BCRA reforça controle de fraude em transferências

O Banco Central da República Argentina publicou o cronograma da Comunicação A 8471 e, ao mesmo tempo, avançou com a Comunicação A 8473. A nova norma inclui uma seção específica de gestão do risco de fraude e cria um sistema de perfis de risco para transferências imediatas. O alcance da medida inclui entidades financeiras, administradoras de transferências imediatas e provedores de serviços de pagamento que oferecem contas de pagamento.

¿Qué cambia con la Comunicación A 8471?

A Comunicação A 8471 acrescenta uma seção específica de "Gestão do risco de fraude" aos "Lineamientos para la Gestión de Riesgos en las Entidades Financieras". Segundo a síntese da Ciberseguridad Latam sobre a comunicação do BCRA, essa inclusão estabelece obrigações para entidades financeiras e outros provedores de serviços de pagamento.

A publicação oficial enquadra a medida dentro de uma política mais ampla de gestão de riscos. Na mesma linha, o BCRA divulgou em seu portal em inglês que a estratégia busca fortalecer a prevenção de fraudes em pagamentos eletrônicos.

¿Cómo funciona el nuevo score de fraude?

A Comunicação A 8473 estabelece um sistema de perfis de risco de fraude para transferências imediatas e uma base de dados pública que será usada pelas administradoras de transferências imediatas para detectar movimentos suspeitos ligados a fraudes e jogo ilegal. Segundo o BCRA, a partir de setembro de 2026 o Banco Central disponibilizará informações públicas para que esses administradores construam perfis de risco por pessoa.

Bruchou & Funes de Rioja informou que o novo score deverá ser incorporado como insumo obrigatório nos processos de cadastro de novos clientes, abertura de contas e monitoramento de transações. O Primeros TV acrescentou que as administradoras, entre elas Coelsa, NewPay, Red Link e Interbanking, poderão usar a base para alertar bancos e carteiras digitais.

Urgente24 também informou que a implementação será gradual e que o objetivo é detectar contas associadas a operações suspeitas e jogo ilegal. O BCRA, por sua vez, enquadrou a medida como parte de uma estratégia integral contra fraude em pagamentos eletrônicos.

¿Qué exigencias de control impone la norma?

Bruchou & Funes de Rioja indicou que administradores de transferências imediatas, entidades financeiras e PSPCP terão de aplicar medidas de segurança, confidencialidade, integridade, disponibilidade e proteção para que as informações do BCRA e o score sejam usados apenas para as finalidades previstas. A análise também exige mecanismos de controle e rastreabilidade de acessos, usos, transferências e incidentes, com evidências disponíveis para a Superintendência de Entidades Financeiras e Cambiárias.

Esse reforço regulatório se apoia em obrigações concretas de auditoria e conformidade para os agentes abrangidos. Na prática, a norma empurra o monitoramento transacional, o cadastro de clientes e as revisões periódicas sob regras de KYC a incorporar o novo insumo de risco.

¿Qué muestra el caso de México sobre esta presión regulatoria?

Um estudo de caso privado sobre conformidade regulatória relatou que uma auditoria da CNBV a um grupo financeiro mexicano detectou a ausência de um programa formal de gestão de vulnerabilidades, relatórios de segurança manuais e 47 vulnerabilidades críticas sem correção. Segundo o caso, o grupo acelerou a implementação de um programa de cibersegurança com gestão de vulnerabilidades, SOC 24/7 e automação de relatórios regulatórios.

O mesmo caso informa que as 47 vulnerabilidades críticas foram corrigidas em 90 dias e que, depois disso, a auditoria foi aprovada. Em paralelo, o Xataka México informou que a CNBV alterou as regras de autenticação para operações bancárias feitas por aplicativos ou páginas da internet de terceiros, com publicação em 1º de setembro de 2026 e entrada em vigor no dia seguinte.

A ZTC Cyber Intelligence acrescentou que a regulação mexicana permite o uso de SMS para certos fatores de autenticação em esquemas com comissionistas de base tecnológica, um dado que ajuda a contextualizar tecnicamente a mudança normativa no país.

Confirmación oficial y alcance operativo

O BCRA publicou em seu site oficial em 3 de setembro de 2026 a confirmação de que vai fortalecer sua estratégia de prevenção a fraudes e que os administradores de transferências imediatas usarão dados públicos para montar um score de risco de fraude por pessoa. A cobertura da LmNeuquen já havia informado que o órgão endureceria os controles sobre transferências imediatas na Argentina, enquanto a State-of.biz acrescentou que o esquema permitirá detectar padrões incomuns e fluxos ligados a apostas ilegais.

Esse perfilamento fica vinculado a um uso concreto dentro da operação. Segundo uma análise jurídico-técnica independente sobre a Comunicação A 8473, o score de risco de fraude será um insumo obrigatório para o cadastro de novos clientes e para o monitoramento transacional em transferências imediatas. Bruchou & Funes de Rioja também afirmou que a ferramenta se integra a um marco de controle mais rígido sobre esse tipo de transferência.

A pressão regulatória coincide com campanhas ativas de phishing e backdoors direcionadas a organizações da América Latina, incluindo bancos e serviços financeiros, segundo a ANY.RUN. A empresa informou que uma dessas campanhas usa iscas como documentos fiscais falsos e notificações no estilo DocuSign, e descreveu uma cadeia de infecção em quatro etapas.

A ANY.RUN atribuiu a atividade com confiança média a uma tradecraft compatível com Silver Fox ou Winos4.0, embora tenha esclarecido que a atribuição não está confirmada. Também afirmou que o objetivo declarado da campanha é obter acesso remoto persistente, o que amplia a exposição das entidades financeiras da região a intrusões com persistência real.

Em Honduras, a La Prensa Honduras relatou uma suposta rede de seis golpistas informáticos que teria usado phishing para entrar na banca online de uma vítima e executar 17 transferências por mais de L586,000 em 41 minutos, segundo a investigação citada pelo veículo. O caso mostra a velocidade com que essas manobras podem se concretizar quando conseguem acesso a uma conta.