Banca tradicional y aseguradoras — Agosto 2026

Amenazas y campañas activas

Ransomware y extorsión

El material de agosto registró cuatro casos con ransomware o extorsión como eje primario. En dos de ellos hubo cifrado de activos confirmado, y en los otros dos la fuente no permitió determinar si existió cifrado o solo extorsión con amenaza de publicación. No apareció una campaña dominante única, sino referencias dispersas a grupos y reivindicaciones, con impacto más visible en el terreno de la presión económica que en la interrupción prolongada de servicios bancarios.

Para banca y aseguradoras, la lectura de esta categoría fue menos ruidosa que la del fraude, pero no menos importante. La ausencia de un gran caso de cifrado confirmado en el vertical no significa menor exposición. Lo que muestra el mes es que el ransomware siguió presente como mecanismo de coerción y que el ecosistema financiero regional continuó sujeto a extorsión, aunque el material analizado no diera siempre detalles técnicos suficientes para clasificar cada episodio con precisión.

Fraude y phishing

El fraude fue la amenaza predominante del mes, con 44 hechos documentados. La recurrencia de campañas de phishing, falsos bancos, deepfakes, SIM swapping, suplantación por llamadas, mensajería y QR confirma que el vector más rentable siguió siendo la ingeniería social apoyada en canales de confianza. No hubo una sola técnica dominante, sino una combinación de tácticas que se adaptan al país, al canal y al perfil de la víctima.

El patrón regional es consistente. En Argentina se mezclaron avisos del BCRA, casos judiciales y entrevistas sobre páginas falsas. En Brasil se sumaron instabilidad operativa, fraude por falsa central, exposición de datos de Pix y operaciones policiales. Bolivia priorizó autenticación y denuncia por falsos créditos. Chile, Paraguay y Perú mostraron también un repertorio amplio de suplantación y vaciamiento. La amenaza común fue la explotación de credenciales, identidad y urgencia.

APT e intrusión dirigida

El material del período no ofrece una campaña APT claramente atribuida en el eje banca tradicional y aseguradoras. Sí aparecen episodios de fraude con credenciales internas, operaciones policiales por acceso indebido y casos de exposición de datos que pueden alimentar intrusión posterior, pero no hay suficiente base en las fuentes provistas para hablar de una campaña avanzada sostenida contra bancos o aseguradoras con una atribución técnica sólida.

Eso no resta importancia al frente de riesgo, porque el mes dejó señales de preparación y de evolución táctica. La combinación de datos expuestos, accesos legítimos abusados y canales móviles vulnerables crea un entorno favorable para intrusión focalizada. Aun así, con el material disponible, la categoría dominante para el vertical sigue siendo fraude, no intrusión avanzada atribuida.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado de agosto de 2026. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región, solo que ninguna apareció en las fuentes provistas para este informe. El énfasis del mes estuvo en fraude, autenticación, exposición de datos y cumplimiento, no en explotación de software identificada por CVE.

Regulación y cumplimiento

La regulación ocupó un lugar central y no solo por cantidad. Agosto dejó 25 movimientos regulatorios documentados, con cambios relevantes en Argentina, Bolivia, Brasil, Chile, Colombia y Perú. El tono común fue claro: más autenticación, más reporte, más control de terceros y más capacidad de reacción ante incidentes o fraudes con impacto financiero.

Argentina y el BCRA

En Argentina, el BCRA publicó la Comunicación A 8438 y otra norma en el Boletín Oficial, dentro de un paquete de comunicaciones regulatorias para entidades financieras. El material no detalla el contenido completo en la fuente citada, pero sí la ubica como parte de la actualización normativa del sistema. Esa sola presencia ya marca continuidad regulatoria en un mes dominado por fraude bancario y litigios.

La regulación argentina convivió con una ola de advertencias sobre estafas por deepfake, phishing y vaciamiento de cuentas. Ese cruce importa porque la presión judicial y la presión normativa suelen ir juntas. Cuando los tribunales empiezan a sostener responsabilidad objetiva o culpa concurrente, los reguladores suelen reforzar expectativas de monitoreo, autenticación y gestión de incidentes. Agosto mostró ambos planos al mismo tiempo.

Bolivia y el doble factor

Bolivia avanzó de forma visible en seguridad digital. El SIN implementó doble factor de autenticación para la Oficina Virtual y lo enmarcó en estándares globales de ciberseguridad. Además, habilitó canales de soporte para contingencias vinculadas al nuevo esquema, lo que sugiere conciencia sobre la fricción operativa que puede generar un cambio de autenticación. El BCB, a su vez, denunció falsos créditos con QR y aclaró que no ofrece préstamos ni inversiones al público.

La convergencia entre autenticación y fraude es importante. El país no aparece solo tratando de endurecer controles, sino también de acompañar a usuarios que podrían quedar bloqueados o confundidos por el salto de seguridad. Para banca y seguros, este tipo de transición es útil porque anticipa un marco regional donde el MFA y el soporte de usuario van de la mano.

Brasil, Pix y cripto

Brasil sumó una agenda regulatoria intensa. El Banco Central fue citado en coberturas sobre nuevas reglas de seguridad para Pix y Drex, y sobre un sistema de alertas en tiempo real para amenazas vinculadas con criptoactivos, en alianza con Hypernative. Algunas de esas piezas provienen de fuentes corporativas o de mercado, por lo que conviene leerlas como señales de dirección regulatoria y tecnológica, no como una promesa consolidada de producto final.

La lógica regulatoria, sin embargo, es consistente. El regulador brasileño reconoce puntos ciegos, busca cobertura sobre el mercado cripto y refuerza controles en medios de pago masivos. Esa combinación es relevante para el vertical bancario porque adelanta un estándar más alto de monitoreo de transacciones, prevención de fraude y resiliencia operativa. El incidente del Pix del 23 de agosto, aunque no fuera un ataque, reforzó todavía más esa agenda.

Chile y la nueva ley de ciberseguridad

Chile fue uno de los países con mayor densidad normativa del mes. La Ley 21.663 y el Decreto 295 fijaron obligaciones de reporte en tres horas, actualización a 24 o 72 horas según criticidad, plan de acción en siete días y reporte final en 15 días. La ANCI entra como autoridad receptora junto con el CSIRT Nacional, y las multas para incumplimientos pueden escalar en función de la categoría de la organización.

El material también muestra que las empresas calificadas como PSE y OIV están acelerando proyectos de monitoreo y respuesta. Para banca y aseguradoras esto es crítico, porque el cumplimiento ya no se reduce a tener un documento, sino a poder reportar rápido, con evidencia y con capacidad de reconstruir la secuencia del incidente. Chile está marcando un estándar de madurez que probablemente termine influyendo en otros mercados de la región.

Colombia, alivio por desastre y reclamos financieros

La Superintendencia Financiera de Colombia publicó proyectos y medidas de alivio para deudores y asegurados afectados por el terremoto, junto con instrucciones para mitigar el impacto de la situación de desastre sobre consumidores financieros. El foco no es ciberataque, pero sí continuidad de servicio, tratamiento de reclamos y respuesta regulatoria en una coyuntura extrema.

Para aseguradoras, este bloque es especialmente relevante porque conecta siniestros, créditos y atención al cliente. Cuando el regulador prioriza mecanismos de quejas exprés o alivios, la operación interna debe poder sostener tiempos de respuesta cortos, trazabilidad de casos y consistencia documental. Agosto dejó esa señal en paralelo a la agenda de fraude, lo que muestra que el compliance financiero regional se volvió más amplio y más táctico.

Perú y multas más duras

En Perú, el material incorporó resoluciones SBS y coberturas sobre nuevas multas para bancos, AFP y aseguradoras. Aunque las fuentes del listado no detallan aquí el alcance completo de todas las resoluciones, sí confirman un movimiento hacia sanciones más fuertes y hacia un entorno de supervisión más severo. Eso encaja con la aparición de fraudes por llamadas, mensajes, suplantación de voz y comprobantes falsos.

La relación entre regulación y amenaza es directa. Cuando un regulador endurece multas y supervisión, el sector debe demostrar que entiende el riesgo operativo y el fraude como una sola cadena de control. En agosto, Perú mostró esa tensión con bastante claridad, sobre todo en el ecosistema de pagos digitales y banca de consumo.

Países y subsegmentos más afectados

Argentina

Argentina fue uno de los focos más densos del mes, tanto por volumen de fraude como por respuesta judicial y regulatoria. El material reúne alertas del BCRA sobre deepfakes, casos de phishing, fallos por SIM swapping, estafas por X y decisiones judiciales que asignan responsabilidad objetiva o reparto de culpas entre banco y cliente. A eso se suma el crecimiento de denuncias por ciberfraude en CABA.

En términos de subsegmentos, el golpe más repetido fue sobre banca minorista, home banking, billeteras y tarjetas de crédito. La cobertura de clonación de tarjeta con compras online fraudulentas muestra que el fraude clásico sigue vivo, aunque conviva con técnicas más modernas. El caso argentino también pone en primer plano la dimensión probatoria: cada fallo parece exigir más a los bancos para demostrar que monitorearon y reaccionaron a tiempo.

Brasil

Brasil concentró incidentes operativos, exposiciones de datos, operaciones policiales y actualizaciones de seguridad en Pix y cripto. La instabilidad del Pix, el incidente de Pefisa, la Operação Rastro, la Operação Klonen y el plan de alertas cripto componen un mes de alta presión sobre el sistema financiero y sus flujos de pago. No es casual que el Banco Central haya ocupado tantas coberturas.

El subsegmento más tensionado fue el de medios de pago y banca digital, seguido por el frente de cumplimiento y anticrimen financiero. La coexistencia de fraude bancario electrónico, lavado de dinero y monitoreo on-chain sugiere que el país está empujando una integración más fuerte entre antifraude, AML y supervisión tecnológica. Para aseguradoras, el impacto es menor en volumen directo, pero relevante por el frente de continuidad y por el uso de canales digitales compartidos.

Chile

Chile combinó regulación fuerte y fraude digital en expansión. El Banco Central reportó cerca de US$98 millones en operaciones desconocidas o denunciadas como fraudulentas durante el primer semestre de 2026, mientras el país avanzó en la implementación de la Ley Marco de Ciberseguridad y en una mesa nacional contra el fraude financiero transnacional. Esa doble tracción, pérdida monetaria y exigencia legal, define bien el mes chileno.

En subsegmentos, bancos y medios de pago aparecen como los más expuestos, pero el impacto regulatorio alcanza a todos los proveedores de servicios esenciales y operadores de importancia vital. El retiro de la tarjeta de coordenadas en varios bancos y la transición hacia mecanismos de autenticación más robustos muestran además una migración estructural en la experiencia de usuario financiera.

Bolivia

Bolivia apareció con una agenda más concentrada en autenticación, denuncia de fraude y fortalecimiento institucional. El SIN activó doble factor, el BCB denunció falsos créditos con QR, y la UIF se mostró cerca de salir de la lista gris del GAFI tras avanzar en corrección de deficiencias. Además, se reportó el fortalecimiento del CSIRT Bolivia como parte de una estrategia más amplia.

El subsegmento más visible fue el tributario digital, pero la lectura se extiende al sistema financiero en general. La apuesta por autenticación fuerte y estructuras sectoriales de respuesta anticipa una región en la que la banca deberá convivir con modelos más formales de reporte y soporte. Bolivia no tuvo la mayor cantidad de hechos, pero sí varios de alto valor estructural.

Paraguay

Paraguay mantuvo un flujo sostenido de vaciamientos de cuentas, denuncias de robo y alertas de prevención. El material menciona casos de víctimas concretas, una diputada denunciando un ciberataque, sospechas de malware, y notas de prevención bancaria. Aunque el volumen documental es menor que en Argentina o Brasil, la repetición de hechos muestra una exposición relevante del segmento minorista.

El subsegmento más afectado fue el de cuentas corrientes y bancarias de personas físicas, con fuerte carga de ingeniería social y secuestro de credenciales. La variedad de medios que informan sobre el mismo fenómeno indica que el tema ya forma parte del consumo cotidiano de seguridad financiera en el país.

Perú

Perú mostró una combinación de fraude en banca de consumo, ataques por llamadas y mensajes, y presión regulatoria sobre bancos, AFP y aseguradoras. La aparición de suplantación de voz, comprobantes falsos e identidades sintéticas en coberturas de agosto sugiere una escalada técnica de la ingeniería social. Es una señal preocupante porque combina automatización con explotación de confianza interpersonal.

El subsegmento asegurador aparece menos por incidentes propios y más por el marco regulatorio y de cumplimiento. La mención de multas más duras y el contexto de fraudes bancarios al cliente final exigen que el sector seguros refuerce validación, antifraude documental y control de pagos. El vector común sigue siendo la identidad, no solo la infraestructura.

Colombia

Colombia no fue el país de mayor volumen de incidentes cibernéticos en banca, pero sí un polo regulatorio importante. La Superintendencia Financiera publicó medidas vinculadas con desastre natural, créditos y seguros, y abrió proyectos de carta circular y alivios para afectados. La señal aquí es de resiliencia operativa y respuesta supervisora más que de intrusión o fraude bancario masivo en el material analizado.

El subsegmento más expuesto es el asegurador, por la naturaleza de las medidas de alivio y reclamo. Para bancos, la lectura es que el cumplimiento y la atención al consumidor van a estar cada vez más regulados incluso fuera de escenarios de ciberincidente. Eso obliga a integrar continuidad de negocio, atención masiva y evidencia documental en un mismo esquema operativo.

Tendencias y señales a monitorear

La comparación con julio muestra un cambio fuerte de velocidad y de foco. Los hechos verificados pasaron de 63 a 125, los fraudes o phishing de 8 a 44 y los movimientos regulatorios de 19 a 25. La señal principal no es solo que aumentó la actividad, sino que la agenda se movió desde una dominancia regulatoria hacia una dominancia del fraude, con más impacto visible sobre clientes y más costo legal para entidades financieras.

La estabilidad del conteo de ransomware, con cuatro casos en ambos meses, sugiere que esa amenaza se mantuvo presente pero sin convertirse en la historia principal del vertical. En cambio, el fraude se expandió con mucha más fuerza y cubrió más países y subsegmentos. Esto debería llevar a los equipos a priorizar campañas de concientización tácticas, mejoras de autenticación y detección de transferencias atípicas, en lugar de leer agosto como un mes centrado en malware destructivo.

También cambió la naturaleza del riesgo legal. Los fallos argentinos y la combinación de reportes, multas y reglas en Chile muestran que los jueces y reguladores están menos dispuestos a aceptar explicaciones genéricas. Si un banco no puede demostrar monitoreo, alerta, bloqueo o respuesta oportuna, el costo ya no es solo reputacional. Es también judicial, administrativo y, en algunos casos, económico directo.

Recomendaciones para equipos de seguridad

Los equipos de seguridad de bancos y aseguradoras deberían tratar este mes como una señal para endurecer la capa de identidad y la respuesta a fraude, no solo los controles de infraestructura. La prioridad inmediata es revisar flujos de autenticación, canales de soporte, monitoreo de transacciones, reglas de detección de anomalías y guías de atención al cliente frente a suplantación por teléfono, SMS, mensajería y video.

Primero, conviene reforzar defensas contra SIM swapping, robo de sesión y secuestro de identidad móvil. Los casos de Argentina muestran que un número telefónico comprometido puede ser suficiente para vaciar cuentas o acelerar transferencias. Eso implica añadir señales de riesgo en cambios de dispositivo, altas de destinatarios, reemplazo de SIM y transacciones urgentes hacia cuentas nuevas.

Segundo, hay que tratar la suplantación institucional como una campaña recurrente. El fraude por falsa central bancaria, los deepfakes del BCRA y los falsos créditos con QR comparten una base: explotan confianza en una marca y presión de tiempo. La respuesta no debe quedar solo en campañas de concientización generales, sino en mensajes cortos, repetibles y específicos dentro de la app, el call center y los canales de reclamo.

Tercero, el monitoreo antifraude y el de cumplimiento AML necesitan más integración. La Operação Klonen y el caso brasileño de fraude electrónico muestran que el dinero robado se mueve rápido y busca dispersión. Si antifraude ve el evento, pero AML llega tarde, el daño ya ocurrió. La visibilidad cruzada entre equipos, junto con playbooks comunes, reduce ese desfase.

Cuarto, es clave revisar la gestión de incidentes operativos y de exposición parcial de datos. El caso Pefisa demuestra que una filtración acotada puede alimentar fraude posterior sin tocar claves ni saldos. Eso obliga a monitorear abuso de datos expuestos, a acelerar notificación a potenciales afectados y a ajustar reglas de prevención en los meses siguientes.

Quinto, los bancos y aseguradoras que operan en Chile deben preparar sus flujos para el ciclo de reporte de 3, 24 o 72, 7 y 15 días según la criticidad y el tipo de organismo. No basta con saber que existe la obligación. Hace falta practicar quién declara, quién consolida evidencia, quién aprueba comunicaciones y quién mantiene trazabilidad técnica y legal.

Sexto, la atención al cliente debe dejar de ser un área periférica en la respuesta a fraude. Agosto dejó claro que muchos ataques se resuelven o empeoran en ese punto. Si el primer contacto del cliente no puede verificar, bloquear, escalar y documentar, la cadena de defensa se rompe. La seguridad real del vertical empieza antes de la transacción y termina después del reclamo.

Preguntas frecuentes

¿Qué obliga a reportar incidentes más rápido entre Chile, Brasil y Argentina?

Chile es el caso más prescriptivo en el material, porque la Ley 21.663 y el Decreto 295 fijan alerta temprana en tres horas, actualización a 24 o 72 horas según criticidad, plan de acción en siete días y reporte final en 15. En Argentina y Brasil hubo normas y alertas, pero no se detalló un ciclo tan preciso en las fuentes provistas.

¿Qué tipo de fraude dominó el mes y qué países lo mostraron con más claridad?

Dominó el fraude y el phishing, con 44 hechos verificados. Se vio con mucha claridad en Argentina, Brasil, Bolivia, Chile, Paraguay y Perú, a través de deepfakes, falsa central bancaria, SIM swapping, falsos créditos con QR, suplantación por llamadas y mensajes, y vaciamiento de cuentas.

¿Hubo ransomware con cifrado confirmado contra bancos o aseguradoras de la región?

El material registró cuatro casos con ransomware o extorsión como eje primario, dos con cifrado de activos confirmado y dos donde la fuente no permitió determinar el impacto técnico. No aparecen, en las fuentes provistas, casos claros de bancos o aseguradoras latinoamericanas con cifrado verificado como evento principal del mes.

¿Qué país mostró más presión regulatoria sobre banca digital y pagos?

Brasil, Chile y Bolivia concentraron la presión más visible, aunque por motivos distintos. Brasil reforzó Pix y avanzó en alertas cripto, Chile endureció el reporte de incidentes con la Ley 21.663, y Bolivia activó doble factor de autenticación y denuncias por falsos créditos. Si se mira el alcance operativo sobre pagos, Brasil y Chile sobresalen.

¿Qué tiene que revisar primero un banco si quiere bajar su exposición a estos casos?

Primero, autenticación y detección de cambios de identidad, porque varios casos del mes explotaron SIM swapping, phishing, llamadas falsas y suplantación. Segundo, monitoreo de transacciones atípicas y altas de destinatarios. Tercero, guiones de atención al cliente y procedimientos de bloqueo, porque la respuesta temprana fue clave en los hechos más visibles.

Limitaciones del material

Este informe se elaboró exclusivamente con el material provisto para agosto de 2026 y solo con hechos fechados dentro de ese mes. No se usó internet ni fuentes externas fuera de la lista autorizada. Los indicadores reproducen la base y la ventana temporal declaradas arriba, y no agregan telemetría de intentos ni bloqueos automatizados, porque el material no aportó cifras de ese tipo.

Un indicador en cero, en particular el de CVEs críticos, significa que no se registró ese dato en el material analizado de agosto de 2026, no que no hayan existido vulnerabilidades críticas explotadas en la región. Lo mismo aplica a cualquier ausencia temática: refleja el corpus disponible, no la totalidad del riesgo real.

La clasificación de ransomware y extorsión se hizo con cautela. Cuando la fuente no permitió distinguir entre cifrado, exfiltración o mera mención en un leak site, se consignó esa incertidumbre en el análisis. También se excluyeron como evidencia las redes sociales de consumo y publicaciones patrocinadas o comerciales que no figuran en la lista de fuentes habilitadas.

La ventana temporal de los indicadores fue agosto de 2026. Los hechos de meses anteriores, incluyendo comparaciones con julio, solo se usaron para contraste y siempre enunciando explícitamente el mes correspondiente. Los sectores no son exclusivos, así que un mismo hecho puede afectar a más de un subsegmento del vertical, especialmente cuando mezcla banca, telecomunicaciones, pagos y cumplimiento.