Bancos e seguros tradicionais, setembro de 2026

Ameaças e campanhas ativas

Fraude e phishing

A fraude foi, de longe, a principal ameaça do mês. Os 37 casos verificados ligados a fraude ou phishing mostram uma superfície ampla e diversa, que vai de golpes de falsificação de bancos a malware bancário, falsas financeiras, ataques com deepfake e fraude de benefícios. A dispersão dos casos sugere que não houve uma única campanha regional, mas várias famílias de abuso que compartilham técnicas de engenharia social, manipulação de identidade e captura de credenciais.

Na Argentina, Bolívia e Paraguai, a fraude passou muito pela falsificação de marca e pela oferta enganosa de créditos ou serviços. No México, o vetor principal foi o dispositivo móvel, os apps falsos e o malware voltado a transações não autorizadas. No Brasil, a fraude ficou mais técnica e automatizada, com foco em biometria facial, câmeras virtuais e conteúdo sintético. No Peru e na Colômbia, a fraude também se refletiu na forma como o regulador reorganiza suas regras de reporte e validação de identidade.

Há um traço comum que atravessa quase todos os casos do mês. O atacante busca encurtar a distância entre o usuário legítimo e o controle do processo. Já não basta roubar uma senha. É preciso interceptar o segundo fator, simular uma validação biométrica, enganar a central de atendimento, forçar uma transferência imediata ou inserir um documento falso em uma abertura de conta. Essa mudança de objetivo torna obsoletos vários controles criados para ameaças menos adaptativas.

Ransomware e extorsão

Não foram registrados casos de ransomware ou extorsão como eixo primário no material de setembro. Também não houve descrições verificáveis de criptografia de ativos, exfiltração com extorsão simples ou menção isolada em sites de vazamento que permitissem tipificar o impacto com precisão. A ausência dessa categoria no corpus não deve ser lida como ausência regional de ransomware, mas como ausência de fatos confirmados no material analisado.

Essa ausência é relevante porque muda a leitura de prioridades. Em meses com ransomware, a discussão costuma girar em torno de indisponibilidade, recuperação e negociação. Em setembro, porém, o centro foi a prevenção da fraude, a autenticação de identidade e a capacidade de reportar incidentes operacionais a tempo. Para bancos e seguradoras, isso significa que o risco dominante não foi a paralisação, mas a apropriação fraudulenta de contas, sessões e decisões.

APT e intrusão direcionada

O material de setembro não permitiu sustentar uma campanha APT ou de intrusão direcionada com precisão suficiente para este vertical. Houve menções a ataques contra sistemas de pagamentos e a organizações dos setores financeiro, varejista e de comércio eletrônico no Brasil, mas a fonte disponível não confirmou um banco tradicional ou uma seguradora afetada de forma individual. Por isso, o relatório não eleva esse material ao status de uma campanha APT consolidada.

A leitura prudente é que o ambiente de ataque, sim, apresenta atores capazes de usar IA e automação para acelerar intrusões, mas o material deste mês não foi suficiente para isolar uma campanha clássica de espionagem ou persistência voltada especificamente a bancos ou seguradoras. A pressão dominante segue sendo a fraude, não a intrusão silenciosa prolongada.

Vulnerabilidades críticas

Não foram registrados CVEs críticos no material analisado de setembro de 2026. Isso não significa ausência de vulnerabilidades críticas exploradas na região, apenas que elas não apareceram nas fontes verificadas do mês.

Regulação e conformidade

A agenda regulatória do mês foi intensa, embora menos numerosa que em agosto. Na Argentina, a Comunicação A 8471 do BCRA formalizou a gestão do risco de fraude para instituições financeiras e provedores de pagamento, com obrigações sobre estruturas, políticas, designação de responsáveis e definição de apetite de risco. O valor da norma está em transformar a fraude em um componente explícito do risco operacional e vinculá-la a produtos, serviços e canais digitais.

O mesmo país teve outra decisão relevante, porque o BCRA anunciou que, a partir de setembro de 2026, colocará à disposição dos administradores de transferências imediatas informações públicas para fortalecer a análise e o monitoramento de fraude. Isso aponta para uma leitura mais precisa de perfis de risco e para um uso mais intensivo de dados na prevenção. Para as equipes de conformidade, a mensagem é que a prevenção não se limita ao monitoramento posterior, mas entra na lógica de cadastro de clientes e revisão periódica.

Na Bolívia, o governo aprovou o Decreto Supremo 5693, que flexibiliza regras aplicáveis a entidades de intermediação financeira para resguardar sua solvência. Também foi informado um decreto que atribuiu funções de registro, reporte, supervisão, controle e acompanhamento de determinados certificados à ASFI. A isso se soma o compromisso, no âmbito de um programa apoiado pelo FMI, de desenvolver um marco de regulação e supervisão de ativos virtuais para reduzir riscos de saídas ilícitas de capital e proteger a resiliência financeira.

Na Colômbia, a SIC abriu uma consulta pública sobre validação de identidade e tratamento de dados pessoais, enquanto a Superintendência Financeira lembrou que seu espaço de experimentação controlada, LaArenera, serve para identificar riscos e gerar evidências para fortalecer supervisão e regulação. O fio condutor é claro, o regulador quer mais capacidade para validar tecnologias de identidade e para entender o efeito da inovação financeira sobre o risco.

No Peru, a SBS propôs um procedimento único para reportar incidentes operacionais, com reportes iniciais, intermediários e finais. A consulta é relevante para bancos, seguradoras e fundos de pensão, porque unifica critérios que antes estavam separados por tipo de incidente. Para compliance e gestão de crises, isso significa reorganizar manuais internos, fluxos de escalonamento e responsabilidades entre operações, tecnologia, risco e jurídico.

No Paraguai, o debate regulatório foi marcado pelo pedido de informações do Senado ao BCP sobre entidades financeiras, controles de segurança da informação e supostos fraudes cibernéticas. Embora não seja uma norma nova, trata-se de um evento de compliance em sentido amplo, porque aumenta a exposição pública do supervisor e obriga o sistema a explicar sua capacidade de resposta. Em paralelo, o banco central divulgou recomendações de segurança digital para o uso de canais eletrônicos.

Países e subsegmentos mais afetados

Brasil

O Brasil foi o país com maior densidade de fatos ligados a fraude, biometria, deepfakes e ações policiais. O subsegmento mais atingido foi o de banca digital e onboarding, seguido por pagamentos e esquemas de benefício. O mercado segurador também apareceu, pela via do ciberseguro e da análise de riscos associados ao fraude avançado. A combinação de cobertura regulatória, operacional e policial faz do Brasil o principal laboratório regional do mês.

Os fatos no Brasil mostram um mercado em que a identidade está no centro do conflito. Deepfakes, câmeras virtuais, clonagem de voz e técnicas de injeção direta miram quebrar a confiança na biometria facial como única barreira. Ao mesmo tempo, a resposta do Estado se expressa em controles mais fortes, mais rastreabilidade e mais investigação coordenada. Essa dinâmica dupla dá ao país um lugar central no mapa de setembro.

Argentina

A Argentina se destacou pela clareza da regulação e pelo enquadramento da fraude como risco operacional. A banca tradicional e os provedores de pagamento ficaram sujeitos a um esquema de implementação que começa com a Comunicación A 8471 e se articula com a disponibilização de informação pública pelo BCRA para monitorar transferências imediatas. O subsegmento mais afetado é o de pagamentos e transferências, onde a velocidade das operações e o nível de digitalização elevam a exposição.

No país, não houve uma longa lista de incidentes, mas sim uma resposta normativa concreta que provavelmente influenciará o restante do mercado. O fato de a análise de risco alcançar produtos, serviços, processos e canais digitais obriga bancos e PSPs a rever modelos de controle, e não apenas casos isolados. Para o setor, a Argentina encerra o mês como um caso de maturidade regulatória.

México

O México mostrou uma forte carga de fraude bancária associada a dispositivos móveis, apps falsas e ataques de engenharia social. A CONDUSEF e a ABM reforçaram alertas sobre precauções diante de malware capaz de capturar credenciais e controlar equipamentos, e a estatística de reclamações por cobranças ou transferências não reconhecidas continuou alta. O subsegmento mais sensível é a banca de consumo e seu canal móvel.

A relevância do México não está em um único incidente, mas na persistência do problema e na diversidade de vetores. As coberturas apontam para um ecossistema em que a fraude se apoia na instalação de software malicioso, na suplantação de apps e no abuso da confiança do usuário. Isso torna a educação preventiva e o monitoramento do dispositivo peças centrais de controle.

Colômbia

A Colômbia se destacou pela interação entre regulação de identidade digital e preocupação securitária. A SIC abriu uma consulta pública que atinge entidades financeiras e de crédito, enquanto a Superintendência Financeira colocou o foco em cibersegurança, fraude e terceiros no setor segurador. O subsegmento afetado é duplo, de um lado a validação de identidade em serviços financeiros, de outro a gestão de risco em seguradoras.

A chave na Colômbia é que o debate não gira apenas em torno de ataques, mas sobre como verificar identidade e quais padrões devem reger essa verificação. Isso pode acabar impactando onboarding, recuperação de conta, assinatura remota e acesso a apólices ou produtos de crédito. A discussão regulatória é, por si só, parte da superfície de risco.

Paraguai

O Paraguai mostrou um mês de pressão institucional sobre o sistema financeiro, com pedidos de informação sobre supostos fraudes cibernéticos e reuniões de alto nível entre autoridades e bancos. O subsegmento mais exposto é a banca tradicional, especialmente as entidades sujeitas a questionamentos sobre controles e resposta. Embora não tenha havido um grande incidente técnico confirmado, a carga política e reputacional foi alta.

A isso se somaram os alertas preventivos do BCP sobre pedidos de dados e ligações urgentes por bloqueios de conta. A mensagem está alinhada à tendência regional, a fraude nem sempre chega como intrusão visível, mas como abuso de confiança e urgência. O Paraguai aparece, assim, como um país em que a governança do sistema ficou sob observação.

Peru

O Peru combinou estatística penal alta com uma proposta regulatória que afeta diretamente bancos, seguradoras e pensões. O subsegmento mais relevante é o de reporte de incidentes operacionais, porque a SBS busca unificar e acelerar a notificação de eventos significativos. Além disso, as denúncias por fraude informática e suplantação de identidade continuam mostrando um padrão de abuso sustentado sobre usuários e entidades.

A reforma proposta é importante porque alinha a resposta do supervisor com a realidade operacional de incidentes que já não podem ser classificados de forma simples. Para seguradoras e bancos, a mudança exige preparar capacidades de detecção precoce, documentação e escalada. O Peru não encerra o mês com um grande incidente isolado, mas com uma arquitetura regulatória mais exigente.

Tendências e sinais a monitorar

A primeira sinal a monitorar é a queda do volume total em relação a agosto, de 125 para 83 fatos, sem que isso signifique alívio do risco. A principal ameaça continuou sendo fraude, com 37 fatos documentados, apenas sete a menos que no mês anterior. Ou seja, caiu a quantidade de notícias, mas não mudou o centro de gravidade do risco para bancos e seguradoras.

O segundo sinal é a forte queda dos movimentos regulatórios, de 25 em agosto para 7 em setembro. Essa baixa não expressa desinteresse, mas uma transição da formulação para a implementação e a consulta pública. Na Argentina e no Peru, sobretudo, as normas novas ou em consulta sugerem que outubro e novembro podem mostrar mais trabalho de adequação interna do que anúncios de política.

O terceiro sinal é o avanço das ameaças baseadas em identidade. Deepfakes, biometria facial, câmeras virtuais, clonagem de voz e chamadas mascaradas aparecem em diferentes países com linguagens distintas, mas com a mesma lógica, romper controles de autenticação. O relevante não é só que essas técnicas existam, mas que já estão entrando no perímetro dos bancos e, por extensão, nos processos que as seguradoras usam para validar clientes e sinistros.

O quarto sinal é que vários supervisores já tratam a fraude como risco operacional, não como um abuso pontual. Isso altera expectativas de reporte, rastreabilidade, governança e prazos. O contraste com agosto também é útil: no mês anterior houve mais fatos e mais regulação, mas setembro consolidou uma narrativa mais precisa sobre fraude como principal vetor e sobre a necessidade de padronizar o reporte de incidentes.

Recomendações para equipes de segurança

Os times de segurança de bancos e seguradoras devem tratar setembro como um mês de ajuste de controles de identidade, não como um simples período de conscientização. A prioridade imediata é revisar toda a jornada de autenticação, da abertura de clientes à operação recorrente, porque a fraude observada não se limita ao acesso inicial. Ela atravessa transferências, validações biométricas e recuperação de credenciais.

Também vale reforçar sinais de risco do dispositivo e do canal. Os casos do México mostram que o celular comprometido continua sendo uma porta de entrada central. Isso exige integrar telemetria de endpoint móvel, detecção de overlays, controle de integridade de apps, verificação de comportamento e fricção dinâmica em transações de alto risco. Se o canal não consegue distinguir entre usuário legítimo e ambiente manipulado, a perda acontece mesmo com a senha correta.

Outro ponto é elevar o padrão de autenticação multimodal. A evidência do Brasil indica que a biometria facial sozinha já não basta quando há deepfakes, injeção direta ou reutilização de validações. Os times devem combinar rosto com sinais de contexto, risco transacional, validações cruzadas e controles antiabuso sobre troca de dispositivo, aberturas remotas e movimentos incomuns. A recomendação não é abandonar a biometria, e sim parar de tratá-la como prova suficiente.

Em paralelo, os responsáveis por fraude e compliance precisam revisar seus prazos de notificação e escalonamento. A SBS peruana e o BCRA argentino estão pressionando por reportes mais rápidos e mais estruturados, o que na prática exige playbooks prontos, responsáveis definidos e evidências reunidas desde o início do evento. Se a organização demora para classificar um incidente, também demora para contê-lo e para atender ao regulador.

Para o negócio de seguros, a lição é parecida, mas com outra nuance. É preciso revisar terceiros, qualidade de dados e continuidade operacional com mais atenção, porque esses foram justamente os riscos apontados pela Superintendência Financeira da Colômbia. As seguradoras que dependem de modelos analíticos, integrações com bancos ou fluxos de documentação digital precisam testar o que acontece quando a identidade falha, quando o fornecedor cai ou quando uma fraude altera a validade de um dado.

Por fim, vale fortalecer a inteligência de ameaças focada em fraude, não apenas em malware. O mês mostrou uma convergência entre engenharia social, falsificação de identidade, automação e manipulação da confiança. As áreas de segurança devem monitorar campanhas de falsas financeiras, abuso de marca, chamadas mascaradas, tentativas de abertura de contas e rotas de fraude ligadas a benefícios, pagamentos e transferências imediatas.

Perguntas frequentes

Quais mudanças regulatórias cruzam banco e seguros no mês?

Argentina, Peru e Colômbia concentraram as mudanças mais úteis para os dois setores. O BCRA formalizou regras antifraude para instituições financeiras e provedores de pagamento, a SBS peruana propôs um reporte único de incidentes operacionais para bancos, seguros e pensões, e a SIC colombiana abriu uma consulta sobre validação de identidade e dados pessoais.

Qual técnica de fraude ficou mais exposta diante da biometria facial?

O Brasil mostrou que o maior problema já não é só a foto ou o vídeo falso, mas a injeção direta, as câmeras virtuais e a reutilização de validações. Isso se conecta com a biometria facial discutida por InfoMoney e com o golpe do sósia descrito por Agência Brasil, em que o objetivo é burlar todo o processo de identidade.

Como muda o reporte de incidentes para instituições financeiras e seguradoras?

No Peru, a SBS propôs substituir relatórios separados por um reporte único de incidentes operacionais, com prazos iniciais de até duas horas para algumas empresas e de até cinco horas para bancos e outras entidades. Isso reúne continuidade, cibersegurança e operação em um mesmo circuito de notificação.

Qual é a relação entre fraude digital e supervisão bancária no Paraguai?

O Paraguai mostrou que a fraude não ficou só no plano técnico. O Senado pediu informes ao BCP sobre controles, sanções e supostas fraudes cibernéticas, enquanto o banco central respondeu com recomendações para operar com meios digitais. A discussão combinou reputação, controles e capacidade institucional do supervisor.

O que um CISO de seguradora deveria monitorar além da fraude bancária?

Ele deveria monitorar qualidade de dados, dependência de terceiros e continuidade operacional. Essa combinação aparece na leitura da Superintendência Financeira da Colômbia para o setor segurador e se conecta ao risco de identidade, onboarding e uso de modelos analíticos. Não se trata só de ataques, mas de falhas que alteram a confiança na informação.

Limitações do material

Este relatório foi construído exclusivamente com os fatos verificados fornecidos para setembro de 2026 e com as fontes listadas como citáveis. Não foram usados fatos de outros meses para a contagem do período, embora tenha sido incorporada a comparação explícita com o mês anterior, conforme os indicadores já fornecidos.

A janela temporal dos indicadores é a declarada na base do relatório, 83 fatos com data em setembro de 2026. Quando são citadas cifras acumuladas de janeiro a julho ou de outros períodos, isso ocorre apenas como contexto descritivo e não como volume do mês. As cifras de outras janelas não foram somadas ao período de setembro.

Um indicador em zero, em particular o de CVEs críticos, significa que não foram registrados no material analisado, e não que não existam vulnerabilidades críticas exploradas na região. O mesmo se aplica à linha de ransomware e extorsão, que não teve casos tipificáveis no corpus deste mês.

Também ficaram fora da base de análise as telemetrias agregadas de tentativas ou bloqueios, porque não foram fornecidas cifras metodologicamente consolidadas para convertê-las em incidentes. Foram excluídas, além disso, redes sociais de consumo e publicações patrocinadas que não figuram entre as fontes habilitadas para citação.