Banca e seguros, Julho de 2026

Ameaças e campanhas ativas

Ransomware e extorsão

A evidência mais sólida do mês nesta categoria é o caso da Kaspersky sobre Colômbia e México, com criptografia confirmada via BitLocker e notas de resgate impressas em equipamentos corporativos. Esse padrão confirma uma extorsão com impacto operacional real, porque a criptografia de ativos torna sistemas indisponíveis e altera a continuidade dos negócios. A presença de impressoras corporativas como canal de pressão é um indicativo de maturidade ofensiva, não porque o mecanismo seja sofisticado por si só, mas porque explora ativos subestimados para ampliar o dano.

Os demais casos da categoria não permitem precisar se houve criptografia ou apenas reivindicação. Para um relatório mensal, essa diferença importa muito. Em termos defensivos, uma organização financeira deve assumir que a extorsão pode começar antes da criptografia, seguir com exfiltração e culminar em interrupção. A sequência nem sempre é linear, mas obriga a revisar segmentação, credenciais com privilégio, capacidade de restauração e monitoramento de impressão e de serviços de administração remota.

Fraude e phishing

A fraude digital foi um dos sinais mais consistentes do período. O relatório da ESET, citado por Infobae, coloca o phishing como o vetor mais frequente na América Latina, com impacto em 73% das organizações pesquisadas. A mesma cobertura destaca que a engenharia social continua entre os métodos mais eficazes para obter credenciais ou instalar malware. Esse dado se encaixa no restante do material, das recomendações do BCRA sobre links por chat aos alertas do Banco de Bogotá sobre ligações, SMS e e-mails falsos.

Em paralelo, a ACIS citou números da Asobancaria sobre mais de 218.000 reclamações por fraude em canais digitais no primeiro semestre de 2025 na Colômbia, o que ajuda a dimensionar o peso das fraudes sobre o sistema. Embora esse número seja de outro período, ele serve como referência qualitativa da magnitude do problema no país. No Peru, a SBS alertou sobre aplicativos de empréstimo que usam técnicas extorsivas para cobrar, uma combinação de fraude, pressão psicológica e abuso de dados pessoais que costuma sair do perímetro bancário tradicional, mas afeta diretamente consumidores de serviços financeiros.

APT e intrusão direcionada

Não houve no material do mês uma campanha APT clássica atribuída a um grupo com objetivo financeiro específico e persistência confirmada sobre bancos ou seguradoras. O sinal mais próximo é StrikeShark, que de fato é apresentado como campanha ativa contra organizações da região, mas o material fornecido não permite classificá-la com precisão como APT no sentido estrito. Em uma análise editorial rigorosa, isso não deve ser forçado.

Há, por outro lado, uma convergência de interesse ofensivo sobre o setor financeiro pelo valor de seus dados, a urgência de seus processos e a dependência de terceiros. Isso aparece nos relatórios sobre phishing, na discussão sobre finanças abertas e na preocupação com plataformas com fragilidades de cibersegurança que poderiam ser restringidas, segundo a cobertura sobre Pix no Brasil. O vetor pode não ser APT no sentido doutrinário, mas a pressão sustentada sobre identidade, integrações e autorizações é clara.

Vulnerabilidades críticas

As nove vulnerabilidades críticas mencionadas no material não estão ligadas de forma explícita a um incidente financeiro latino-americano do mês, mas fazem parte do contexto técnico que os times de banco e seguros precisam considerar relevante. Quando a CISA coloca uma falha no KEV por exploração ativa, a leitura operacional em uma instituição financeira regional deveria ser imediata, inventário, exposição externa, priorização de patching e revisão das regras de detecção. Isso é especialmente importante para soluções de perímetro, ferramentas de colaboração e componentes web expostos a clientes ou integradores.

Em julho, além disso, o boletim semanal da CISA para a semana de 20 de julho de 2026 resumiu atualizações de vulnerabilidades do período. Embora a fonte não aprofunde todos os detalhes no material disponível, sua simples inclusão reforça a necessidade de manter uma cadência de gestão de patches alinhada à exposição à internet. Em bancos e seguradoras, vulnerabilidades com exploração ativa não deveriam ser tratadas como um tema de infraestrutura geral, mas como um fator direto de continuidade e fraude, porque muitas invasões começam com um salto a partir de uma superfície pública mal corrigida.

Regulação e compliance

Julho foi, прежде de tudo, um mês regulatório. O caso mais visível foi a Colômbia, onde a Superintendência Financeira publicou para comentários o Projeto de Circular Externa 10 de 2026, com prazo até 10 de agosto, para atualizar as regras do sistema de finanças abertas em atenção ao Decreto 368 de 2026. O projeto prevê que as entidades supervisionadas que já operem esquemas ou casos de uso sob a Circular Externa 004 de 2024 terão até 7 de abril de 2027 para se adequar às novas instruções. Além disso, a própria publicação organiza o novo capítulo em três seções, disposições gerais, tratamento de dados e diretório de participantes.

Esse desenho não é trivial. Na prática, as finanças abertas obrigatórias aumentam o peso da governança de dados, da autorização granular e da rastreabilidade de participantes. Para bancos tradicionais e seguradoras que interagem com ecossistemas de terceiros, a ameaça já não é só o roubo de credenciais, mas a gestão correta de quem acessa quais dados, sob qual base legal e com quais mecanismos de reporte. A SFC acompanhou esse movimento com uma carta circular datada de 27 de julho e com um boletim institucional do MinHacienda que celebrou o decreto que formaliza o marco de finanças abertas obrigatórias.

Ainda na Colômbia, o Congresso promulgou a Lei Estatutária 2573 de 2026, voltada a fortalecer a proteção de vítimas de falsidade ideológica para obter créditos, produtos financeiros ou serviços. A norma obriga as entidades a comprovar os mecanismos usados para verificar a identidade antes de aprovar uma operação. Para o setor financeiro, isso é um sinal muito claro, o padrão probatório sobre autenticação deixa de ser informal e passa a integrar o risco jurídico, não apenas o risco de fraude.

O Brasil trouxe outra peça relevante. A Susep divulgou um Manual de Orientações sobre Segurança Cibernética para as entidades supervisionadas, com caráter orientativo e destinado a apoiar a implementação de requisitos mínimos já previstos na regulação vigente. O manual se aplica a seguradoras, resseguradores locais, entidades abertas de previdência complementar, sociedades de capitalização, cooperativas de seguros e administradoras de operações de proteção patrimonial mutualista, e incorpora orientações sobre governança, gestão de riscos, proteção de dados, continuidade dos negócios, incidentes, terceirização e nuvem. Além disso, se apoia nas Resoluções CNSP 416/2021, 491/2026 e 492/2026, e nas Circulares Susep 638/2021 e 700/2024.

A cobertura sobre o Pix no Brasil acrescentou um sinal de supervisão potencialmente mais duro. A Folha de S.Paulo informou que o Banco Central avalia restringir o acesso ao Pix a instituições com fragilidades de cibersegurança, com possíveis limites de horário, dias ou valor, ou até a proibição de registrar novas chaves Pix. O material apresenta isso como uma medida em estudo, e não como norma aprovada, mas ainda assim revela um patamar regulatório mais exigente diante de instituições vulneráveis. Para os bancos, esse tipo de abordagem pode virar uma pressão reputacional forte, porque afeta o acesso a uma infraestrutura de pagamentos em massa.

O Peru completou o bloco mais robusto de compliance. A SBS editou a Resolução SBS 01741-2026, que estabelece a obrigação de informar publicamente qualquer incidente de cibersegurança em até 24 horas do conhecimento do evento. A mesma norma determina que as entidades comuniquem aos usuários afetados o incidente e as ações corretivas adotadas em um prazo de até 10 dias úteis. Outra cobertura acrescentou que algumas disposições sobre comunicação de incidentes e contratação digital entram em vigor 360 dias após a publicação, enquanto o atendimento humano vale desde 3 de julho de 2026. Em paralelo, a SBS alertou sobre aplicativos de empréstimo que usam técnicas extorsivas para cobrar, uma mensagem que conecta cibersegurança, proteção ao consumidor e controle de práticas abusivas.

O bloco regulatório regional se completa com a frente de BaaS no Peru. A SBS exige políticas e procedimentos aprovados pelo conselho de administração, com avaliação prévia de receptores, monitoramento periódico, gestão de riscos, critérios de saída e mecanismos de reporte e escalonamento. Além disso, identifica de forma expressa riscos de crédito, operacional, cibersegurança e lavagem de dinheiro/financiamento do terrorismo, e exige uma lista atualizada de receptores reportada semestralmente e publicada no site da entidade. Para as equipes de compliance, isso obriga a mapear não apenas fornecedores críticos, mas também receptores e terceiros com capacidade de alterar a superfície de risco.

Países e subsegmentos mais afetados

Colômbia

A Colômbia foi, provavelmente, o país com maior densidade de fatos regulatórios e operacionais ao longo do mês. A SFC concentrou várias publicações sobre finanças abertas, o Congresso avançou com a Lei 2573 de 2026 sobre suplantação de identidade, e o Banco de Bogotá emitiu alertas específicos sobre tentativas de fraude na transição de clientes do Itaú. A isso se somam referências a mais de 3.000 ciberataques semanais em empresas colombianas, segundo a Infobae, além da menção à Colômbia dentro da campanha StrikeShark e dos casos de ransomware com BitLocker e bilhetes impressos.

O padrão colombiano é bastante claro, a discussão pública se move entre proteção ao consumidor, regulação de dados, supervisão financeira e risco operacional real. Para a banca tradicional, o ponto mais sensível é a autenticação e a verificação de identidade. Para as seguradoras, a leitura não é menor, porque qualquer ampliação de finanças abertas ou de intercâmbio de dados tende a impactar também os processos de subscrição, atendimento e gestão de sinistros, especialmente quando há integrações com terceiros.

Peru

O Peru mostrou um mês de endurecimento normativo e alertas diretos a usuários e entidades. A SBS fixou o dever de reporte público de incidentes em 24 horas e o aviso aos usuários em até 10 dias úteis, enquanto outras disposições sobre comunicação de incidentes e contratação digital foram escalonadas no tempo. A autoridade também alertou sobre aplicativos de empréstimo com técnicas extorsivas para cobrança. No plano de BaaS, a exigência sobre diretório, avaliação prévia de receptores e monitoramento periódico reforça a ideia de que o ecossistema financeiro digital precisa estar muito mais documentado.

Embora o material peruano não aponte uma grande brecha pontual em bancos ou seguros, ele constrói um sinal institucional forte. O problema de fundo é que o regulador está empurrando o mercado a tratar a cibersegurança como processo reportável e auditável, e não apenas como tecnologia. Isso obriga as entidades a consolidar evidências, prazos de detecção, critérios de notificação e coordenação com as áreas jurídica e de atendimento ao cliente.

Brasil

O Brasil trouxe o sinal mais direto sobre o setor segurador. O manual da Susep é relevante pelo alcance e pela linguagem de implementação, porque transforma princípios de segurança cibernética em orientações para entidades supervisionadas com uma lista concreta de temas, governança, risco, dados, continuidade, incidentes, terceirização e nuvem. O outro frente brasileiro, o possível endurecimento de acesso ao Pix para instituições vulneráveis, aponta para a infraestrutura de pagamentos e para a relação entre segurança e habilitação de negócio.

O subsegmento mais exposto aqui é o de seguradoras e entidades de proteção patrimonial mutualista, seguido por qualquer instituição que dependa de pagamentos instantâneos ou integrações com chaves Pix. Em ambos os casos, a mensagem é a mesma, a fragilidade cibernética pode ter consequências regulatórias e comerciais imediatas.

Argentina

A Argentina concentrou o debate público sobre fraude virtual. O La Nación informou mais de 200 denúncias mensais por golpes virtuais e o BCRA reforçou recomendações preventivas, especialmente contra pedidos de instalação de software e links recebidos por chat. Essa combinação é valiosa porque mostra o diálogo entre a autoridade monetária, a imprensa generalista e comportamentos reais de fraude que afetam contas bancárias.

Para a banca tradicional, a exposição principal está na interação com o cliente, na validação de identidade e no suporte a incidentes de engenharia social. Para as seguradoras, o problema aparece por caminhos parecidos, suplantação, pedidos de atualização de dados, falsas reclamações e manipulação de canais de contato. Não há no material uma grande brecha argentina específica do setor, mas há uma base persistente de risco em fraude de varejo.

Paraguai

O Paraguai trouxe contexto de maturidade setorial e exposição regional, embora com menos fatos diretamente incidentais sobre banca tradicional ou seguradoras. A ASOBAN anunciou sua convenção com foco em cibersegurança, proteção de dados e inovação tecnológica, e outra cobertura falou em novas estratégias de investimento na banca no marco dessa convenção. O jornal La Tribuna também mencionou regulação de ativos virtuais e a obrigação de reportar movimentações acima de 1.000 dólares.

Esse material sugere que o país está discutindo ativamente como blindar os setores financeiro e fintech contra o risco digital. Não é uma imagem de crise, mas de preparação institucional. Para uma leitura regional, o Paraguai aparece como um mercado em que a conversa sobre cibersegurança ainda convive com inovação e investimento, o que obriga a não separar negócio e controle.

Tendências e sinais a monitorar

Não há baseline comparativo do mês anterior no formato arquivado, então não cabe inventar uma variação quantitativa em relação a junho. Ainda assim, julho deixa vários sinais recorrentes que vale acompanhar de perto. O primeiro é a persistência da fraude por engenharia social. O BCRA, Banco de Bogotá, La Nación e ESET apontam para o mesmo problema, o usuário continua sendo o ponto de entrada preferencial e a identidade segue como o recurso mais atacado.

O segundo sinal é a maturação da frente regulatória. Colômbia, Peru e Brasil movimentaram regras ou guias com impacto direto sobre segurança, reporte de incidentes e governança de terceiros. Isso indica que compliance já não é uma função posterior ao incidente, e sim parte da arquitetura de segurança. Em especial, os prazos curtos de reporte no Peru e o marco de finanças abertas na Colômbia sugerem que as equipes de segurança terão de se coordenar muito melhor com jurídico, riscos e atendimento ao cliente.

O terceiro sinal é a diversificação da extorsão. O ransomware com BitLocker e bilhetes impressos em impressoras corporativas mostra um uso mais criativo da infraestrutura interna, e a existência de dois casos de tipificação incompleta lembra que a extorsão pode chegar com níveis distintos de evidência. Para bancos e seguradoras, isso obriga a não limitar a detecção a endpoints e backups, mas também a incluir monitoramento de impressão, credenciais privilegiadas e rastreabilidade de tarefas administrativas.

O quarto sinal é que a superfície de terceiros continua crescendo. As referências a finanças abertas, BaaS, transferências massivas de clientes e medidas sobre Pix mostram que a segurança do setor depende cada vez mais de relações externas. Nessa lógica, o risco já não se controla só com um perímetro, mas com contratos, APIs, onboarding de participantes e testes de continuidade compartilhada.

O quinto sinal, mais tático, é a vigência de vulnerabilidades críticas exploradas ativamente. As nove CVEs mencionadas no material não estão ligadas ao setor financeiro de forma direta, mas devem acionar prioridades de correção em qualquer ambiente com exposição pública ou dependências de terceiros. O dado mais útil aqui não é a soma, e sim a mistura, software de colaboração, desenvolvimento, administração de conteúdo e equipamentos de borda seguem aparecendo em catálogos de exploração ativa.

Recomendações para equipes de segurança

Primeiro, reforçar a camada de identidade. Em bancos e seguradoras, as campanhas de phishing e de impersonação mostram que o controle de acesso já não pode depender só de senha e segundo fator por SMS. Vale priorizar autenticação resistente a phishing, revisão do enrolamento de dispositivos, alertas de risco contextual e controles mais rígidos para mudanças sensíveis em contas, beneficiários e canais de contato.

Segundo, revisar os processos de comunicação com clientes. Os casos de Banco de Bogotá, o alerta do BCRA e as estafas virtuais reportadas por La Nación mostram que os atacantes exploram com facilidade a ambiguidade dos canais. As entidades deveriam padronizar mensagens, reduzir a variabilidade das comunicações e deixar claro o que nunca vão pedir por telefone, chat, e-mail ou redes. Se o cliente não consegue distinguir o emissor legítimo, a fraude encontra espaço.

Terceiro, levar o monitoramento além do endpoint. O caso de ransomware com impressoras corporativas mostra que a extorsão pode se materializar em ativos considerados secundários. Por isso, é preciso inventariar impressoras, equipamentos de rede, consoles de administração e serviços de impressão, além de aplicar segmentação e credenciais mínimas. A visibilidade sobre esses ativos costuma ser baixa até que o incidente aconteça.

Quarto, preparar melhor a resposta regulatória. O Peru exige comunicação de incidentes em 24 horas e aviso aos usuários em até 10 dias úteis, a Colômbia avança com finanças abertas e o Brasil com guias para supervisionadas. Isso obriga a ter modelos prontos, critérios de classificação, fluxo interno de aprovação e contato predefinido com reguladores e áreas de atendimento ao consumidor. Um incidente sem calendário de notificação vira um segundo incidente.

Quinto, revisar terceiros e ecossistemas. As regras de BaaS no Peru e as discussões sobre finanças abertas na Colômbia sugerem que uma parte importante do risco virá de integradores, recebedores e participantes do ecossistema. As entidades deveriam exigir evidências de controles, segmentar acessos por caso de uso, revisar a expiração de permissões e estabelecer processos de saída para terceiros com atividade anômala.

Sexto, acelerar a gestão de vulnerabilidades com exploração ativa. As nove CVEs do mês não são um inventário abstrato. São um lembrete de que as soluções expostas à internet, as plataformas de colaboração e o software de administração precisam entrar em ciclos de priorização mais agressivos. Nesse tipo de contexto, corrigir tarde equivale a deixar aberta uma porta que o atacante já viu no catálogo público.

Sétimo, fortalecer fraude e atendimento ao cliente como uma única capacidade. O mês mostrou que as denúncias por estafa, a engenharia social e as migrações de clientes têm impacto operacional imediato. As entidades deveriam unir fraude, segurança, jurídico e suporte para compartilhar sinais, acelerar ressarcimentos quando couber e conter campanhas de impersonação antes que escalem para uma crise reputacional.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com a lista de fontes autorizadas. Não foi usado internet nem incorporados fatos externos. Os fatos sem data confirmada foram excluídos dos indicadores do período, embora pudessem ser usados como contexto qualitativo quando a fonte era clara e o conteúdo ajudava na interpretação.

A janela temporal dos indicadores é a declarada no material, 66 fatos com data em julho de 2026 e 5 sem data confirmada excluídos dos indicadores. Os indicadores são reproduzidos exatamente como foram fornecidos e não devem ser reinterpretados como telemetria geral da região. Em particular, quando um indicador, como o de CVEs críticos, não descreve ausência total na América Latina, mas apenas o que foi registrado no material analisado, esse matiz deve ser mantido. Neste caso houve 9 CVEs críticos mencionados, mas se em outro período o valor fosse 0, isso significaria não registrado no material, não inexistente na região.

Também cabe distinguir entre incidentes com impacto confirmado e telemetria agregada. Os números da Check Point Research e os percentuais de detecções ou ataques semanais são tentativas ou bloqueios automatizados, não intrusões confirmadas. Por isso não são somados a incidentes nem usados como prova direta de aumento de impacto. Neste relatório, eles aparecem apenas como contexto, com a advertência explícita sobre sua natureza.

Foram excluídos como evidência de tendência os conteúdos patrocinados, publieditoriais e materiais de consumo que não estivessem na lista de fontes disponíveis. Também se evitou usar redes sociais ou publicações não autorizadas. Quando uma afirmação vem de uma fonte que a apresenta com incerteza, como a cobertura sobre multas em Córdoba ou o possível endurecimento do acesso ao Pix, ela foi tratada como atribuição jornalística e não como fato consolidado.

Marcadores de acompanhamento