Banca tradicional e seguradoras, Agosto de 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O material de agosto registrou quatro casos com ransomware ou extorsão como eixo principal. Em dois deles houve criptografia de ativos confirmada, e nos outros dois a fonte não permitiu determinar se houve criptografia ou apenas extorsão com ameaça de publicação. Não surgiu uma campanha dominante única, mas referências dispersas a grupos e reivindicações, com impacto mais visível na pressão econômica do que na interrupção prolongada de serviços bancários.

Para bancos e seguradoras, a leitura dessa categoria foi menos barulhenta que a do fraude, mas não menos importante. A ausência de um grande caso de criptografia confirmada no vertical não significa menor exposição. O que o mês mostra é que o ransomware seguiu presente como mecanismo de coerção e que o ecossistema financeiro regional continuou sujeito à extorsão, embora o material analisado nem sempre trouxesse detalhes técnicos suficientes para classificar cada episódio com precisão.

Fraude e phishing

A fraude foi a ameaça predominante do mês, com 44 ocorrências documentadas. A recorrência de campanhas de phishing, falsos bancos, deepfakes, SIM swapping, usurpação por chamadas, mensagens e QR confirma que o vetor mais lucrativo continuou sendo a engenharia social apoiada em canais de confiança. Não houve uma única técnica dominante, e sim uma combinação de táticas que se adaptam ao país, ao canal e ao perfil da vítima.

O padrão regional é consistente. Na Argentina, se misturaram avisos do BCRA, casos judiciais e entrevistas sobre páginas falsas. No Brasil, somaram-se instabilidade operacional, fraude por falsa central, exposição de dados de Pix e operações policiais. A Bolívia priorizou autenticação e denúncia por falsos créditos. Chile, Paraguai e Peru também mostraram um repertório amplo de usurpação e esvaziamento. A ameaça comum foi a exploração de credenciais, identidade e urgência.

APT e intrusão direcionada

O material do período não traz uma campanha APT claramente atribuída no eixo de bancos tradicionais e seguradoras. Aparecem episódios de fraude com credenciais internas, operações policiais por acesso indevido e casos de exposição de dados que podem alimentar intrusão posterior, mas não há base suficiente nas fontes fornecidas para falar de uma campanha avançada sustentada contra bancos ou seguradoras com atribuição técnica sólida.

Isso não diminui a importância do risco, porque o mês deixou sinais de preparação e de evolução tática. A combinação de dados expostos, acessos legítimos abusados e canais móveis vulneráveis cria um ambiente favorável para intrusão focalizada. Ainda assim, com o material disponível, a categoria dominante para o vertical continua sendo fraude, não intrusão avançada atribuída.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado de agosto de 2026. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que nenhuma apareceu nas fontes fornecidas para este relatório. A ênfase do mês esteve em fraude, autenticação, exposição de dados e conformidade, não em exploração de software identificada por CVE.

Regulação e conformidade

A regulação ocupou lugar central, e não só pela quantidade. Agosto registrou 25 movimentos regulatórios documentados, com mudanças relevantes na Argentina, Bolívia, Brasil, Chile, Colômbia e Peru. O tom comum foi claro: mais autenticação, mais reporte, mais controle de terceiros e mais capacidade de resposta diante de incidentes ou fraudes com impacto financeiro.

Argentina e o BCRA

Na Argentina, o BCRA publicou a Comunicación A 8438 e outra norma no Boletín Oficial, dentro de um pacote de comunicações regulatórias para entidades financeiras. O material não detalha o conteúdo completo na fonte citada, mas o enquadra como parte da atualização normativa do sistema. Só essa presença já indica continuidade regulatória em um mês dominado por fraude bancária e litígios.

A regulação argentina conviveu com uma onda de alertas sobre golpes por deepfake, phishing e esvaziamento de contas. Esse cruzamento importa porque a pressão judicial e a pressão normativa costumam andar juntas. Quando os tribunais passam a sustentar responsabilidade objetiva ou culpa concorrente, os reguladores tendem a reforçar expectativas de monitoramento, autenticação e gestão de incidentes. Agosto mostrou os dois planos ao mesmo tempo.

Bolívia e o duplo fator

A Bolívia avançou de forma visível em segurança digital. O SIN implementou autenticação em dois fatores para a Oficina Virtual e enquadrou a medida em padrões globais de cibersegurança. Além disso, habilitou canais de suporte para contingências ligadas ao novo esquema, o que sugere consciência sobre a fricção operacional que uma mudança de autenticação pode gerar. O BCB, por sua vez, denunciou falsos créditos com QR e esclareceu que não oferece empréstimos nem investimentos ao público.

A convergência entre autenticação e fraude é importante. O país não aparece apenas tentando endurecer controles, mas também acompanhando usuários que podem ficar bloqueados ou confusos com o salto de segurança. Para bancos e seguradoras, esse tipo de transição é útil porque antecipa um marco regional em que MFA e suporte ao usuário caminham juntos.

Brasil, Pix e cripto

O Brasil adicionou uma agenda regulatória intensa. O Banco Central foi citado em reportagens sobre novas regras de segurança para Pix e Drex, e sobre um sistema de alertas em tempo real para ameaças ligadas a criptoativos, em parceria com a Hypernative. Parte desses pontos vem de fontes corporativas ou de mercado, então vale lê-los como sinais de direção regulatória e tecnológica, e não como uma promessa consolidada de produto final.

A lógica regulatória, porém, é consistente. O regulador brasileiro reconhece pontos cegos, busca cobertura sobre o mercado cripto e reforça controles em meios de pagamento de massa. Essa combinação é relevante para o setor bancário porque antecipa um padrão mais alto de monitoramento de transações, prevenção de fraude e resiliência operacional. O incidente do Pix de 23 de agosto, embora não tenha sido um ataque, reforçou ainda mais essa agenda.

Chile e a nova lei de cibersegurança

O Chile foi um dos países com maior densidade normativa do mês. A Lei 21.663 e o Decreto 295 fixaram obrigações de reporte em três horas, atualização em 24 ou 72 horas conforme a criticidade, plano de ação em sete dias e relatório final em 15 dias. A ANCI entra como autoridade receptora junto com o CSIRT Nacional, e as multas por descumprimento podem escalar conforme a categoria da organização.

O material também mostra que as empresas classificadas como PSE e OIV estão acelerando projetos de monitoramento e resposta. Para bancos e seguradoras, isso é crítico, porque a conformidade já não se reduz a ter um documento, mas a conseguir reportar rápido, com evidências e capacidade de reconstruir a sequência do incidente. O Chile está marcando um padrão de maturidade que provavelmente acabará influenciando outros mercados da região.

Colômbia, alívio por desastre e reclamações financeiras

A Superintendência Financeira da Colômbia publicou projetos e medidas de alívio para devedores e segurados afetados pelo terremoto, junto com instruções para mitigar o impacto da situação de desastre sobre consumidores financeiros. O foco não é ciberataque, mas sim continuidade de serviço, tratamento de reclamações e resposta regulatória em uma conjuntura extrema.

Para seguradoras, esse bloco é especialmente relevante porque conecta sinistros, crédito e atendimento ao cliente. Quando o regulador prioriza mecanismos de reclamação expressa ou alívios, a operação interna precisa sustentar prazos curtos de resposta, rastreabilidade dos casos e consistência documental. Agosto deixou esse sinal em paralelo à agenda de fraude, o que mostra que o compliance financeiro regional ficou mais amplo e mais tático.

Peru e multas mais duras

No Peru, o material incorporou resoluções da SBS e reportagens sobre novas multas para bancos, AFP e seguradoras. Embora as fontes da lista não detalhem aqui o alcance completo de todas as resoluções, confirmam um movimento em direção a sanções mais fortes e a um ambiente de supervisão mais severo. Isso combina com a aparição de fraudes por ligações, mensagens, falsificação de voz e comprovantes falsos.

A relação entre regulação e ameaça é direta. Quando um regulador endurece multas e supervisão, o setor precisa demonstrar que entende o risco operacional e a fraude como uma única cadeia de controle. Em agosto, o Peru mostrou essa tensão com bastante clareza, sobretudo no ecossistema de pagamentos digitais e na banca de consumo.

Países e subsegmentos mais afetados

Argentina

A Argentina foi um dos focos mais densos do mês, tanto pelo volume de fraude quanto pela resposta judicial e regulatória. O material reúne alertas do BCRA sobre deepfakes, casos de phishing, decisões por SIM swapping, golpes via X e decisões judiciais que atribuem responsabilidade objetiva ou repartição de culpa entre banco e cliente. A isso se soma o aumento das denúncias por ciberfraude em CABA.

Nos subsegmentos, o impacto mais recorrente recaiu sobre bancos de varejo, home banking, carteiras digitais e cartões de crédito. A cobertura sobre clonagem de cartão com compras online fraudulentas mostra que o fraude clássico continua ativo, ainda que conviva com técnicas mais modernas. O caso argentino também coloca em primeiro plano a dimensão probatória: cada decisão parece exigir mais dos bancos para demonstrar que monitoraram e reagiram a tempo.

Brasil

O Brasil concentrou incidentes operacionais, exposições de dados, operações policiais e atualizações de segurança em Pix e cripto. A instabilidade do Pix, o incidente da Pefisa, a Operação Rastro, a Operação Klonen e o plano de alertas cripto compõem um mês de forte pressão sobre o sistema financeiro e seus fluxos de pagamento. Não é por acaso que o Banco Central apareceu em tantas coberturas.

O subsegmento mais pressionado foi o de meios de pagamento e banco digital, seguido pela frente de compliance e combate ao crime financeiro. A convivência entre fraude bancária eletrônica, lavagem de dinheiro e monitoramento on-chain sugere que o país está empurrando uma integração mais forte entre antifraude, AML e supervisão tecnológica. Para seguradoras, o impacto direto em volume é menor, mas relevante por continuidade operacional e pelo uso de canais digitais compartilhados.

Chile

O Chile combinou regulação forte e expansão da fraude digital. O Banco Central reportou cerca de US$98 milhões em operações desconhecidas ou denunciadas como fraudulentas durante o primeiro semestre de 2026, enquanto o país avançou na implementação da Lei Marco de Cibersegurança e em uma mesa nacional contra a fraude financeira transnacional. Essa dupla pressão, perda monetária e exigência legal, define bem o mês chileno.

Nos subsegmentos, bancos e meios de pagamento aparecem como os mais expostos, mas o impacto regulatório alcança todos os provedores de serviços essenciais e operadores de importância vital. A retirada do cartão de coordenadas em vários bancos e a transição para mecanismos de autenticação mais robustos mostram, além disso, uma migração estrutural na experiência do usuário financeiro.

Bolívia

A Bolívia apareceu com uma agenda mais concentrada em autenticação, denúncia de fraude e fortalecimento institucional. O SIN ativou o duplo fator, o BCB denunciou falsos créditos com QR, e a UIF se mostrou perto de sair da lista cinza do GAFI após avançar na correção de deficiências. Além disso, foi reportado o fortalecimento do CSIRT Bolivia como parte de uma estratégia mais ampla.

O subsegmento mais visível foi o tributário digital, mas a leitura se estende ao sistema financeiro em geral. A aposta em autenticação forte e estruturas setoriais de resposta antecipa uma região em que a banca deverá conviver com modelos mais formais de reporte e suporte. A Bolívia não teve a maior quantidade de fatos, mas sim vários de alto valor estrutural.

Paraguai

O Paraguai manteve um fluxo contínuo de esvaziamentos de contas, denúncias de roubo e alertas de prevenção. O material menciona casos de vítimas específicas, uma deputada denunciando um ciberataque, suspeitas de malware e notas de prevenção bancária. Embora o volume documental seja menor que em Argentina ou Brasil, a repetição dos fatos mostra uma exposição relevante do segmento de varejo.

O subsegmento mais afetado foi o de contas correntes e contas bancárias de pessoas físicas, com forte carga de engenharia social e sequestro de credenciais. A variedade de veículos que informam sobre o mesmo fenômeno indica que o tema já faz parte do consumo cotidiano de segurança financeira no país.

Peru

O Peru mostrou uma combinação de fraude em banco de consumo, ataques por chamadas e mensagens, e pressão regulatória sobre bancos, AFP e seguradoras. O surgimento de suplantação de voz, comprovantes falsos e identidades sintéticas nas coberturas de agosto sugere uma escalada técnica da engenharia social. É um sinal preocupante porque combina automação com exploração da confiança interpessoal.

O subsegmento segurador aparece menos por incidentes próprios e mais pelo marco regulatório e de compliance. A menção a multas mais duras e o contexto de fraudes bancárias ao cliente final exigem que o setor de seguros reforce validação, antifraude documental e controle de pagamentos. O vetor comum segue sendo a identidade, não apenas a infraestrutura.

Colômbia

A Colômbia não foi o país de maior volume de incidentes cibernéticos em bancos, mas sim um polo regulatório importante. A Superintendência Financeira publicou medidas vinculadas a desastre natural, créditos e seguros, e abriu projetos de carta circular e alívios para afetados. O sinal aqui é de resiliência operacional e resposta supervisora, mais do que de intrusão ou fraude bancária massiva no material analisado.

O subsegmento mais exposto é o segurador, pela natureza das medidas de alívio e reclamação. Para os bancos, a leitura é que compliance e atendimento ao consumidor vão estar cada vez mais regulados, mesmo fora de cenários de incidente cibernético. Isso obriga a integrar continuidade de negócio, atendimento em massa e evidência documental em um mesmo esquema operacional.

Tendências e sinais a monitorar

A comparação com julho mostra uma mudança forte de ritmo e de foco. Os fatos verificados passaram de 63 para 125, os fraudes ou phishing de 8 para 44 e os movimentos regulatórios de 19 para 25. O principal sinal não é só o aumento da atividade, mas a migração da agenda de uma dominância regulatória para uma dominância do fraude, com mais impacto visível sobre clientes e mais custo jurídico para instituições financeiras.

A estabilidade da contagem de ransomware, com quatro casos em ambos os meses, sugere que essa ameaça continuou presente, sem se tornar a história central do vertical. Já o fraude se expandiu com muito mais força e alcançou mais países e subsegmentos. Isso deve levar as equipes a priorizar campanhas táticas de conscientização, melhorias de autenticação e detecção de transferências atípicas, em vez de ler agosto como um mês centrado em malware destrutivo.

Também mudou a natureza do risco jurídico. As decisões argentinas e a combinação de relatórios, multas e regras no Chile mostram que juízes e reguladores estão menos dispostos a aceitar explicações genéricas. Se um banco não consegue demonstrar monitoramento, alerta, bloqueio ou resposta em tempo hábil, o custo já não é apenas reputacional. Ele também é judicial, administrativo e, em alguns casos, econômico direto.

Recomendações para equipes de segurança

As equipes de segurança de bancos e seguradoras devem encarar este mês como um sinal para endurecer a camada de identidade e a resposta a fraudes, não apenas os controles de infraestrutura. A prioridade imediata é revisar fluxos de autenticação, canais de suporte, monitoramento de transações, regras de detecção de anomalias e orientações de atendimento ao cliente diante de tentativas de falsificação por telefone, SMS, mensagens e vídeo.

Primeiro, vale reforçar as defesas contra SIM swapping, roubo de sessão e sequestro de identidade móvel. Os casos da Argentina mostram que um número de telefone comprometido pode ser suficiente para esvaziar contas ou acelerar transferências. Isso exige adicionar sinais de risco em trocas de dispositivo, cadastro de destinatários, substituição de SIM e transações urgentes para contas novas.

Segundo, a falsificação institucional precisa ser tratada como uma campanha recorrente. O golpe da falsa central bancária, os deepfakes do BCRA e os falsos créditos com QR têm a mesma base, exploram a confiança em uma marca e a pressão do tempo. A resposta não deve ficar restrita a campanhas gerais de conscientização, mas incluir mensagens curtas, repetíveis e específicas dentro do app, do call center e dos canais de reclamação.

Terceiro, o monitoramento antifraude e o de conformidade AML precisam de mais integração. A Operação Klonen e o caso brasileiro de fraude eletrônica mostram que o dinheiro roubado circula rápido e busca dispersão. Se o antifraude vê o evento, mas o AML chega tarde, o dano já aconteceu. A visibilidade cruzada entre equipes, junto com playbooks comuns, reduz esse descompasso.

Quarto, é essencial revisar a gestão de incidentes operacionais e de exposição parcial de dados. O caso Pefisa mostra que um vazamento limitado pode alimentar fraude posterior sem atingir chaves ou saldos. Isso obriga a monitorar o uso indevido de dados expostos, acelerar a notificação de possíveis afetados e ajustar regras de prevenção nos meses seguintes.

Quinto, os bancos e seguradoras que operam no Chile precisam preparar seus fluxos para o ciclo de reporte de 3, 24 ou 72, 7 e 15 dias, conforme a criticidade e o tipo de órgão. Não basta saber que existe a obrigação. É preciso praticar quem declara, quem consolida evidências, quem aprova as comunicações e quem mantém a rastreabilidade técnica e jurídica.

Sexto, o atendimento ao cliente precisa deixar de ser uma área periférica na resposta a fraudes. Agosto deixou claro que muitos ataques se resolvem ou pioram nesse ponto. Se o primeiro contato do cliente não consegue verificar, bloquear, escalar e documentar, a cadeia de defesa se rompe. A segurança real desse setor começa antes da transação e termina depois da reclamação.

Perguntas frequentes

O que obriga a reportar incidentes mais rápido entre Chile, Brasil e Argentina?

O Chile é o caso mais prescritivo no material, porque a Lei 21.663 e o Decreto 295 fixam alerta precoce em três horas, atualização em 24 ou 72 horas conforme a criticidade, plano de ação em sete dias e relatório final em 15. Na Argentina e no Brasil houve normas e alertas, mas as fontes fornecidas não detalharam um ciclo tão preciso.

Que tipo de fraude dominou o mês e quais países a mostraram com mais clareza?

A fraude e o phishing dominaram, com 44 fatos verificados. O padrão apareceu com muita clareza na Argentina, no Brasil, na Bolívia, no Chile, no Paraguai e no Peru, por meio de deepfakes, falsa central bancária, SIM swapping, falsos créditos com QR, suplantação por chamadas e mensagens, e esvaziamento de contas.

Houve ransomware com criptografia confirmada contra bancos ou seguradoras da região?

O material registrou quatro casos com ransomware ou extorsão como eixo principal, dois com criptografia de ativos confirmada e dois em que a fonte não permitiu determinar o impacto técnico. Nas fontes fornecidas, não aparecem casos claros de bancos ou seguradoras latino-americanas com criptografia verificada como evento principal do mês.

Qual país mostrou mais pressão regulatória sobre bancos digitais e pagamentos?

Brasil, Chile e Bolívia concentraram a pressão mais visível, embora por motivos diferentes. O Brasil reforçou o Pix e avançou em alertas cripto, o Chile endureceu o reporte de incidentes com a Lei 21.663 e a Bolívia ativou autenticação em dois fatores e denúncias por falsos créditos. Se o foco for o alcance operacional sobre pagamentos, Brasil e Chile se destacam.

O que um banco deve revisar primeiro para reduzir sua exposição a esses casos?

Primeiro, autenticação e detecção de mudanças de identidade, porque vários casos do mês exploraram SIM swapping, phishing, ligações falsas e suplantação. Segundo, monitoramento de transações atípicas e de novas altas de destinatários. Terceiro, roteiros de atendimento ao cliente e procedimentos de bloqueio, porque a resposta precoce foi decisiva nos casos mais visíveis.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para agosto de 2026 e apenas com fatos datados dentro desse mês. Não foi usada internet nem fontes externas fora da lista autorizada. Os indicadores reproduzem a base e a janela temporal declaradas acima, e não acrescentam telemetria de tentativas nem bloqueios automatizados, porque o material não trouxe cifras desse tipo.

Um indicador em zero, em particular o de CVEs críticos, significa que esse dado não foi registrado no material analisado de agosto de 2026, não que não tenham existido vulnerabilidades críticas exploradas na região. O mesmo vale para qualquer ausência temática. Ela reflete o corpus disponível, não a totalidade do risco real.

A classificação de ransomware e extorsão foi feita com cautela. Quando a fonte não permitiu distinguir entre criptografia, exfiltração ou mera menção em um leak site, essa incerteza foi consignada na análise. Também foram excluídas como evidência as redes sociais de consumo e publicações patrocinadas ou comerciais que não constam na lista de fontes habilitadas.

A janela temporal dos indicadores foi agosto de 2026. Os fatos de meses anteriores, incluindo comparações com julho, só foram usados para contraste e sempre com o mês correspondente explicitamente indicado. Os setores não são exclusivos, então um mesmo fato pode afetar mais de um subsegmento do vertical, especialmente quando mistura banco, telecomunicações, pagamentos e conformidade.