CNBV flexibiliza autenticação com SMS no México

A Comissão Nacional Bancária e de Valores colocou em vigor em 2 de setembro de 2026 uma mudança regulatória que permite usar códigos enviados por SMS como fator de autenticação de categoria 3 para determinados serviços financeiros digitais operados por comissionistas de base tecnológica. A resolução, publicada no Diário Oficial da Federação em 1º de setembro, também autoriza e-mail e mensageria instantânea cifrada para o envio de códigos de segurança.

O que mudou na autenticação bancária?

A nova redação da CNBV flexibiliza o envio de códigos de segurança para operações realizadas por comissionistas de base tecnológica e passa a admitir SMS, e-mail e mensageria instantânea cifrada como canais válidos. O ajuste se aplica a um esquema de autenticação de categoria 3 e entrou em vigor no dia seguinte à publicação oficial.

A mudança foi lida por uma peça de inteligência de cibersegurança como uma aposta em uma tecnologia com riscos conhecidos de vulnerabilidade. Esse análise sustenta que, se o SMS for usado como fator de autenticação, as instituições precisam compensar com controles adicionais de monitoramento de fraude, proteção do canal móvel e gestão de identidade.

O que obriga bancos e comissionistas a fazer?

As novas regras obrigam o cliente a poder trocar seu fator de autenticação de categoria 2 e também o meio de contato para receber o fator de categoria 3, incluindo o SMS, por meio de uma opção explícita na página ou no aplicativo do comissionista. Esse fluxo deve redirecionar para a infraestrutura tecnológica do banco.

A disposição busca garantir que o usuário tenha controle sobre esses ajustes pela interface do comissionista, sem deslocar a lógica de autenticação para fora do ambiente tecnológico do banco. Na prática, a CNBV mantém o esquema sob supervisão bancária, mas abre espaço para canais que já haviam sido questionados por sua exposição a ataques ao canal móvel.

Como isso se cruza com outras regras de supervisão?

A flexibilização da autenticação chega no mesmo momento em que a CNBV e o Banxico avançam com outras regras para pagamentos, interoperabilidade e prevenção à lavagem de dinheiro, com exigências que elevam a carga de compliance para bancos e fintechs. Em paralelo, consultorias de KYC lembram que as instituições financeiras devem identificar e verificar a identidade dos clientes antes e durante toda a relação comercial.

Esse marco regulatório também inclui propostas conjuntas sobre redes de meios de disposição, com regras para agregadores de pagamentos, participantes de pagamentos com cartão e instituições de fundos de pagamento eletrônico. Entre as obrigações mencionadas estão liquidar aos comércios no mesmo dia, manter contas segregadas para fundos de comércios e evitar retenções condicionadas à contratação de outros serviços.

Quais sinais deixa o frente sancionatória?

A CNBV tem mostrado uma postura ativa na área sancionatória. Em 9 de setembro de 2026, foi informado que a entidade impôs 26 multas ao Banco Base e ao Banco Mifel por descumprimentos em prevenção à lavagem de dinheiro, com penalidades que, no total, superam 18 milhões de pesos.

Além disso, a Secretaria da Fazenda esclareceu no mesmo dia que não existem provas contundentes de atividades ilícitas por parte de Vector Casa de Bolsa, CIBanco e Intercam, e que as multas históricas de mais de 185 milhões de pesos aplicadas pela CNBV entre 25 e 30 de junho de 2026 decorrem de descumprimentos administrativos, não de vínculos comprovados com lavagem de dinheiro. Soma-se a isso o fato de que a Suprema Corte confirmou em 11 de setembro a validade de uma multa de cerca de 2 milhões de pesos contra a Financiera Independencia, ratificando uma sanção regulatória de 2024.