Banca tradicional y aseguradoras — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión

La evidencia más sólida del mes en esta categoría es el caso de Kaspersky sobre Colombia y México, con cifrado confirmado mediante BitLocker y notas de rescate impresas en equipos corporativos. Ese patrón confirma una extorsión con impacto operativo real, porque el cifrado de activos vuelve indisponibles sistemas y altera la continuidad del negocio. La aparición de impresoras corporativas como canal de presión es un indicador de madurez ofensiva, no porque el mecanismo sea sofisticado en sí mismo, sino porque aprovecha activos subestimados para amplificar el daño.

El resto de los casos de la categoría no permite precisar si hubo cifrado o solo reivindicación. Para un informe mensual, esta diferencia importa mucho. En términos defensivos, una organización financiera debería asumir que la extorsión puede empezar antes del cifrado, seguir con exfiltración y culminar en interrupción. La secuencia no siempre es lineal, pero sí obliga a revisar segmentación, credenciales de privilegio, capacidad de restauración y monitoreo de impresión y servicios de administración remota.

Fraude y phishing

El fraude digital fue una de las señales más consistentes del período. El informe de ESET, citado por Infobae, ubica al phishing como el vector más frecuente en América Latina, con afectación al 73% de las organizaciones encuestadas. La misma cobertura remarca que el social engineering sigue siendo uno de los métodos más efectivos para obtener credenciales o instalar malware. Ese dato encaja con el resto del material, desde las recomendaciones del BCRA sobre enlaces por chat hasta las advertencias de Banco de Bogotá por llamadas, SMS y correos falsos.

En paralelo, ACIS citó cifras de Asobancaria sobre más de 218.000 reclamaciones por fraude en canales digitales en el primer semestre de 2025 en Colombia, lo que da contexto al peso de las estafas sobre el sistema. Aunque esa cifra sea de otro período, sirve como referencia cualitativa de la magnitud del problema en el país. En Perú, la SBS advirtió sobre aplicaciones de préstamos que usan técnicas extorsivas para cobrar, una mezcla de fraude, presión psicológica y abuso de datos personales que suele salir del perímetro bancario tradicional pero afecta directamente a consumidores de servicios financieros.

APT e intrusión dirigida

No hubo en el material del mes una campaña APT clásica atribuida a un grupo con objetivo financiero específico y persistencia confirmada sobre banca o seguros. La señal más cercana es StrikeShark, que sí se presenta como campaña activa contra organizaciones de la región, pero el material provisto no alcanza para clasificarla con precisión como APT en sentido estricto. En un análisis editorial riguroso, eso no debe forzarse.

Sí hay, en cambio, una convergencia de interés ofensivo sobre el sector financiero por el valor de sus datos, la urgencia de sus procesos y la dependencia de terceros. Eso aparece en los reportes sobre phishing, en la discusión sobre finanzas abiertas y en la preocupación por plataformas con debilidades de ciberseguridad que podrían quedar restringidas, según la cobertura sobre Pix en Brasil. El vector puede no ser APT en sentido doctrinario, pero la presión sostenida sobre identidad, integraciones y autorizaciones sí es clara.

Vulnerabilidades críticas

Las nueve vulnerabilidades críticas mencionadas en el material no están ligadas de forma explícita a un incidente financiero latinoamericano del mes, pero sí forman parte del contexto técnico que los equipos de banca y seguros deben asumir como relevante. Cuando CISA coloca una falla en KEV por explotación activa, la lectura operativa en una entidad financiera regional debería ser inmediata, inventario, exposición externa, priorización de parcheo y revisión de reglas de detección. Esto es especialmente importante para soluciones perimetrales, herramientas de colaboración y componentes web expuestos a clientes o integradores.

En julio, además, el boletín semanal de CISA para la semana del 20 de julio de 2026 resumió actualizaciones de vulnerabilidades del período. Aunque la fuente no se expande sobre todos los detalles en el material disponible, su sola inclusión refuerza la necesidad de mantener una cadencia de gestión de parches alineada con la exposición de internet. En banca y aseguradoras, las vulnerabilidades con explotación activa no deberían tratarse como un tema de infraestructura general, sino como un factor directo de continuidad y fraude, porque muchas intrusiones empiezan con un salto desde una superficie pública mal corregida.

Regulación y cumplimiento

Julio fue, ante todo, un mes regulatorio. El caso más visible fue Colombia, donde la Superintendencia Financiera publicó para comentarios el Proyecto de Circular Externa 10 de 2026 con plazo hasta el 10 de agosto, para actualizar las reglas del sistema de finanzas abiertas en atención al Decreto 368 de 2026. El proyecto prevé que las entidades vigiladas que ya operen esquemas o casos de uso bajo la Circular Externa 004 de 2024 tendrán hasta el 7 de abril de 2027 para adecuarse a las nuevas instrucciones. Además, la propia publicación organiza el nuevo capítulo en tres secciones, disposiciones generales, tratamiento de datos y directorio de participantes.

Ese diseño no es menor. En la práctica, las finanzas abiertas obligatorias elevan el peso de la gobernanza de datos, la autorización granular y la trazabilidad de participantes. Para bancos tradicionales y aseguradoras que interactúan con ecosistemas de terceros, la amenaza ya no es solo el robo de credenciales, sino la gestión correcta de quién accede a qué datos, bajo qué base legal y con qué mecanismos de reporte. La SFC acompañó ese movimiento con una carta circular fechada el 27 de julio y con un boletín institucional de MinHacienda que celebró el decreto que formaliza el marco de finanzas abiertas obligatorias.

También en Colombia, el Congreso promulgó la Ley Estatutaria 2573 de 2026, enfocada en fortalecer la protección de víctimas de suplantación de identidad para adquirir créditos, productos financieros o servicios. La norma obliga a las entidades a demostrar los mecanismos usados para verificar la identidad antes de aprobar una operación. Para el sector financiero, eso es una señal muy clara, el estándar probatorio sobre autenticación deja de ser informal y pasa a ser parte del riesgo legal, no solo del riesgo de fraude.

Brasil aportó otra pieza importante. Susep divulgó un Manual de Orientaciones sobre Seguridad Cibernética para las entidades supervisadas, con carácter orientativo y destinado a apoyar la implementación de requisitos mínimos ya previstos en la regulación vigente. El manual aplica a aseguradoras, resseguradores locales, entidades abiertas de previdencia complementar, sociedades de capitalización, cooperativas de seguros y administradoras de operaciones de protección patrimonial mutualista, e incorpora orientaciones sobre gobernanza, gestión de riesgos, protección de datos, continuidad de negocios, incidentes, tercerización y nube. Además, se apoya en las Resoluciones CNSP 416/2021, 491/2026 y 492/2026, y en las Circulares Susep 638/2021 y 700/2024.

La cobertura sobre Pix en Brasil agregó una señal de supervisión potencialmente más dura. Folha de S.Paulo informó que el Banco Central evalúa restringir el acceso al Pix a instituciones con debilidades de ciberseguridad, con posibles límites de horario, días o monto, o incluso la prohibición de registrar nuevas claves Pix. El material lo presenta como una medida en estudio, no como norma aprobada, pero aun así revela un umbral regulatorio más exigente frente a instituciones vulnerables. Para la banca, ese tipo de enfoque puede transformarse en una presión reputacional fuerte, porque afecta el acceso a una infraestructura de pago masivo.

Perú completó el bloque más robusto de compliance. La SBS emitió la Resolución SBS 01741-2026, que establece la obligación de informar públicamente cualquier incidente de ciberseguridad dentro de las 24 horas de conocido el evento. La misma norma fija que las entidades deben comunicar a los usuarios afectados el incidente y las acciones correctivas adoptadas en un plazo de hasta 10 días hábiles. Otra cobertura añadió que algunas disposiciones sobre comunicación de incidentes y contratación digital entran en vigor 360 días después de la publicación, mientras que la atención humana aplica desde el 3 de julio de 2026. En paralelo, la SBS advirtió sobre apps de préstamos que usan técnicas extorsivas para cobrar, un mensaje que conecta ciberseguridad, protección al consumidor y control de prácticas abusivas.

El bloque regulatorio regional se completa con el frente de BaaS en Perú. La SBS exige políticas y procedimientos aprobados por el directorio, con evaluación previa de receptores, monitoreo periódico, gestión de riesgos, criterios de salida y mecanismos de reporte y escalamiento. Además, identifica de manera expresa riesgos de crédito, operacional, ciberseguridad y lavado de activos/financiamiento del terrorismo, y exige un listado actualizado de receptores reportado semestralmente y publicado en el sitio web de la entidad. Para los equipos de cumplimiento, esto obliga a mapear no solo proveedores críticos, sino también receptores y terceros con capacidad de alterar la superficie de riesgo.

Países y subsegmentos más afectados

Colombia

Colombia fue probablemente el país con mayor densidad de hechos regulatorios y operativos durante el mes. La SFC concentró varias publicaciones sobre finanzas abiertas, el Congreso avanzó con la Ley 2573 de 2026 sobre suplantación de identidad, y Banco de Bogotá emitió advertencias específicas por intentos de fraude en la transición de clientes de Itaú. A eso se suman las referencias a más de 3.000 ciberataques semanales en empresas colombianas según Infobae, y la mención de Colombia dentro de la campaña StrikeShark y de los casos de ransomware con BitLocker y notas impresas.

El patrón colombiano es muy claro, la discusión pública se mueve entre protección del consumidor, regulación de datos, supervisión financiera y riesgo operativo real. Para banca tradicional, el punto más sensible es la autenticación y la verificación de identidad. Para aseguradoras, la lectura no es menor, porque cualquier ampliación de finanzas abiertas o de intercambio de datos tiende a impactar también los procesos de suscripción, atención y gestión de siniestros, especialmente cuando hay integraciones con terceros.

Perú

Perú mostró un mes de endurecimiento normativo y advertencias directas a usuarios y entidades. La SBS fijó el deber de reporte público de incidentes a 24 horas y el aviso a usuarios en hasta 10 días hábiles, mientras que otras disposiciones sobre comunicación de incidentes y contratación digital se escalonaron en el tiempo. La autoridad también advirtió sobre aplicaciones de préstamos con técnicas extorsivas para cobrar. En el plano de BaaS, el enfoque sobre directorio, evaluación previa de receptores y monitoreo periódico refuerza la idea de que el ecosistema financiero digital debe estar mucho más documentado.

Aunque el material peruano no presenta una gran brecha puntual en banca o seguros, sí construye una señal institucional fuerte. El problema de fondo es que el regulador está empujando al mercado a tratar la ciberseguridad como proceso reportable y auditable, no solo como tecnología. Eso obliga a las entidades a consolidar evidencias, tiempos de detección, criterios de notificación y coordinación con áreas legales y de atención al cliente.

Brasil

Brasil aportó la señal más directa sobre el sector asegurador. El manual de Susep es relevante por su alcance y por su lenguaje de implementación, porque aterriza principios de seguridad cibernética sobre entidades supervisadas con una lista concreta de temas, gobernanza, riesgo, datos, continuidad, incidentes, tercerización y nube. El otro frente brasileño, el posible endurecimiento de acceso al Pix para instituciones vulnerables, apunta a la infraestructura de pagos y a la relación entre seguridad y habilitación de negocio.

El subsegmento más expuesto aquí es el de aseguradoras y entidades de protección patrimonial mutualista, seguido por cualquier institución que dependa de pagos instantáneos o integraciones con claves Pix. En ambos casos, la señal es la misma, la debilidad cibernética puede tener consecuencias regulatorias y comerciales inmediatas.

Argentina

Argentina concentró el discurso público sobre fraude virtual. La Nación informó más de 200 denuncias mensuales por estafas virtuales y el BCRA reforzó recomendaciones preventivas, especialmente contra pedidos de instalación de software y enlaces recibidos por chat. Esa combinación es valiosa porque muestra el diálogo entre autoridad monetaria, prensa generalista y conductas reales de fraude que afectan cuentas bancarias.

Para banca tradicional, la exposición principal está en la interacción con el cliente, la validación de identidad y el soporte a incidentes de ingeniería social. Para aseguradoras, el problema aparece por caminos parecidos, suplantación, pedidos de actualización de datos, falsos reclamos y manipulación de canales de contacto. No hay en el material una gran brecha argentina específica del sector, pero sí una base persistente de riesgo en fraude minorista.

Paraguay

Paraguay aportó contexto de madurez sectorial y exposición regional, aunque menos hechos directamente incidentales sobre banca tradicional o aseguradoras. ASOBAN anunció su convención con foco en ciberseguridad, protección de datos e innovación tecnológica, y otra cobertura habló de nuevas estrategias de inversión en la banca en el marco de esa convención. La Tribuna también mencionó regulación de activos virtuales y la obligación de reportar movimientos que superen 1.000 dólares.

Ese material sugiere que el país está discutiendo activamente cómo blindar sectores financieros y fintech frente al riesgo digital. No es una foto de crisis, pero sí de preparación institucional. Para una lectura regional, Paraguay aparece como un mercado donde la conversación sobre ciberseguridad todavía convive con innovación e inversión, lo que obliga a no separar negocio y control.

Tendencias y señales a monitorear

No hay baseline comparativo del mes anterior en el formato archivado, así que no corresponde inventar una variación cuantitativa respecto de junio. Aun así, julio deja varias señales repetidas que conviene seguir de cerca. La primera es la persistencia del fraude por ingeniería social. El BCRA, Banco de Bogotá, La Nación y ESET apuntan a un mismo problema, el usuario sigue siendo el punto de entrada preferido y la identidad sigue siendo el recurso más atacado.

La segunda señal es la maduración del frente regulatorio. Colombia, Perú y Brasil movieron reglas o guías con impacto directo sobre seguridad, reporte de incidentes y gobierno de terceros. Eso indica que el cumplimiento ya no es una función posterior al incidente, sino parte de la arquitectura de seguridad. En particular, los plazos cortos de reporte en Perú y el marco de finanzas abiertas en Colombia sugieren que los equipos de seguridad deberán coordinarse mucho mejor con legal, riesgos y atención al cliente.

La tercera señal es la diversificación de la extorsión. El ransomware con BitLocker y notas impresas en impresoras corporativas marca un uso más creativo de la infraestructura interna, y la existencia de dos casos de tipificación incompleta recuerda que la extorsión puede llegar con distintos niveles de evidencia. Para banca y seguros, esto obliga a no limitar la detección a endpoints y backups, sino a sumar monitoreo de impresión, credenciales privilegiadas y trazabilidad de tareas administrativas.

La cuarta señal es que la superficie de terceros sigue creciendo. Las referencias a finanzas abiertas, BaaS, transferencias masivas de clientes y medidas sobre Pix muestran que la seguridad del sector depende cada vez más de relaciones externas. En esa lógica, el riesgo ya no se controla solo con un perímetro, sino con contratos, APIs, onboarding de participantes y pruebas de continuidad compartida.

La quinta señal, más táctica, es la vigencia de vulnerabilidades críticas explotadas activamente. Las nueve CVEs mencionadas en el material no están vinculadas al sector financiero de forma directa, pero sí deben activar prioridades de parcheo en cualquier entorno con exposición pública o dependencias de terceros. El dato más útil acá no es la suma, sino la mezcla, software de colaboración, desarrollo, administración de contenido y equipos de borde siguen apareciendo en catálogos de explotación activa.

Recomendaciones para equipos de seguridad

Primero, reforzar la capa de identidad. En bancos y aseguradoras, las campañas de phishing y suplantación muestran que el control de acceso ya no puede depender solo de contraseña y segundo factor por SMS. Conviene priorizar autenticación resistente a phishing, revisión de enrolamiento de dispositivos, alertas de riesgo contextual y controles más estrictos para cambios sensibles en cuentas, beneficiarios y canales de contacto.

Segundo, revisar los procesos de comunicación con clientes. Los casos de Banco de Bogotá, la advertencia del BCRA y las estafas virtuales reportadas por La Nación muestran que los atacantes explotan con facilidad la ambigüedad de los canales. Las entidades deberían estandarizar mensajes, reducir la variabilidad de comunicaciones y publicar con claridad qué nunca pedirán por teléfono, chat, correo o redes. Si el cliente no puede distinguir al emisor legítimo, el fraude encuentra espacio.

Tercero, llevar el monitoreo más allá del endpoint. El caso de ransomware con impresoras corporativas demuestra que la extorsión puede materializarse en activos considerados secundarios. En consecuencia, hay que inventariar impresoras, equipos de red, consolas de administración y servicios de impresión, además de aplicar segmentación y credenciales mínimas. La visibilidad sobre esos activos suele ser baja hasta que ocurre el incidente.

Cuarto, preparar mejor la respuesta regulatoria. Perú exige comunicación de incidentes en 24 horas y aviso a usuarios en hasta 10 días hábiles, Colombia avanza con finanzas abiertas y Brasil con guías para supervisadas. Eso obliga a tener plantillas, criterios de clasificación, ruta de aprobación interna y contacto predefinido con reguladores y áreas de consumidor. Un incidente sin calendario de notificación se vuelve un segundo incidente.

Quinto, revisar terceros y ecosistemas. Las reglas de BaaS en Perú y las discusiones de finanzas abiertas en Colombia sugieren que una parte importante del riesgo vendrá por integradores, receptores y participantes del ecosistema. Las entidades deberían exigir evidencia de controles, segmentar accesos por caso de uso, revisar expiración de permisos y establecer procesos de salida para terceros con actividad anómala.

Sexto, acelerar la gestión de vulnerabilidades con explotación activa. Las nueve CVEs del mes no son un inventario abstracto. Son un recordatorio de que las soluciones expuestas a internet, las plataformas de colaboración y el software de administración deben entrar en ciclos de priorización más agresivos. En este tipo de contexto, parchear tarde equivale a dejar abierta una puerta que el atacante ya vio en el catálogo público.

Séptimo, fortalecer fraude y atención al cliente como una sola capacidad. El mes mostró que las denuncias por estafa, la ingeniería social y las migraciones de clientes tienen un impacto operativo inmediato. Las entidades deberían unir fraude, seguridad, legal y soporte para compartir señales, acelerar reintegros cuando corresponda y contener campañas de suplantación antes de que escalen a crisis reputacional.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con la lista de fuentes autorizadas. No se utilizó internet ni se incorporaron hechos externos. Los hechos sin fecha confirmada quedaron excluidos de los indicadores del período, aunque pudieron usarse como contexto cualitativo cuando la fuente era clara y el contenido resultaba útil para la interpretación.

La ventana temporal de los indicadores es la declarada en el material, 66 hechos con fecha en julio de 2026 y 5 sin fecha confirmada excluidos de los indicadores. Los indicadores se reproducen exactamente como fueron provistos y no deben reinterpretarse como telemetría general de la región. En particular, cuando un indicador, como el de CVEs críticos, no describe ausencia total en América Latina sino solo lo registrado en el material analizado, ese matiz debe mantenerse. En este caso sí hubo 9 CVEs críticos mencionados, pero si en otro período el valor fuera 0, eso significaría no registrado en el material, no inexistente en la región.

También corresponde distinguir entre incidentes con impacto confirmado y telemetría agregada. Las cifras de Check Point Research y los porcentajes de detecciones o ataques semanales son intentos o bloqueos automatizados, no intrusiones confirmadas. Por eso no se suman a incidentes ni se usan como prueba directa de aumento de impacto. En este informe se mencionan solo como contexto, con la advertencia explícita de su naturaleza.

Quedaron excluidos como evidencia de tendencia los contenidos patrocinados, publirreportajes y materiales de consumo que no estuvieran en la lista de fuentes disponibles. También se evitó usar redes sociales o publicaciones no autorizadas. Cuando una afirmación proviene de una fuente que la presenta con incertidumbre, como la cobertura sobre multas en Córdoba o el posible endurecimiento del acceso al Pix, se la trató como atribución periodística y no como hecho consolidado.

Marcadores de seguimiento