Chile, México e Colômbia apertam controles

Cadeia de ataque e TTPs

Não há no material uma campanha técnica única com infraestrutura, endereços, hashes ou famílias de malware que permita reconstruir uma cadeia de ataque clássica. O que aparece é um padrão regional de ataque e controle, no qual a pressão ofensiva sobre dados financeiros, identidades e mensagens móveis obriga as empresas a elevar suas defesas e os reguladores a exigir rastreabilidade. Na Argentina, os SMS Blasters mostram um vetor de fraude baseado em suplantação de marca e evasão de controles da indústria. No Paraguai, a perícia fiscal citada pelo ABC Color descreve funcionalidades não declaradas e ordens de bloqueio em controladores de licença. No Chile, o foco está na resposta regulatória a incidentes e na comprovação de segurança. No México e na Colômbia, a dimensão técnica se desloca para o monitoramento, a análise de risco e a troca padronizada de informações.

A leitura de TTPs, portanto, é estrutural e não forense. O vetor dominante é o abuso de confiança, seja por mensagens enganosas, suplantação de identidade, abuso de credenciais, ocultação funcional ou troca de dados sem governança suficiente. O objetivo é sempre o mesmo, acessar informação sensível, alterar processos ou monetizar o acesso a dados financeiros. A resposta regulatória se concentra em reduzir exposição, fortalecer autenticação, documentar controles e exigir aprovação ou rastreabilidade adicional quando o risco aumenta.

Impacto regional

Panorama regional

A leitura comparada mostra três movimentos distintos, mas complementares. O Chile está consolidando um regime clássico de privacidade com autoridade, registro, notificação de incidentes e medidas técnicas exigíveis. O México está transformando o antilavagem operacional em um sistema de risco computável, com automação, classificação e auditoria. A Colômbia está formalizando uma camada de infraestrutura para finanças abertas, em que os dados financeiros circulam sob regras de autorização, interoperabilidade e supervisão técnica.

Nos três países, a proteção não se limita ao plano jurídico. O dado precisa ser inventariado, classificado, protegido, auditado e, em alguns casos, compartilhado por interfaces padronizadas. Isso afeta bancos, fintechs, comércios, fornecedores de software, imobiliárias, emissores de crédito, plataformas de pagamento e qualquer ator que trate dados pessoais ou financeiros em escala operacional.

Chile

O Chile impõe a mudança mais clara em privacidade, porque a Lei 21.719 substitui a antiga Lei 19.628 e cria uma Agência de Protección de Datos Personales com capacidade de fiscalizar, instruir, certificar modelos de prevenção, revogar certificações e aplicar sanções administrativas. O núcleo da reforma é direto, documentar quais dados são tratados, para quê, com base legal em que e com quais medidas de segurança.

A norma também reforça os deveres de transparência, resposta a solicitações de titulares e aviso de vazamentos. Quando uma violação gerar risco razoável, a empresa deve informar a Agência sem atrasos indevidos e registrar internamente a comunicação. Se a brecha envolver dados sensíveis, de menores de 14 anos ou econômico-financeiros, a notificação também deve chegar ao titular afetado.

Em segurança, o padrão exigido é proporcional ao risco e inclui pseudonimização, criptografia, resiliência dos sistemas, capacidade de restauração rápida e testes periódicos de eficácia. Siberson destaca que, depois de um incidente, o responsável terá de demonstrar que as medidas existiam e operavam de forma adequada, o que obriga a conservar evidências, registros de monitoramento e documentação de testes. A LexAlert acrescenta que as multas podem superar um bilhão de pesos chilenos em casos graves ou reiterados.

O calendário continua sendo um fator crítico. A data vigente no texto legal é 1º de dezembro de 2026, também refletida no Decreto 662. No entanto, existe um projeto para postergar a entrada em vigor para 1º de dezembro de 2027 e fortalecer a institucionalidade da Agência. Enquanto essa mudança não for aprovada e publicada, o prazo juridicamente exigível segue sendo 2026.

México

O México moveu seu sistema antilavagem para um esquema de cumprimento mais sofisticado e mais exigente para atividades vulneráveis. O Acuerdo 115/2026 incorpora onze novos capítulos às Reglas de carácter general da LFPIORPI e, segundo as análises citadas, desloca o foco do cumprimento formal para a gestão efetiva do risco. Isso significa olhar perfis, comportamentos e vínculos, e não apenas valores ou formulários.

As obrigações se distribuem em várias camadas. Em 30 de novembro de 2026, entra em vigor a reforma geral. Em 1º de março de 2027, entram a abordagem baseada em risco, a matriz institucional, a classificação de risco de clientes, a atualização do manual interno e a adaptação operacional correspondente. Em 1º de junho de 2027, entram os mecanismos automatizados do artigo 41, incluindo sistemas de alerta para clientes de alto risco e pessoas politicamente expostas.

O conteúdo técnico é amplo. HG Abogados e PLD.mx detalham exigências de manuais internos, conhecimento do cliente, classificação de risco, gestão de listas de PEP, identificação do beneficiário controlador, capacitação anual com avaliação, monitoramento automatizado do perfil transacional e auditoria anual independente. A Legal 500 acrescenta que a mudança de interpretação também alcança fideicomissos, associações em participação e provedores de serviços de ativos virtuais.

O ponto mais sensível é a cadeia de decisão. Coem.mx explica que, quando um cliente for PEP e também estiver classificado com risco alto, qualquer operação deverá ter aprovação de um diretor ou equivalente. Isso adiciona uma camada de governança corporativa sobre relações que antes podiam ser resolvidas com controles menos formais. No conjunto, a reforma transforma o risco em insumo operacional, e não em dado isolado do dossiê.

Colômbia

A Colômbia formalizou um modelo de finanças abertas que já não depende só de boas práticas ou acordos privados. O Decreto 368 de 2026 estabelece uma infraestrutura regulada, interoperável e interconectada para o acesso e o fornecimento padronizado de dados e serviços financeiros, com autorização prévia, expressa e informada do titular. A Forbes Colombia o apresenta como um marco obrigatório para as entidades contempladas, com troca por APIs sob padrões definidos pela Superintendência Financeira.

A implementação ainda está em construção. O Heraldo relatou sete mesas técnicas entre junho e julho de 2026 com mais de 157 entidades, enquanto El País de Cali e CERLatam registram que a Superintendência Financeira avança em uma rota e em um cronograma para expedir padrões, o diretório de participantes e os indicadores de acompanhamento. Isso mostra que a norma já existe, mas sua interoperabilidade real depende de peças regulatórias adicionais.

A lógica de fundo é a padronização segura. O material da Batea Fintech explica que determinados dados financeiros circularão entre participantes habilitados sob regras de autorização e proteção de dados aplicáveis. O objetivo é ampliar a concorrência, melhorar a simetria de informação e habilitar novos produtos. Nesse contexto, o uso de APIs não é uma opção comercial, mas a interface que organiza o intercâmbio.

A isso se soma a discussão sobre identidade digital. A Lei 2573 de 2026, também na Colômbia, reforça a proteção diante de registros negativos derivados de suplantação de identidade e exige medidas de segurança digital suficientes e razoáveis para mecanismos de verificação de identidade e tratamento de dados pessoais. A SIC abriu consulta pública para construir diretrizes e protocolos, completando um ecossistema regulatório que mistura identidade, crédito e proteção de dados.

Argentina

A Argentina não aparece aqui com uma nova lei geral, mas com um caso prático que ilustra o risco operacional das fraudes por mensagens. A TeleSemana relatou uma campanha de SMS Blasters que usa antenas portáteis que não pertencem a operadoras licenciadas para enviar mensagens fraudulentas com links enganosos voltados ao roubo de credenciais bancárias e senhas. Claro e Telecom emitiram alertas e reforçaram protocolos de prevenção.

A dimensão jurídica também é relevante. A Microjuris Argentina reúne jurisprudência segundo a qual o acesso de terceiros a dados bancários por meio de ardil especialmente desenhado não rompe o nexo causal, porque o banco tem um dever de segurança de resultado e deve detectar movimentos estranhos que não se ajustem ao perfil transacional do cliente. Em outra publicação, Mario Vadillo sustenta que uma decisão judicial recente atribuiu ao banco 80% da responsabilidade por não detectar operações incomuns.

Paraguai

O Paraguai já conta com uma Lei N.º 7593/2025 de proteção de dados pessoais cuja vigência geral está fixada para 27 de novembro de 2027. O dado importante não é apenas a data, mas o fato de que a TEDIC alerta que o país ainda precisa completar a regulamentação e os mecanismos de implementação, algo essencial para que a norma tenha eficácia real.

Ao mesmo tempo, o expediente público de cibersegurança e bancarização continua ativo. O ABC Color informou sobre uma investigação fiscal contra a Itti por suposto sabotagem informática contra o Banco Atlas, com uma perícia que detectou funcionalidades não declaradas e ordens de bloqueio no core bancário. O caso marca a relevância dos controles técnicos e contratuais sobre software crítico e acesso a sistemas financeiros.

Bolívia

A Bolívia segue sem uma lei geral de proteção de dados pessoais, e essa ausência se traduz em falta de obrigações estruturais para os responsáveis pelo tratamento. Opinión e sala.red coincidem em que não existe uma autoridade administrativa dedicada, nem um regime específico de sanções, nem deveres como informar quais dados são guardados, apagá-los a pedido ou notificar incidentes. A Constituição oferece uma ação de proteção da privacidade, mas como recurso judicial individual.

Apesar desse vazio, o ecossistema financeiro e fintech opera com referências regulatórias parciais. A Yanapti aponta que as empresas de tecnologia devem observar condições de tecnologia, gestão de riscos, tratamento da informação, proteção de dados e cibersegurança. A 4notify acrescenta que a Lei 164 protege a privacidade das comunicações eletrônicas e que o Banco Central e a ASFI ordenam vários trilhos de pagamento, como QR Simple e ACH-LIP. O país tem atividade regulatória, mas não um marco integral de privacidade.

Peru

O Peru está em uma fase de desenho e implantação por etapas do seu Sistema de Finanzas Abiertas. A SBS publicou uma rota de quatro fases que se estende até 2029, com uma fase de regras e especificações entre 2026 e 2027, uma implementação gradual entre o segundo semestre de 2026 e 2028 e uma quarta fase que incluirá seguros, pensões, cooperativas e fintechs. A Ligopay e o Diario Financiero acrescentam que o foco está em padrões de interoperabilidade, segurança para APIs e consentimento do usuário.

O sistema financeiro peruano, além disso, já conta com peças habilitadoras. O BCRP desenvolve uma Plataforma de Pagamentos de Varejo que permite a iniciação centralizada de pagamentos, e a regulação de fintech se divide entre SBS, SMV e BCRP. A Gestão adverte que, em parcerias com terceiros, a responsabilidade diante de vazamentos continuará recaindo sobre a instituição financeira. A leitura é clara, o open finance peruano está sendo construído sobre uma base de pagamentos e governança ainda em consolidação.

Brasil

O Brasil apresenta o ecossistema mais maduro em termos de Open Finance. O modelo é regulado pelo Banco Central, mas operado por uma entidade privada formada por associações de mercado, sob uma lógica de autorregulação assistida. A SpaceMoney, a ENAP e a Openi coincidem em que o consentimento do cliente é obrigatório, pode ser revogado e é articulado por APIs seguras, com requisitos técnicos e de segurança definidos pela regulação.

O sistema, porém, segue evoluindo. A Valor Investe informou que o Banco Central prepara novas regras para permitir que empresas fora do sistema financeiro recebam dados de clientes autorizantes. A Convergência Digital ressalta que segurança, certificações e especialização técnica continuam sendo desafios relevantes. O caso das 644 chaves Pix reportadas pelo Portal AZ confirma que a superfície de risco segue ativa mesmo em um marco regulado e operacional.

México, Estados Unidos e Uruguai como sinais complementares

O México mostra a versão mais dura do controle baseado em risco para atividades vulneráveis, enquanto os Estados Unidos incorporam peças de intercâmbio financeiro e privacidade com iniciativas federais fragmentadas. O Uruguai, por sua vez, está desenhando seu próprio sistema de finanças abertas com controle do usuário, APIs e supervisão do Banco Central, em linha com a agenda de pagamentos e com exigências maiores para provedores de serviços de ativos virtuais. São trajetórias diferentes, mas com a mesma direção, mais padronização, mais consentimento documentado e mais responsabilidade regulatória.

Indicadores técnicos

Não foram publicados IOCs técnicos clássicos, como domínios, IPs, hashes ou amostras de malware, no material consolidado. O relatório só pode referenciar vetores, normas e atores institucionais, mas não artefatos forenses verificáveis. Essa ausência é coerente com o tipo de investigação disponível, centrada em regulação, compliance e casos doutrinários ou de cobertura jornalística.

Análise para equipes de segurança

O primeiro ajuste operacional é documental. No Chile, qualquer organização que trate dados pessoais terá de chegar a 1º de dezembro de 2026 com o Registro de Atividades de Tratamento completo, as bases de licitude identificadas, o inventário de fluxos e evidências de medidas de segurança. A norma não premia a intenção, exige prova. Isso significa revisar políticas, registros, testes de restauração, criptografia, pseudonimização e tempos de resposta a incidentes.

O segundo ajuste é de risco. O México obriga a pensar em matrizes vivas, e não em dossiês estáticos. As organizações sujeitas à LFPIORPI terão de atualizar classificações de clientes, reforçar listas de PEP, automatizar monitoramento e treinar o pessoal com avaliação anual. Um manual copiado de modelos prontos não servirá se não estiver alinhado ao comportamento real das operações e às evidências exigidas pela autoridade.

Na Colômbia, o foco deve recair sobre a camada de integração. O intercâmbio por APIs sob padrões definidos pela Superintendência Financeira exige governança de interfaces, autorização rastreável, controle de terceiros e monitoramento de disponibilidade e desempenho. O risco não está apenas na fuga de dados, mas na implementação incorreta dos consentimentos, na exposição por fornecedores e no desencontro entre participantes habilitados. A rota oficial e os projetos de decreto mostram que essa superfície continuará mudando.

Para ambientes financeiros e de pagamentos, os casos da Argentina, do Paraguai e do Brasil funcionam como sinais de controle. A Argentina mostra que a fraude por mensagens continua escalando e que bancos podem ficar expostos se não detectarem operações atípicas. O Paraguai expõe como um suposto sabotagem de software pode atingir o núcleo bancário. O Brasil confirma que até um modelo avançado de Open Finance depende de bom desenho de acesso, segregação de credenciais e uma governança de permissões cuidadosamente instrumentada.

Perguntas frequentes

Qual país concentra a mudança regulatória mais imediata entre Chile, México e Colômbia?

O Chile, porque a Lei 21.719 já tem data geral de vigência fixada para 1º de dezembro de 2026 e obriga a preparar registro, segurança e notificação de incidentes. O México também se ativa em breve, mas suas obrigações se distribuem por etapas até 2027. A Colômbia já tem o decreto-base, mas ainda ajusta os padrões de implementação.

Qual é a diferença técnica entre a Lei 21.719 do Chile e o Acuerdo 115/2026 do México?

A lei chilena organiza proteção de dados, notificação de incidentes e medidas de segurança proporcionais ao risco. O acordo mexicano, por sua vez, reorganiza a prevenção à lavagem para atividades vulneráveis, introduz classificação de risco, abordagem baseada em risco, monitoramento automatizado e controles reforçados sobre clientes PEP e beneficiários controladores.

O que Colômbia e Uruguai têm em comum em seus projetos de finanças abertas?

Os dois países propõem infraestrutura regulada, interoperável e baseada em consentimento prévio, expresso e informado do usuário. Em ambos os casos, as APIs são o mecanismo de troca e o banco central mantém papel central na regulação, supervisão e definição de padrões técnicos para os participantes.

O que a jurisprudência citada sobre ciberestelionatos implica para um banco argentino?

Implica que a entrega voluntária de credenciais pelo usuário não elimina automaticamente a responsabilidade da instituição. A jurisprudência e os comentários doutrinários citados insistem que o banco mantém um dever de segurança e deve detectar movimentos estranhos que não coincidam com o perfil transacional do cliente.

Que obrigações novas aparecem no Chile se ocorrer um incidente com dados sensíveis?

A empresa deve notificar a Agência de Protección de Datos pelos meios mais rápidos e sem atrasos indevidos, além de registrar internamente a comunicação. Se o incidente envolver dados sensíveis, informações de menores de 14 anos ou dados econômico-financeiros, também deve informar diretamente os titulares afetados.

Limitações do material

O material não traz uma investigação forense com indicadores técnicos verificáveis, portanto não foi possível identificar domínios, IPs, hashes, amostras, infraestrutura de comando e controle nem campanhas atribuídas a um ator específico. Também não há um caso único que conecte, de forma demonstrada, as mudanças regulatórias da região com uma operação adversária concreta.

Na Colômbia, várias peças sobre a rota do Sistema de Finanzas Abiertas e os ajustes do cronograma são atribuídas pelas fontes como incertezas ou cobertura setorial, por isso foram mantidas como tais e não elevadas a fato confirmado quando isso não cabia. No Chile, o projeto que adiaria a Lei 21.719 segue em tramitação e não altera, por enquanto, a data vigente de 1º de dezembro de 2026.

O relatório foi construído exclusivamente com o material fornecido e não inclui verificação externa adicional. Por isso, as subseções sobre Argentina, Paraguai, Bolívia, Peru, Brasil, México, Colômbia, Estados Unidos e Uruguai refletem apenas o que pôde ser confirmado dentro do conjunto de pesquisa consolidado.

Gráficos