Banca tradicional y aseguradoras — Septiembre 2026

Amenazas y campañas activas

Fraude y phishing

El fraude fue, por lejos, la amenaza predominante del mes. Los 37 hechos verificados vinculados con fraude o phishing muestran una superficie amplia y diversa, que va desde estafas por suplantación de bancos hasta malware bancario, falsas financieras, ataques con deepfake y fraude de beneficios. La dispersión de casos sugiere que no hubo una sola campaña regional, sino varias familias de abuso que comparten técnicas de ingeniería social, manipulación de identidad y captura de credenciales.

En Argentina, Bolivia y Paraguay, el fraude pasó mucho por la suplantación de marca y la oferta engañosa de créditos o servicios. En México, el vector principal fue el dispositivo móvil, las apps falsas y el malware orientado a transacciones no autorizadas. En Brasil, el fraude se volvió más técnico y automatizado, con énfasis en biometría facial, cámaras virtuales y contenido sintético. En Perú y Colombia, el fraude se reflejó también en la forma en que el regulador reorganiza sus reglas de reporte y validación de identidad.

Hay un rasgo común que atraviesa casi todos los hechos del mes. El atacante busca acortar la distancia entre el usuario legítimo y el control del proceso. Ya no alcanza con robar una contraseña. Hay que interceptar el segundo factor, simular una validación biométrica, engañar a la mesa de ayuda, forzar una transferencia inmediata o introducir un documento falso en un alta de cliente. Ese cambio de objetivo vuelve obsoletos varios controles que se diseñaron para amenazas menos adaptativas.

Ransomware y extorsión

No se registraron casos de ransomware o extorsión como eje primario en el material de septiembre. Tampoco hubo descripciones verificables de cifrado de activos, exfiltración con extorsión simple o mención aislada en sitios de filtración que permitieran tipificar el impacto con precisión. La ausencia de esta categoría en el corpus no debe leerse como ausencia regional de ransomware, sino como ausencia de hechos confirmados en el material analizado.

Esa ausencia es relevante porque modifica la lectura de prioridades. En meses con ransomware, la discusión suele girar en torno a indisponibilidad, recuperación y negociación. En septiembre, en cambio, el centro fue la prevención del fraude, la autenticación de identidad y la capacidad de reportar incidentes operacionales a tiempo. Para banca y seguros, eso implica que el riesgo dominante no fue la paralización, sino la apropiación fraudulenta de cuentas, sesiones y decisiones.

APT e intrusión dirigida

El material de septiembre no permitió sostener una campaña APT o de intrusión dirigida con suficiente precisión para este vertical. Hubo menciones a ataques contra sistemas de pagos y a organizaciones de sectores financiero, minorista y comercio electrónico en Brasil, pero la fuente disponible no confirmó un banco tradicional o una aseguradora afectada de manera individual. Por eso, el informe no eleva ese material a una campaña APT consolidada.

La lectura prudente es que el entorno de ataque sí presenta actores capaces de usar IA y automatización para acelerar intrusiones, pero el material de este mes no alcanzó para aislar una campaña clásica de espionaje o persistencia orientada específicamente a banca o seguros. La presión dominante sigue estando en fraude, no en intrusión silenciosa prolongada.

Vulnerabilidades críticas

No se registraron CVEs críticos en el material analizado de septiembre 2026. Eso no implica ausencia de vulnerabilidades críticas explotadas en la región, sino que no aparecieron mencionadas en las fuentes verificadas del mes.

Regulación y cumplimiento

La agenda regulatoria del mes fue intensa, aunque menos numerosa que en agosto. En Argentina, la Comunicación A 8471 del BCRA formalizó la gestión del riesgo de fraude para entidades financieras y proveedores de pagos, con obligaciones sobre estructuras, políticas, designación de responsables y definición de apetito de riesgo. El valor de la norma es que convierte al fraude en un componente explícito del riesgo operacional y lo vincula con productos, servicios y canales digitales.

El mismo país tuvo otra decisión relevante, porque el BCRA anunció que desde septiembre de 2026 pondría a disposición de administradores de transferencias inmediatas información pública para fortalecer el análisis y monitoreo de fraude. Eso apunta a una mejor lectura de perfiles de riesgo y a un uso más intensivo de datos para la prevención. Para los equipos de cumplimiento, el mensaje es que la prevención no se limita al monitoreo posterior, sino que entra en la lógica de alta de clientes y revisión periódica.

En Bolivia, el gobierno aprobó el Decreto Supremo 5693, que flexibiliza reglas aplicables a entidades de intermediación financiera para resguardar su solvencia, y además se informó sobre un decreto que asignó funciones de registro, reporte, supervisión, control y seguimiento de determinados certificados a la ASFI. A eso se suma el compromiso, en el marco de un programa respaldado por el FMI, de desarrollar un marco de regulación y supervisión de activos virtuales para reducir riesgos de salidas ilícitas de capital y proteger la resiliencia financiera.

En Colombia, la SIC abrió una consulta pública sobre validación de identidad y tratamiento de datos personales, mientras la Superintendencia Financiera recordó que su espacio de experimentación controlada, LaArenera, sirve para identificar riesgos y generar evidencia para fortalecer supervisión y regulación. El hilo conductor es claro, el regulador quiere más capacidad para validar tecnologías de identidad y para entender el efecto de la innovación financiera sobre el riesgo.

En Perú, la SBS propuso un procedimiento único para reportar incidentes operacionales, con reportes iniciales, intermedios y finales. La consulta es relevante para bancos, aseguradoras y fondos de pensiones, porque unifica criterios que antes estaban separados por tipo de incidente. Para cumplimiento y gestión de crisis, eso significa reordenar manuales internos, flujos de escalamiento y responsabilidades entre operaciones, tecnología, riesgo y legal.

En Paraguay, el debate regulatorio estuvo cruzado por el pedido de informes del Senado al BCP sobre entidades financieras, controles de seguridad informática y presuntos fraudes cibernéticos. Aunque no es una norma nueva, sí es un evento de compliance en sentido amplio porque aumenta la exposición pública del supervisor y obliga al sistema a explicar su capacidad de respuesta. En paralelo, el banco central difundió recomendaciones de seguridad digital para el uso de canales electrónicos.

Países y subsegmentos más afectados

Brasil

Brasil fue el país con mayor densidad de hechos ligados a fraude, biometría, deepfakes y acciones policiales. El subsegmento más tocado fue banca digital y onboarding, seguido por pagos y esquemas de beneficio. También apareció el mercado asegurador por la vía del ciberseguro y del análisis de riesgos asociados con fraude avanzado. La combinación de cobertura regulatoria, operativa y policial convierte a Brasil en el principal laboratorio regional del mes.

Los hechos de Brasil muestran un mercado donde la identidad es el centro del conflicto. Deepfakes, cámaras virtuales, clonación de voz y técnicas de inyección directa apuntan a romper la confianza en la biometría facial como única barrera. Al mismo tiempo, la respuesta estatal se expresa en controles más fuertes, más trazabilidad y más investigación coordinada. Esa doble dinámica le da al país un lugar central en el mapa de septiembre.

Argentina

Argentina sobresalió por la claridad de la regulación y por el encuadre del fraude como riesgo operacional. La banca tradicional y los proveedores de pagos quedaron sujetos a un esquema de implementación que arranca con la Comunicación A 8471 y que se articula con la provisión de información pública por parte del BCRA para monitorear transferencias inmediatas. El subsegmento más afectado es el de pagos y transferencias, donde la rapidez de las operaciones y el nivel de digitalización elevan la exposición.

En este país no se vio una lista larga de incidentes, pero sí una respuesta normativa concreta que probablemente influya en el resto del mercado. El hecho de que el análisis de riesgo alcance a productos, servicios, procesos y canales digitales obliga a bancos y PSP a revisar modelos de control y no solo casos aislados. Para el vertical, Argentina cierra el mes como un caso de maduración regulatoria.

México

México mostró una carga fuerte de fraude bancario asociado a dispositivos móviles, apps falsas y ataques de ingeniería social. La CONDUSEF y la ABM insistieron en precauciones frente a malware capaz de capturar credenciales y controlar equipos, y la estadística de reclamaciones por cargos o transferencias no reconocidas siguió siendo alta. El subsegmento más sensible es la banca de consumo y su canal móvil.

La relevancia de México no está en un solo incidente, sino en la persistencia del problema y en la diversidad de vectores. Las coberturas apuntan a un ecosistema donde el fraude se apoya en la instalación de software malicioso, en la suplantación de apps y en el abuso de la confianza del usuario. Eso convierte a la educación preventiva y al monitoreo del dispositivo en piezas centrales del control.

Colombia

Colombia se destacó por la interacción entre regulación de identidad digital y preocupación aseguradora. La SIC abrió una consulta pública que toca a entidades financieras y de crédito, mientras la Superintendencia Financiera puso el foco en ciberseguridad, fraude y terceros dentro del mundo asegurador. El subsegmento afectado es doble, por un lado la validación de identidad en servicios financieros, por otro la gestión de riesgo en aseguradoras.

La clave en Colombia es que el debate no gira solo sobre ataques, sino sobre cómo verificar identidad y qué estándares deben regir esa verificación. Eso puede terminar impactando onboarding, recuperación de cuenta, firma remota y acceso a pólizas o productos crediticios. La discusión regulatoria es, en sí misma, parte de la superficie de riesgo.

Paraguay

Paraguay mostró un mes de presión institucional sobre el sistema financiero, con pedidos de informes sobre presuntos fraudes cibernéticos y reuniones de alto nivel entre autoridades y bancos. El subsegmento más expuesto es banca tradicional, en especial las entidades sujetas a cuestionamientos sobre controles y respuesta. Aunque no hubo un gran incidente técnico confirmado, la carga política y reputacional fue alta.

A eso se sumaron las alertas preventivas del BCP sobre pedidos de datos y llamados urgentes por bloqueos de cuenta. El mensaje es consistente con la tendencia regional, el fraude no siempre llega como intrusión visible, sino como abuso de confianza y urgencia. Paraguay aparece, así, como un país donde la gobernanza del sistema quedó bajo observación.

Perú

Perú combinó estadística penal alta con una propuesta regulatoria que afecta directamente a bancos, aseguradoras y pensiones. El subsegmento más relevante es el de reporte de incidentes operacionales, porque la SBS busca unificar y acelerar la notificación de eventos significativos. Además, las denuncias por fraude informático y suplantación de identidad siguen mostrando un patrón de abuso sostenido sobre usuarios y entidades.

La reforma propuesta es importante porque alinea la respuesta del supervisor con la realidad operativa de incidentes que ya no se pueden clasificar de forma simple. Para aseguradoras y bancos, el cambio obliga a preparar capacidades de detección temprana, documentación y escalamiento. Perú no cierra el mes con un gran incidente aislado, pero sí con una arquitectura regulatoria más exigente.

Tendencias y señales a monitorear

La primera señal a monitorear es la caída del volumen total frente a agosto, de 125 a 83 hechos, sin que eso implique relajación del riesgo. La amenaza principal siguió siendo fraude, con 37 hechos documentados, solo siete menos que el mes anterior. Es decir, bajó la cantidad de noticias, pero no cambió el centro de gravedad del riesgo para banca y seguros.

La segunda señal es el desplome de los movimientos regulatorios, de 25 en agosto a 7 en septiembre. Esa baja no expresa desinterés, sino una transición desde la formulación hacia la implementación y la consulta pública. En Argentina y Perú, sobre todo, las normas nuevas o en consulta sugieren que octubre y noviembre podrían mostrar más trabajo de adecuación interna que anuncios de política.

La tercera señal es el avance de las amenazas basadas en identidad. Deepfakes, biometría facial, cámaras virtuales, clonación de voz y llamadas enmascaradas aparecen en distintos países con lenguajes distintos pero con la misma lógica, romper controles de autenticación. Lo relevante no es solo que estas técnicas existan, sino que ya están entrando en el perímetro de los bancos y, por extensión, en los procesos que las aseguradoras usan para validar clientes y siniestros.

La cuarta señal es que varios supervisores ya tratan el fraude como riesgo operacional, no como un abuso puntual. Eso cambia expectativas de reporte, trazabilidad, gobierno y plazos. El contraste con agosto también es útil: el mes anterior hubo más hechos y más regulación, pero septiembre consolidó una narrativa más precisa sobre fraude como principal vector y sobre la necesidad de estandarizar el reporte de incidentes.

Recomendaciones para equipos de seguridad

Los equipos de seguridad de bancos y aseguradoras deberían tratar septiembre como un mes de ajuste de controles de identidad, no como un simple período de concientización. La prioridad inmediata es revisar el recorrido completo de autenticación, desde la alta de clientes hasta la operación recurrente, porque el fraude observado no se limita al acceso inicial, sino que atraviesa transferencias, validaciones biométricas y recuperación de credenciales.

Conviene reforzar señales de riesgo del dispositivo y del canal. Los casos de México muestran que el celular comprometido sigue siendo una puerta de entrada central. Eso obliga a integrar telemetría de endpoint móvil, detección de overlays, control de integridad de apps, verificación de comportamiento y fricción dinámica en transacciones de alto riesgo. Si el canal no puede distinguir entre usuario legítimo y entorno manipulado, la pérdida llega aunque la contraseña sea correcta.

También hace falta subir el estándar de autenticación multimodal. La evidencia de Brasil indica que la biometría facial sola ya no alcanza cuando hay deepfakes, inyección directa o reutilización de validaciones. Los equipos deberían combinar rostro con señales de contexto, riesgo transaccional, validaciones cruzadas y controles antiabuso sobre cambios de dispositivo, altas remotas y movimientos inusuales. La recomendación no es abandonar la biometría, sino dejar de tratarla como prueba suficiente.

En paralelo, los responsables de fraude y cumplimiento deben revisar sus tiempos de notificación y escalamiento. La SBS peruana y el BCRA argentino empujan a reportes más rápidos y más estructurados, lo que en la práctica exige playbooks listos, responsables claros y evidencia reunida desde el inicio del evento. Si la organización tarda en clasificar un incidente, luego también tarda en contenerlo y en cumplir con el supervisor.

Para el negocio asegurador, la lección es parecida pero con otro matiz. Hay que revisar tercero, data quality y continuidad operativa con más atención, porque esos fueron precisamente los riesgos señalados por la Superintendencia Financiera de Colombia. Las aseguradoras que dependen de modelos analíticos, integraciones con bancos o flujos de documentación digital deben testear qué pasa cuando la identidad falla, cuando el proveedor cae o cuando un fraude altera la validez de un dato.

Por último, conviene fortalecer la inteligencia de amenazas enfocada en fraude, no solo en malware. El mes mostró una convergencia entre ingeniería social, suplantación, automatización y manipulación de la confianza. Las áreas de seguridad deberían monitorear campañas de falsas financieras, abuso de marca, llamadas enmascaradas, intentos de apertura de cuentas y rutas de fraude vinculadas a beneficios, pagos y transferencias inmediatas.

Preguntas frecuentes

¿Qué cambios regulatorios cruzan banca y seguros en el mes?

Argentina, Perú y Colombia concentraron los cambios más útiles para ambos sectores. El BCRA formalizó antifraude para entidades financieras y proveedores de pagos, la SBS peruana propuso un reporte único de incidentes operacionales para banca, seguros y pensiones, y la SIC colombiana abrió una consulta sobre validación de identidad y datos personales.

¿Qué técnica de fraude quedó más expuesta frente a la biometría facial?

Brasil mostró que el mayor problema ya no es solo la foto o el video falso, sino la inyección directa, las cámaras virtuales y la reutilización de validaciones. Eso cruza con la biometría facial discutida por InfoMoney y con el golpe del sósia descrito por Agencia Brasil, donde el objetivo es burlar el proceso completo de identidad.

¿Cómo cambia el reporte de incidentes para entidades financieras y aseguradoras?

En Perú, la SBS propuso reemplazar reportes separados por un reporte único de incidentes operacionales, con plazos iniciales de hasta dos horas para ciertas empresas y hasta cinco horas para bancos y otras entidades. Eso cruza continuidad, ciberseguridad y operación en un mismo circuito de notificación.

¿Qué relación hay entre fraude digital y supervisión bancaria en Paraguay?

Paraguay mostró que el fraude no quedó solo en el plano técnico. El Senado pidió informes al BCP sobre controles, sanciones y presuntos fraudes cibernéticos, mientras el banco central respondió con recomendaciones para operar con medios digitales. La discusión combinó reputación, controles y capacidad institucional del supervisor.

¿Qué debería vigilar un CISO de aseguradora además de fraude bancario?

Debería vigilar calidad de datos, dependencia de terceros y continuidad operativa. Esa combinación aparece en la lectura de la Superintendencia Financiera de Colombia para el sector asegurador y se conecta con el riesgo de identidad, onboarding y uso de modelos analíticos. No se trata solo de ataques, sino de fallas que alteran la confianza en la información.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos verificados provistos para septiembre de 2026 y con las fuentes listadas como citables. No se usaron hechos de otros meses para el conteo del período, aunque sí se incorporó la comparación explícita con el mes anterior según los indicadores ya provistos.

La ventana temporal de los indicadores es la declarada en la base del informe, 83 hechos con fecha en septiembre de 2026. Cuando se citan cifras acumuladas de enero a julio o de otros períodos, se hace solo como contexto descriptivo y no como volumen del mes. Las cifras de otras ventanas no se sumaron al período de septiembre.

Un indicador en cero, en particular el de CVEs críticos, significa que no se registraron en el material analizado, no que no existan vulnerabilidades críticas explotadas en la región. Lo mismo aplica al renglón de ransomware y extorsión, que no tuvo casos tipificables en el corpus de este mes.

También quedaron fuera de la base de análisis las telemetrías agregadas de intentos o bloqueos, porque no se aportaron cifras metodológicamente consolidadas para convertirlas en incidentes. Se excluyeron, además, redes sociales de consumo y publicaciones patrocinadas que no figuran entre las fuentes habilitadas para citar.