Bancos e seguros tradicionais, Outubro 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um informa sua base e seu critério de contagem, para que os números se conciliem entre os módulos. São a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 59 fatos datados em outubro de 2026. Os fatos de meses anteriores são usados apenas como contexto comparativo na análise, nunca como volume deste período.

Resumo executivo do mês

Outubro deixou um sinal dominado por fraude digital em bancos tradicionais e seguradoras da América Latina, com 26 casos entre 57 verificados no período. O retrato do mês combina campanhas de impersonação, créditos falsos, manipulação de credenciais e alertas regulatórios na Argentina, Bolívia, Chile, Colômbia, México, Paraguai e Uruguai, além de ausência total de ransomware classificável no material analisado.

A intensidade não foi uniforme, mas foi persistente. Houve 6 incidentes sem tipificação, 26 casos documentados de fraude ou phishing e 2 movimentos regulatórios claramente identificados, com uma leitura regional de risco alta pelo volume de enganos, pela abrangência geográfica e pela exposição direta de instituições financeiras e seguradoras a técnicas de engenharia social. A maior parte dos fatos não descreve invasões de infraestrutura crítica, e sim exploração do canal humano e dos processos de onboarding, pagamentos ou autenticação.

A Argentina concentrou uma combinação relevante de alertas oficiais e discussão regulatória. O BCRA reforçou sua atividade de prevenção à lavagem de dinheiro e de análise de novas ameaças junto com a UIF, enquanto diferentes veículos repercutiram o impacto da Comunicação A 8471, voltada a organizar relatórios de fraude, responsabilidades internas e rastreabilidade dos valores reconhecidos ao cliente. Em paralelo, foram descritas fraudes por ligações, golpes contra aposentados e exposição a modalidades que exploram a confiança em bancos, carteiras digitais e canais digitais.

O Chile teve uma das agendas mais ativas do mês, não por uma brecha maior na infraestrutura, mas pelo avanço de medidas de autenticação reforçada, denúncias da CMF contra entidades e sites que ofereciam créditos ou cobravam adiantamentos, e alertas sobre a suficiência real dos fatores de autenticação diante do phishing. A discussão regulatória ficou cruzada por um risco concreto, que é a captura de credenciais e o desvio de fluxos antes que o usuário perceba a manobra.

Bolívia, Uruguai, Paraguai, México e Colômbia trouxeram sinais distintos, mas coerentes com a mesma tendência. Na Bolívia, a polícia e o Banco Unión descreveram links falsos, apps bancários fraudulentos, clonagem de voz com IA e um volume diário elevado de tentativas. No Uruguai, o BCU endureceu a autenticação em dois fatores e ajustou controles sobre operações eletrônicas. No Paraguai e no México predominaram golpes de crédito e impersonação de instituições, enquanto na Colômbia surgiram campanhas de phishing em grande escala e domínios falsos que imitavam marcas financeiras.

Panorama regional do mês

O risco regional de outubro ficou em nível alto porque o mês reuniu muitos casos verificados, dispersão geográfica e uma ameaça dominante que afeta diretamente os fluxos de dinheiro, a identidade dos clientes e a confiança nas marcas financeiras. Não houve escalada confirmada de ransomware nem de extorsão com criptografia, mas houve continuidade operacional de fraude digital e de falsificação de entidades, com impacto potencial sobre contas, empréstimos, cartões e processos de cadastro de clientes.

A distribuição por país mostra um padrão repetido: os atacantes usam canais de baixo custo e grande alcance, como WhatsApp, Telegram, e-mail, ligações telefônicas, sites clonados e anúncios em redes sociais. Em vários casos, o objetivo não era apenas roubar credenciais, mas forçar pagamentos antecipados, induzir depósitos para saques inexistentes ou instalar malware que viabilizasse transferências não autorizadas. Esse padrão conecta varejo bancário, carteiras digitais, gateways de pagamento e, em alguns casos, seguradoras e serviços financeiros não bancários.

A frente regulatória também se movimentou. Uruguai e Chile reforçaram exigências de autenticação e reporte, enquanto a Argentina avançou na revisão de relatórios de operações suspeitas e na coordenação com a UIF. A Colômbia apareceu com obrigações de notificação de incidentes relevantes, e o restante da região seguiu olhando para o mesmo problema por ângulos distintos, como exigir mais controles sem comprometer a usabilidade nem abrir brechas na experiência do cliente.

O sinal geral deste mês é que a fraude está se industrializando mais rápido do que a resposta homogênea do ecossistema. As evidências do período não mostram uma grande operação de ransomware contra bancos ou seguradoras, mas sim um ecossistema maduro de golpes que combina engenharia social, automação, IA generativa, clones de marca e mecanismos de pagamento ou verificação pensados para mover dinheiro antes da intervenção de um analista.

Indicadores do período

Incidentes relevantes

Comunicação A 8471 e a virada antifraude na Argentina

O sinal mais importante na Argentina não foi um incidente isolado, mas a consolidação de uma resposta normativa e operacional em torno da fraude bancária. O BCRA informou reuniões com entidades financeiras sobre supervisão e qualidade dos Reportes de Operações Suspeitas, além de mesas de trabalho com a UIF e atores do sistema para analisar novas ameaças e fortalecer capacidades preventivas diante de fluxos financeiros ilícitos. Isso coloca fraude e lavagem no mesmo plano de supervisão, com foco em rastreabilidade e resposta precoce.

Dentro desse marco, a VU descreveu que a Comunicação A 8471 exigirá canais para reportar fraudes e uma base única de reportes com dados como valores reconhecidos ao cliente, com aplicação a partir de 1 de dezembro de 2026 para entidades financeiras e gradualidade até setembro de 2027 para provedores de contas de pagamento. Essa arquitetura sugere que o regulador quer reduzir a dispersão de informações e melhorar a capacidade de observar padrões.

A Palermonline acrescentou que a norma incorpora estratégias, responsabilidades, práticas antifraude e relatórios trimestrais ao conselho, embora parte das mudanças comece em 1 de dezembro. A leitura operacional é clara, a fraude deixa de ser apenas um tema de atendimento ao cliente e passa a ser um risco de governança corporativa. Em termos de controle, isso obriga a melhorar os circuitos internos entre fraude, compliance, riscos e tecnologia.

Golpes contra aposentados, ligações e contas esvaziadas

O ecossistema argentino também mostrou em outubro uma camada social de fraude muito visível. Um veículo local descreveu uma modalidade em que criminosos se passam pelo BCRA, bancos ou carteiras digitais por meio de ligações que alegam problemas com uma conta. A orientação oficial atribuída era cortar o contato e verificar por canais oficiais obtidos de forma independente, uma recomendação básica, mas necessária em campanhas de vishing.

A cobertura da iProUP somou dois sinais relevantes, embora ambos devam ser lidos com cautela metodológica. Por um lado, mencionou que nove em cada dez idosos teriam sido expostos a golpes virtuais. Por outro, informou uma sentença que ordenou ao Banco Provincia indenizar uma aposentada de 75 anos após um golpe ligado a um anúncio no TikTok. O material não permite verificar de forma independente a pesquisa nem todos os pontos da decisão, mas reflete um padrão de abuso sobre usuários com maior vulnerabilidade digital.

No mesmo mês, outro relatório citado pelo El Observador indicou que os reportes de fraude recebidos pelo regulador aumentaram 150% depois de reforçadas as obrigações de informação. O número não deve ser lido como crescimento equivalente do crime, e sim como maior volume de denúncias registradas. Essa ressalva é importante porque mostra que parte da variação observável pode decorrer de melhor captura de eventos, e não de uma explosão real de ataques.

Bolívia, simulação de crise e fraude com IA

A Bolívia trouxe um dos sinais mais completos do mês pelo cruzamento entre alertas policiais, trabalho setorial e estimativas de pressão operacional. Banco Unión, Whalemate e a Associação de Bancos Privados organizaram o CiberLATAM Connect 2026 em La Paz, com palestras e uma simulação de crise para fortalecer a resposta e a coordenação diante de um eventual ciberataque. A presença de uma mesa de coordenação setorial é coerente com um mercado que percebe a fraude como um problema compartilhado, e não como uma soma de casos isolados.

A Polícia boliviana alertou sobre links enviados por WhatsApp e Telegram, aplicativos bancários fraudulentos, clonagem de voz por inteligência artificial e ameaças usadas para obter informações pessoais e acessar contas bancárias. Esse alerta é relevante porque combina técnicas já conhecidas com uma nova camada de falsificação de voz, algo que pode aumentar a credibilidade de uma tentativa de vishing quando o atacante usa amostras de áudio ou conteúdo sintético.

Em paralelo, um subgerente nacional de Segurança da Informação do Banco Unión estimou que as tentativas de ataque contra instituições financeiras podiam chegar a entre 1.000 e mais de 10.000 por dia. Esse número pertence à telemetria ou a uma estimativa de volume de tentativas, não a incidentes com impacto confirmado, e não deve ser somado ao total de ocorrências. Ainda assim, serve para entender a pressão diária que as defesas enfrentam, sobretudo se o mix inclui phishing, suplantação por redes sociais e roubo de credenciais.

Chile e o endurecimento da autenticação

O Chile foi outro foco central, tanto pela estrutura regulatória quanto pela atividade da CMF contra operadores irregulares. Uma cobertura informou que, desde 1 de agosto de 2026, já eram exigíveis determinados casos de uso obrigatórios de Autenticação Reforçada de Clientes sob a Norma de Caráter Geral N.º 538, aplicada a operações sujeitas à Lei N.º 20.009. Em paralelo, outra nota lembrou que a mesma norma estabelece requisitos de segurança e autenticação reforçada para determinadas operações eletrônicas.

O debate técnico, porém, não se esgota no cumprimento formal. A Netprovider alertou que uma autenticação reforçada não equivale necessariamente a uma autenticação resistente a phishing, porque um código de uso único gerado por um aplicativo ainda pode ser interceptado por meio de um proxy de adversário no meio. O Diario Constitucional levantou uma preocupação semelhante quanto à captura de um fator de posse por vishing. A leitura é que cumprir a norma não elimina, por si só, o risco de engenharia social avançada.

A CMF também denunciou ao Ministério Público três entidades que ofereciam crédito pela internet e que, segundo os antecedentes reunidos, solicitavam pagamentos antecipados sem entregar os fundos prometidos. Em outra cobertura, o órgão denunciou três sites por suposta estafa vinculada a créditos online e emitiu alertas sobre os aplicativos APP MICRO CRÉDITO e APP TESORO CASH, apontados como ligados a técnicas extorsivas e cobranças usurárias. Isso mostra um vetor clássico, o crédito falso, que segue funcionando porque monetiza a urgência financeira do usuário.

Colômbia e a escalada de suplantação de marcas

A Colômbia mostrou uma campanha de fraude digital especialmente visível pela escala e pela infraestrutura usada para sustentá-la. A Impacto TIC reportou uma operação que utilizava 288 domínios falsos para suplantar 47 marcas, incluindo entidades financeiras, carteiras digitais, arrecadadores de pagamentos e empresas de serviços públicos. A publicação atribuiu a descoberta a uma empresa de cibersegurança, e o caso é relevante porque combina diversidade de marcas com uma infraestrutura ampla e persistente.

A cobertura da Semana acrescentou que o conjunto inicialmente detectado teria passado de 51 domínios para 288, com 246 endereços IP e 29 sistemas autônomos. Esses dados vêm de uma atribuição de inteligência de ameaças e não descrevem, por si só, um impacto financeiro confirmado, mas refletem uma operação preparada para escalar e absorver derrubadas parciais. Também foi indicado que o código usado para suplantar 15 entidades financeiras poderia incluir mecanismos para capturar dados biométricos por meio de fotos ou vídeos, um detalhe que eleva o risco de apropriação de identidade.

Em outra frente, o El País Cali informou que o Banco de Bogotá alertou sobre fraudes que combinam mensagens de texto, ligações e links maliciosos para suplantar entidades reconhecidas e obter dados confidenciais. O aviso não confirma uma intrusão na infraestrutura do banco, mas sublinha que o problema está na imitação da marca e na captura do usuário, e não na queda dos sistemas corporativos.

México, Paraguai e o mesmo padrão de créditos falsos

O México mostrou uma continuidade clara da fraude por suplantação de instituições financeiras. A CONDUSEF alertou sobre casos de suplantação por meio de ligações telefônicas, mensagens de WhatsApp, e-mails e páginas na internet que aparentam ser oficiais. A López-Dóriga acrescentou a recomendação de verificar o registro e a coincidência de dados da entidade no SIPRES, além de desconfiar de pagamentos antecipados. A combinação de canais é típica, o atacante insiste por várias vias até quebrar a prudência do usuário.

O Ámbito México informou que a CONDUSEF vinculou a suplantação a quatro financeiras e descreveu contatos por telefone, WhatsApp e e-mail, em um contexto de ofertas de créditos falsos e celulares a prestações. O Imparcial, por sua vez, detalhou uma campanha de e-mails com falsos comprovantes fiscais em PDF que podiam instalar trojans capazes de desviar dinheiro de bancos online, e acrescentou recomendações para validar notas fiscais no portal do SAT. Nos dois casos, o ganho do atacante depende da urgência, da confiança e do hábito de abrir anexos.

O Paraguai teve dois fatos especialmente sensíveis. A Tribuna relatou um golpe baseado em anúncios falsos em redes sociais que prometiam créditos pré-aprovados para pessoas reportadas no Informconf, redirecionavam as vítimas ao Telegram e exigiam pagamentos antecipados. O BCP esclareceu que não concede empréstimos nem contata particulares para oferecer serviços ou solicitar dados confidenciais. Mais tarde, a Superintendência de Valores alertou que a Broker Mercosul não está registrada nem autorizada como corretora, e apontou um esquema que usava sites, Telegram e uma suposta licença da extinta Comisión Nacional de Valores.

Brasil e as transações não autorizadas com cartões

O Brasil trouxe um caso de fraude mais próximo da monetização direta por transações não autorizadas. A Polícia Civil de Brasília e da Bahia informou prisões em uma investigação sobre movimentos eletrônicos realizados com dados de aproximadamente 400 cartões de crédito de clientes de uma instituição financeira cooperativa. O prejuízo estimado foi de 3 milhões de reais, uma magnitude que já não se limita à tentativa, mas a um dano econômico concretizado.

O valor desse caso está em mostrar a persistência da fraude com cartões em um ambiente em que o foco costuma estar em transferências instantâneas ou apps de pagamento. O material disponível não detalha o vetor técnico exato, mas confirma que a reutilização de dados de cartões segue rentável quando o atacante consegue combinar credenciais, comércio eletrônico e baixa fricção na validação. Para o setor segurador, esse tipo de fraude tem implicações indiretas pelo aumento de reclamações, disputas e custos de prevenção.

Uruguai e o endurecimento dos controles sobre operações eletrônicas

O Uruguai fechou o mês com uma reforma que amplia a autenticação e ordena novos controles sobre operações digitais. Desde 1 de outubro de 2026, vigoram disposições da Circular 2.497 do Banco Central do Uruguai que ampliam a obrigação de autenticação em dois fatores para o acesso a canais digitais, transferências ou pagamentos a terceiros a partir de contas bancárias, solicitações não presenciais de empréstimos, compras não presenciais com cartões e acesso, modificação ou atualização de dados sensíveis.

Além disso, a Circular 2.497 estabelece controles para detectar operações irregulares, incluindo alertas diante de tentativas de modificar dados sensíveis e controles sobre dispositivos e locais usados em operações eletrônicas. O BCU também registrou 32.399 incidentes de cibersegurança no primeiro semestre de 2026, ante 17.014 no mesmo período de 2025. Essa comparação não descreve outubro em si, mas ajuda a entender por que o regulador endurece o perímetro de autenticação e observabilidade.

A Ferrere atribui as principais mudanças a uma resolução e uma circular de 2025 e 2026, enquanto a Telenoche mencionou exceções para transferências entre contas do mesmo titular, contatos de confiança e pagamentos de transporte público, embora essa aplicabilidade exata exija confirmação no texto oficial. O El País Uruguay acrescentou que a autenticação multifator se vincula a uma diminuição de determinados incidentes, embora sem uma metodologia suficiente para quantificar o efeito. O dado útil para o setor é que a mudança regulatória busca fechar brechas de uso cotidiano, e não apenas endurecer acessos de alto risco.

Ameaças e campanhas ativas

Fraude e phishing

Fraude e phishing foram a ameaça predominante do mês e o eixo em torno do qual se concentram os fatos mais verificáveis. Não se trata apenas de e-mails ou mensagens enganosas, mas de campanhas que combinam múltiplos canais para reforçar a credibilidade da falsificação. Os casos de outubro mostram ao menos quatro subtipos recorrentes: vishing, smishing, phishing com anexos e suplantação de plataformas ou marcas financeiras por meio de sites falsos e apps clonados.

O padrão mais repetido foi o da urgência financeira. Na Argentina, ligações que simulavam problemas com uma conta buscavam tirar o usuário do canal legítimo. No Chile, supostas ofertas de crédito online pediam pagamentos antecipados. No Paraguai, anúncios prometiam empréstimos a pessoas registradas no Informconf e levavam ao Telegram. No México, falsos comprovantes fiscais em PDF podiam instalar trojans e abrir caminho para o desvio de dinheiro desde o internet banking. O objetivo muda de forma, mas não de fundo, capturar o processo antes que ele chegue ao banco.

Também apareceu uma sofisticação crescente na suplantação de identidade e na possível captura biométrica. O caso colombiano do Shadow Parasite sugere que a operação não apenas imitava marcas, mas também podia tentar coletar dados biométricos. Na Bolívia, a polícia alertou sobre clonagem de voz com IA. E, no ambiente corporativo dos Estados Unidos, o Bank of America recomendou não compartilhar senhas bancárias com assistentes de IA por risco de uso não autorizado ou vazamento. Embora esse último caso não seja uma incidência regional, ele mostra a direção do problema, que é a expansão da fraude para interações mediadas por IA.

Ransomware e extorsão

Não houve casos de ransomware ou extorsão tipificados como eixo primário no material analisado de outubro. Também não surgiram fatos em que a fonte permitisse distinguir criptografia de ativos, exfiltração sem criptografia ou apenas menção em um leak site. Essa ausência não deve ser lida como inexistência regional, mas como falta de casos verificáveis dentro do corpus do mês.

O único caso próximo ao conceito de extorsão foi a cobertura chilena sobre supostos aplicativos de crédito que, segundo a notícia, teriam combinado pressões de cobrança e mecanismos usurários. Ainda assim, o material disponível não descreve um ransomware nem uma extorsão técnica sobre ativos corporativos. Para bancos e seguradoras, a leitura de risco é que o foco operacional do mês se deslocou para fraude na entrada, e não para interrupção por criptografia.

APT e hacktivismo

Não foram identificados fatos verificáveis de APT ou hacktivismo como eixo principal no material de outubro para bancos tradicionais e seguradoras na América Latina. Também não há indícios, no corpus fornecido, de campanhas com motivação política ou de longa permanência direcionadas a esse vertical. O sinal mais visível continua sendo econômico, não ideológico.

Mesmo sem APTs visíveis, convém não subestimar a camada de automação e agentes de IA mencionada em várias notas. O debate sobre CyberCartel, os relatos de mais de 400 objetivos na região e os chamados de organismos multilaterais para reforçar salvaguardas diante da fraude habilitada por IA apontam para uma fronteira que pode migrar de campanhas de fraude para ataques mais complexos. Por ora, porém, essa hipótese não tem confirmação suficiente no material analisado.