claro que o debate não é se haverá compliance, mas quando e sob qual arquitetura.

Paraguai

O Paraguai concentra um dos marcos mais densos do relatório. A Lei N.º 7593/2025 cria a Agência Nacional de Proteção de Dados Pessoais dentro do MITIC, fixa uma transição de 24 meses, ordena notificação de incidentes em 72 horas e regula transferências internacionais com critério de adequação ou garantias contratuais. A própria lei alcança toda organização pública ou privada que trate dados de pessoas e prevê multas de até 10.000 jornales mínimos.

Em paralelo, a DNIT emitiu a Resolução Geral N.º 47/2026 para declarar operações com criptoativos acima de US$ 5.000 por ano. O procedimento exige RUC, a obrigação 959-DJI, apresentação no Marangatu e declaração juramentada informativa perante o Impostos Internos. Além disso, a informação bancária e tributária começa a circular com mais velocidade entre a DNIT e a ASOBAN por meio de web service, o que reforça a fiscalização e também a rastreabilidade financeira. Para bancos, fintechs e exchanges, a pressão ocorre em três camadas: privacidade, tributação e acesso a informação financeira.

Peru

O Peru mostra uma combinação de proteção de dados, cibersegurança e novos modelos de distribuição financeira. O D.S. 016-2024-JUS modernizou o regulamento da Lei 29733 e estabeleceu um cronograma por porte de empresa para designar o Oficial de Dados Pessoais. Segundo o material consultado, as médias com vendas anuais entre 1.700 e 2.300 UIT devem nomeá-lo até 30 de novembro de 2026. Ao mesmo tempo, o regulamento exige notificar incidentes à Autoridade Nacional de Proteção de Dados Pessoais em até 48 horas e adotar padrões como ISO/IEC 27001.

A SBS também pressiona a frente operacional. A Resolução SBS N.º 01741-2026, segundo Apaxi, obriga a informar incidentes de cibersegurança e quedas de canais em até 24 horas e a comunicar os usuários afetados em 10 dias úteis. A Resolução SBS N.º 01747-2026 organiza o marco de BaaS com políticas do conselho, avaliação de riscos, monitoramento contínuo, contratos mínimos e publicação semestral de receptores ativos. E o projeto de procedimento único de reporte de incidentes operacionais, ainda em consulta, pode unificar eventos de interrupção e cibersegurança em um só canal.

Colômbia

A Colômbia avança sobre o problema da falsidade pessoal. A Lei 2573 protege as vítimas contra reportes negativos e cobrança de obrigações, impõe medidas de segurança digital suficientes e razoáveis para verificar identidade e autenticidade documental, e determina marcar a pessoa como vítima de falsidade pessoal quando houver denúncia. Segundo a Superintendência Financeira, a lei foi publicada em 19 de maio de 2026 e entra em vigor seis meses depois, salvo partes do artigo 5, que passam a valer desde a promulgação.

O efeito para bancos, telecomunicações e varejo é operacional. As entidades precisam conservar evidências do processo de onboarding, incluindo biometria, IP e validações documentais, e responder a reclamações sob um esquema em que o ônus da prova muda. A consulta pública aberta pela SIC em setembro de 2026 aponta justamente para reforçar validação de identidade e tratamento de dados pessoais, de modo que o ecossistema colombiano se move para controles mais técnicos e mais auditáveis. O projeto de reforma da Lei 1581 soma outra camada, embora continue sendo apenas um projeto.

Argentina

A Argentina colocou o foco em fraude interna e externa. A Comunicação A 8471 do BCRA criou a Seção 6.5, Gestão do risco de fraude, dentro das diretrizes para gestão de riscos. A norma exige estrutura organizacional específica, designação de responsáveis, autoavaliação do risco, plano de mitigação e coordenação com a gestão de riscos tecnológicos e de segurança da informação. Além disso, o cronograma por etapas leva a vigência plena a setembro de 2027.

A carga prática não é abstrata. As entidades devem definir apetite por risco, documentar processos, reportar indicadores ao conselho e adaptar controles a novas modalidades de fraude. A LM Neuquén acrescentou que, a partir de setembro de 2026, os administradores de transferências instantâneas receberão informações públicas do BCRA para construir perfis de risco de fraude por pessoa. Isso coloca o sistema argentino numa lógica de prevenção mais refinada, com transferências e fraude pessoal como foco principal.

Brasil

O Brasil já tinha um marco robusto para PSAV e continuou refinando-o. As Resoluções BCB 519, 520 e 521 constroem a arquitetura de autorização, funcionamento e perímetro regulado de ativos virtuais. As PSAV precisam demonstrar capacidade econômico-financeira, origem lícita do capital, viabilidade do negócio, infraestrutura tecnológica compatível, governança adequada e reputação técnica de administradores e controladores. Além disso, determinadas operações com ativos virtuais foram incluídas no mercado de câmbio e exigem identificação da contraparte.

A próxima camada veio com a Resolução BCB 584, que amplia regras antifraude e autoriza uma retenção preventiva de até 24 horas para certas transferências acima de US$ 10.000 por cliente e por dia, quando enviadas ao exterior ou para carteiras autocustodiadas. O salto é importante porque a supervisão já não se limita a autorizar atores, mas a intervir no fluxo transacional quando o risco justificar. Na prática, o Brasil empurra PSAV e bancos para uma lógica de controle preventivo, e não só reativa.

México

O México é o caso mais volumoso do relatório. O Acordo 115/2026 reescreveu as Regras de Caráter Geral da LFPIORPI, adicionou onze capítulos novos e colocou a abordagem baseada em riscos no centro do compliance. A mudança alcança atividades vulneráveis e também PSAV, com obrigação de metodologia documentada, classificação de clientes em três níveis, due diligence reforçada, identificação do beneficiário controlador com limite de 25%, capacitação anual e auditoria periódica.

A implementação é escalonada. A vigência geral corre desde 30 de novembro de 2026, mas vários componentes operacionais passam a valer em 1º de março de 2027, e o período anual sujeito à auditoria começa em 1º de janeiro de 2028. Os mecanismos automatizados de monitoramento devem conservar dossiês, agrupar operações, alimentar a avaliação de risco, gerar alertas e guardar históricos por pelo menos dez anos. Para setores como cassinos, jogos, sorteios e outras atividades vulneráveis, isso obriga a revisar plataformas, regras de alertamento e manuais internos de ponta a ponta.

Bolívia

A Bolívia ainda não tem um regime fechado, mas já aponta uma direção clara. O Memorando de Políticas Econômicas e Financeiras datado de 10 de setembro de 2026 compromete o país, no marco do programa com o FMI, a desenvolver um marco robusto para ativos virtuais. O objetivo é evitar saídas indevidas de capital e proteger a resiliência financeira. O material disponível esclarece que ainda não há cronograma definido, autoridade principal única nem abordagem legislativa detalhada.

A leitura mais prudente é que a Bolívia entra em fase de desenho. Algumas coberturas falam em uma supervisão tripartite entre Banco Central, ASFI e UIF, e outras mencionam possíveis regras antilavagem mais duras para VASPs, mas essas peças não estão confirmadas no mesmo nível que o memorando. Para efeitos deste relatório, o verificável é a intenção de criar um marco robusto e a ausência de um calendário fechado.

Uruguai

O Uruguai consolidou seu regime para PSAV e acrescentou uma camada adicional sobre fraudes em meios de pagamento. O Banco Central informou que elaborou um projeto regulatório para PSAV e, segundo a iProUP, ativou um registro obrigatório com vigência formal desde 1º de setembro de 2026. O país já dispõe de um canal digital para autorização e registro, e a norma exige segregação de fundos, transparência, cibersegurança e controles internos.

Em paralelo, o BCU apresentou uma proposta para reforçar a proteção contra fraudes em meios de pagamento. A iniciativa pede autenticação reforçada para o vínculo de instrumentos eletrônicos a carteiras digitais e admite que um instrumento tokenizado funcione como fator de posse se houver uma vinculação única e segura com o dispositivo do cliente. É um sinal claro de convergência entre pagamentos, identidade e gestão da fraude.

Indicadores técnicos

Análise para equipes de segurança

A primeira implicação operacional do relatório é que a superfície de risco já não pode ser gerida por domínio funcional. As equipes de fraude, dados, cibersegurança, compliance e riscos operacionais precisam trabalhar sobre o mesmo mapa de processos. O motivo é simples: na região, vários reguladores estão exigindo exatamente a mesma coisa com nomes diferentes, seja avaliação baseada em riscos, preservação de evidências, autenticação reforçada, monitoramento automatizado ou reporte de incidentes.

Na detecção, o padrão prioritário é combinar monitoramento de identidade, comportamento e transações. O México exige guardar históricos de risco por pelo menos dez anos e gerar alertas sobre clientes de alto risco, PEPs e listas restritivas. A Colômbia leva o controle de identidade para o onboarding e exige conservar evidências. Uruguai e Brasil empurram autenticação reforçada e controles antifraude em pagamentos e ativos virtuais. Isso sugere que a detecção eficaz já não se limita a SIEM ou SOC, mas precisa incorporar regras de negócio, perfilamento de clientes e correlação de eventos regulatórios.

Na mitigação, a ordem de prioridade muda conforme o país, mas não a lógica. Onde os prazos são curtos, como Peru e Argentina, a urgência está em governança, designações e manuais internos. Onde a mudança é estrutural, como México e Brasil, a urgência está em redesenhar motores de monitoramento, classificar risco por níveis, formalizar metodologias e verificar se a evidência é exportável e auditável. Onde a lei ainda está em transição, como Chile ou Bolívia, convém preparar arquitetura e contratos antes que a janela política se feche.

Em termos de threat intelligence, o material de Casbaneiro, CL-CRI-1163, BREEZE COMET e as campanhas com LLM sugere foco especial em e-mail, navegação bancária, endpoints de usuário final e C2 distribuído. O fato de a carga útil de Casbaneiro ser ativada ao acessar sites bancários obriga a reforçar proteção de navegação, análise de comportamento e detecção de manipulação de sessão. No Brasil, as campanhas voltadas a RH lembram que a porta de entrada pode ser um e-mail corporativo, e não um portal de internet banking.

A priorização recomendada, pelo que o research mostra, seria a seguinte. Primeiro, fechar lacunas de compliance com datas duras, especialmente México, Peru, Argentina e Paraguai. Segundo, consolidar evidências e logs, porque várias normas já exigem demonstrar que a validação ou a avaliação de fato existiram. Terceiro, revisar terceiros, PSPs e fornecedores em nuvem ou BaaS, já que a responsabilidade por riscos de terceiros aparece em Peru, Nova York e México. Quarto, integrar fraude e cibersegurança em um único painel, porque os ataques que afetam bancos já exploram identidade, e-mail, web e automação ao mesmo tempo.

Perguntas frequentes

Quais países do relatório concentram as mudanças mais urgentes entre 2026 e 2027?

México, Brasil, Peru, Colômbia, Paraguai e Argentina concentram os marcos mais imediatos, porque combinam vigências escalonadas, prazos de adaptação e novas exigências de monitoramento ou reporte. O Chile também é relevante por sua lei de dados, embora seu calendário dependa do eventual adiamento legislativo. Uruguai e Bolívia aparecem em fases diferentes, mais voltadas a registro ou desenho regulatório.

Quais marcos exigem monitoramento automatizado e não só controles manuais?

O México exige isso de forma expressa na LFPIORPI reformada, com seis funções mínimas e preservação histórica. O Brasil conecta o tema a controles antifraude para ativos virtuais e o Peru o incorpora em cibersegurança e banco digital por meio de diferentes esquemas de reporte e supervisão. Em paralelo, a pressão técnica de Casbaneiro reforça a necessidade de detecção automatizada.

Quais países já exigem ou antecipam reportes de incidentes com prazos curtos?

O Paraguai fixa até 72 horas para incidentes de segurança, o Peru prevê reportes em 24 horas para incidentes de cibersegurança e 10 dias úteis para avisar usuários afetados, e a Colômbia começa a mover a validação de identidade dentro de um regime que protege vítimas de falsidade pessoal. Nos Estados Unidos, a pesquisa também menciona prazos de 36 horas e quatro dias úteis para bancos e emissores.

Onde aparece mais clara a convergência entre fraude, dados pessoais e risco operacional?

Argentina, México e Colômbia mostram essa convergência com mais nitidez. A Argentina criou uma seção específica de risco de fraude dentro do risco operacional. O México transformou PLD, classificação de clientes, beneficiário controlador e auditoria em um programa formal. A Colômbia vinculou sua lei de falsidade pessoal à verificação de identidade, à prova documental e à proteção de dados pessoais.

Quais jurisdições do relatório já impactam de forma direta cripto e ativos virtuais?

Brasil, Uruguai, Paraguai e, em uma fase mais incipiente, Bolívia. O Brasil já tem autorização, perímetro de câmbio e controles antifraude. O Uruguai ativou registro e autorização para PSAV. O Paraguai somou uma obrigação informativa anual para criptoativos e cruzamento bancário com a DNIT. A Bolívia, por ora, apenas comprometeu um marco robusto perante o FMI, sem cronograma fechado.

Limitações do material

O material fornecido permite reconstruir com bastante precisão os calendários regulatórios, as obrigações principais e parte do contexto operacional regional, mas não inclui o texto completo de algumas normas nem seus anexos técnicos. No Chile, por exemplo, o projeto de adiamento já foi informado, mas o status final da tramitação não pode ser confirmado apenas com esta pesquisa. Na Bolívia, a informação disponível é programática e não permite fixar autoridade principal nem cronograma definitivo.

Também não foi possível verificar diretamente alguns detalhes publicados por fontes secundárias quando elas próprias os marcam como incertos, como o prazo exato de 270 dias para o trâmite transitório de autorizações PSAV no Brasil ou o início operacional da plataforma DNIT-ASOBAN no Paraguai. Nesses casos, o relatório preserva a atribuição à fonte e não eleva a afirmação ao mesmo nível dos fatos confirmados.