Tesouro dos EUA pede mais relatos de ciberestafas

O Departamento do Tesouro dos Estados Unidos pediu a bancos, cooperativas de crédito, plataformas de troca de criptoativos, fintechs e outros provedores de serviços financeiros que reforcem a identificação e o reporte de esquemas de ciberestafas. A orientação coloca o foco nos relatórios de atividade suspeita, ou SAR, para operações ligadas a centros de golpe no exterior. As estimativas citadas apontam perdas de quase US$ 13 bilhões desde 2023.

¿Qué pidió el Tesoro a las entidades financieras?

O Tesouro pediu que os relatórios de atividade suspeita sejam usados com mais diligência para detectar e documentar ciberestafas, sobretudo quando houver vínculo com centros de golpe fora dos Estados Unidos. Segundo a cobertura de The Record e a síntese da Verisq, a orientação alcança bancos, cooperativas de crédito, exchanges de criptoativos, fintechs e outros provedores financeiros.

A mesma cobertura da NatLawReview acrescentou que o FinCEN quer incorporar aos SAR todos os indicadores técnicos cibernéticos disponíveis. Entre eles estão chats, telefones, usuários de redes sociais, e-mails, tipos de ativos digitais, endereços de blockchain, hashes de transação, nomes de aplicativos e URLs. Também informou que as instituições que enviarem SARs ligados a scam centers devem incluir o identificador FIN-2026-SCAMCENTERS no campo de nota e na narrativa, além de selecionar Fraud, Other com a descrição Scam Centers.

¿Qué magnitud de pérdidas citó el gobierno estadounidense?

As coberturas especializadas citadas pelo material falam em quase US$ 13 bilhões em perdas desde 2023 associadas a esses esquemas. A cifra aparece como uma estimativa agregada em reportagens e análises de inteligência de risco, não como dado isolado de um único comunicado oficial.

The Record, em uma síntese de comunicados do Tesouro, e Verisq.ai coincidiram nessa referência. No caso da Verisq, a cifra aparece como parte de uma leitura de inteligência de risco sobre o chamado para elevar o reporte de ciberestafas.

¿Qué señales regulatorias suma Washington para bancos y fintechs?

O alerta do Tesouro vem junto de outros movimentos de supervisão no sistema financeiro dos Estados Unidos. O Federal Reserve, a FDIC e a OCC divulgaram uma declaração conjunta para esclarecer sua abordagem de supervisão baseada em risco sobre certos serviços fornecidos por core providers a bancos comunitários, com atenção aos riscos cibernéticos e de resiliência operacional ligados a serviços terceirizados essenciais.

Em paralelo, os reguladores federais, Federal Reserve, FDIC, OCC e NCUA, propuseram diretrizes atualizadas de gestão de riscos de terceiros para bancos e cooperativas de crédito. O objetivo é reforçar o controle sobre relações com fornecedores de tecnologia e de segurança da informação que afetam diretamente os controles de cibersegurança do setor financeiro.

A isso se soma o fato de que a OCC e a FDIC adotaram em 27 de agosto de 2026 uma regra final que codifica a definição de prática insegura ou não saudável para a Seção 8 da Federal Deposit Insurance Act e revisa o esquema de MRAs e outras comunicações de supervisão. A Reuters apontou que a medida busca orientar a supervisão e a aplicação de medidas sobre riscos financeiros materiais, e que os MRAs normalmente vão exigir uma expectativa razoável de dano material ou uma violação de lei bancária ou ligada à atividade bancária.

¿Qué implica para la banca que usa modelos e inteligencia artificial?

A guia interagencial de model risk management foi reescrita em abril de 2026 para limitar o conceito de modelo a métodos quantitativos complexos, deixando de fora, em sua aplicação formal, a inteligência artificial generativa e agentic, segundo análises especializadas citadas no material. Para os modelos que continuam dentro da guia, permanecem as exigências de inventário, validação independente e monitoramento de desempenho.

O mesmo conjunto de análises sustenta que a governança de IA avançada agora fica em estruturas mais amplas de risco e controle, separadas dessa guia específica. Na prática, isso leva as instituições a tratar a IA generativa e agentic com esquemas de conformidade diferentes dos que regulam os modelos tradicionais.

¿Qué otras prácticas de seguridad están reforzando los reguladores?

As notas técnicas reunidas no material mostram que o FFIEC continua usando seus handbooks e padrões compartilhados de exame para avaliar práticas de segurança da informação, incluindo a destruição segura de dados de clientes durante processos de descarte. Elas também indicam que a guia interagencial sobre autenticação e acesso considera inadequados os controles de um único fator e de uma única camada para atividades de alto risco, e orienta para esquemas em camadas e autenticação multifator.

Em BSA e AML, uma análise setorial publicada em 2026 relatou 42 ações de cumprimento em 2024, ante 29 em 2023, com mais sanções a instituições com menos de US$ 1 bilhão em ativos. O levantamento menciona casos com falhas em monitoramento de atividade suspeita, due diligence do cliente, governança, equipe, testes independentes e treinamento, incluindo ordens da OCC contra TD Bank, Summit National Bank e Community Federal Savings Bank.

¿Qué queda en el radar para criptografía poscuántica?

O debate sobre criptografia pós-quântica já entrou na agenda bancária dos Estados Unidos com cronogramas de transição que, segundo análises citadas no material, combinam planejamento entre 2025 e 2027, avaliações de risco até 2029 e execução completa por volta de 2034. Outro texto acrescenta que o NIST prevê retirar algoritmos vulneráveis à computação quântica após 2030 e descontinuar a maioria dos demais até 2035.

Esses mesmos textos defendem que as instituições financeiras avancem em inventários criptográficos e agilidade criptográfica. Como comparação, a Moneycontrol informou que o RBI, na Índia, já pressiona bancos e fintechs a iniciar o quantum-proofing de seus sistemas, um sinal que o material conecta a subsidiárias latino-americanas que operam sob padrões multinacionais de ciberresiliência.