Neobancos, FinTech y procesadores de pago (PSP) — Julio 2026

Amenazas y campañas activas

Ransomware y extorsión, una sola mención con impacto no determinado

En el material del mes hubo un único caso con eje primario de ransomware o extorsión, y la tipificación de impacto no pudo determinarse con precisión. La pieza de DeXpose sobre Section9 en una fintech brasileña es la referencia que mejor encaja en esa categoría, pero la propia fuente presenta la información como reclamación del actor. No hay en el material confirmación de cifrado de activos, ni de exfiltración validada, ni de negociación comprobada con la víctima.

Esa ambigüedad es relevante. En el vertical de pagos, muchos actores maliciosos usan el lenguaje de ransomware para producir urgencia, pero no siempre el resultado operativo es el mismo. Puede tratarse de una simple mención en leak site, de una extorsión sin cifrado o de una intrusión más profunda. Cuando la evidencia no alcanza para distinguir entre esos escenarios, el informe debe preservarlo así, porque el riesgo que enfrenta la entidad y las contramedidas inmediatas no son idénticos en cada caso.

La lectura práctica es que el ecosistema sigue siendo atractivo para actores que buscan presión reputacional sobre empresas financieras con fuerte dependencia de la confianza pública. En una fintech, una sola afirmación creíble de exposición puede afectar onboarding, alianzas y percepción de solvencia operativa, aun sin un daño técnico plenamente probado.

Fraude y phishing

No hubo casos de fraude o phishing documentados como incidentes del período dentro del corpus fechado de julio. Eso no significa ausencia de actividad en la región, sino ausencia de hechos tipificados en el material de este mes. La única referencia cercana proviene de la SBS peruana, en un hecho sin fecha confirmada, al advertir aumento de denuncias por fraudes digitales vinculados a suplantación de identidad y operaciones bancarias no autorizadas, con uso de phishing y llamadas telefónicas para obtener datos personales y financieros.

La ausencia de una categoría formal en los indicadores no debería llevar a una lectura complaciente. Al contrario, el contexto regulatorio de Perú y la presión sobre los canales de pago sugieren que el fraude de identidad sigue siendo una amenaza estructural, especialmente cuando se combina con interrupciones de servicio o con incidentes que fuerzan a los usuarios a buscar canales alternativos menos seguros. Para fintechs y PSP, la fricción operativa suele ser un habilitador del fraude social.

APT, intrusión oportunista y presión sobre software expuesto

El mes no ofreció evidencia suficiente para atribuir campañas APT clásicas en el vertical. Lo que sí mostró fue una cadena sostenida de explotación oportunista sobre vulnerabilidades críticas y activamente explotadas. Ese patrón, aunque menos glamoroso que una intrusión sofisticada, es el que más daño puede producir en entornos de pagos cuando los sistemas afectados son portales de administración, componentes de back office o middleware con acceso a información financiera.

Oracle E-Business Suite apareció varias veces en el material, con especial atención a CVE-2026-46817, un fallo crítico en Oracle Payments File Transmission que fue descrito como explotable sin autenticación y mediante acceso HTTP. También hubo referencias a Fortinet FortiOS, FortiSandbox, SonicWall SMA1000 y SharePoint. La coincidencia de estos nombres no implica que todos hayan sido usados contra entidades latinoamericanas, pero sí que el ecosistema de software que sostiene operaciones empresariales críticas fue intensamente presionado en el período.

Para un CISO de fintech o PSP, el mensaje no es abstracto. Las campañas más peligrosas en julio no fueron necesariamente las más ruidosas, sino las que aprovecharon la brecha entre la publicación del parche y su implementación real. En una cadena de pagos, ese retraso puede alcanzar a sucursales, back office, paneles de conciliación, conectores con bancos patrocinadores y entornos de pruebas mal segmentados.

Vulnerabilidades críticas

En el material analizado se registraron 15 CVEs críticos mencionados. La tabla siguiente resume los que aparecen explícitamente asociados a explotación activa o a descripciones técnicas relevantes para este vertical.

La prioridad operativa aquí no debería ser solamente inventariar cada CVE, sino mapear dónde existen dependencias con esos productos. En este vertical, Oracle EBS puede convivir con conciliación, facturación o gestión de órdenes; SharePoint puede alojar portales internos sensibles; Fortinet y SonicWall suelen aparecer en perímetros y accesos remotos; Adobe ColdFusion y los constructores de Joomla pueden sostener aplicaciones de atención o integraciones legadas. La naturaleza del riesgo cambia según la ubicación del activo, pero el patrón es el mismo: explotación activa y ventanas de remediación cortas.

Regulación y cumplimiento

Brasil y el acceso al Pix

La noticia de O Globo sobre la posible restricción de acceso al Pix para bancos y fintechs con seguridad cibernética débil es una de las señales regulatorias más importantes del mes para el vertical. El valor de la medida está en su filosofía: el acceso al riel de pagos no se trataría solo como un derecho operativo, sino como una capacidad condicionada a demostrar controles razonables. Eso cambia el tono del mercado, porque traslada parte del riesgo de ciberseguridad desde el área técnica al corazón del negocio.

Para los participantes del ecosistema, esto implica reforzar pruebas de madurez, evidencias de monitoreo, gestión de vulnerabilidades y capacidad de respuesta a incidentes. También puede acelerar auditorías de terceros y endurecer las exigencias contractuales entre bancos patrocinadores, fintechs, PSP y procesadores. Si el regulador empieza a comparar perfiles de riesgo, la documentación de control deja de ser un trámite y pasa a ser parte de la continuidad comercial.

Perú y la notificación de incidentes

Perú fue el mercado más explícito en cuanto a plazos de notificación. Las coberturas de Infobae Perú, Brújula Digital e iupana coinciden en que las entidades financieras deben informar a usuarios y, en ciertos casos, al público, dentro de ventanas muy ajustadas. La regla de 24 horas para comunicar eventos que afecten a los usuarios, incluida la ciberseguridad, obliga a madurar el triage inicial, la validación legal y la coordinación con atención al cliente.

El impacto en bancos, fintechs y PSP no es menor. Una notificación mal redactada, tardía o inconsistente puede agravar el daño reputacional, pero una comunicación apresurada y mal clasificada también genera exposición regulatoria. La única forma sostenible de cumplir es tener criterios preaprobados sobre severidad, alcance, mensaje mínimo, responsables de aprobación y punto de contacto con el regulador.

Efecto de cumplimiento sobre el modelo operativo

Estas medidas regulatorias no operan en el vacío. En un mes donde el material también reflejó una intensa presión sobre vulnerabilidades activamente explotadas, la obligación de reportar rápido se convierte en un amplificador de las exigencias internas. Si una entidad no sabe con rapidez si un servicio degradado responde a una falla técnica, a un incidente de ciberseguridad o a un problema de proveedor, el reloj regulatorio empieza a correr igual.

Para el ecosistema fintech, eso significa que cumplimiento y seguridad dejan de ser carriles paralelos. El equipo que monitorea el stack, el que gestiona proveedores, el que define la comunicación externa y el que habla con el regulador necesitan una narrativa común desde el primer momento del incidente. Julio dejó esa lección bastante clara.

Países y subsegmentos más afectados

Brasil

Brasil concentró la señal más visible por la combinación de incidente operativo, amenaza de extorsión atribuida y anuncio regulatorio sobre Pix. El caso de las loterías de Caixa mostró que un ataque puede impactar servicios de recaudo y transacción vinculados al sistema financiero ampliado, incluso cuando la cobertura no lo encuadra como un banco o una fintech clásica. Eso importa porque el ecosistema de pagos en Brasil es denso y depende de múltiples actores que comparten infraestructura, autenticación y canales de integraciones.

En paralelo, la posible restricción del acceso al Pix a entidades con ciberseguridad débil introduce un criterio nuevo de riesgo sistémico. Para fintechs brasileñas, la exigencia potencial no se limita a parchar más rápido. También obliga a demostrar gobernanza, segmentación, gestión de identidades, protección de acceso remoto y capacidad de responder a compromisos de terceros sin arrastrar toda la operación.

La alegación de Section9 sobre una fintech brasileña refuerza el interés de los actores maliciosos por el mercado. Aunque no esté confirmada, la sola existencia de esa reivindicación sugiere que el país sigue siendo un objetivo de alto valor para grupos que buscan monetizar presión reputacional.

Perú

Perú fue el país con mayor intensidad normativa. La combinación de la Resolución SBS 01741-2026, los plazos de 24 horas para informar incidentes y la exigencia de comunicar interrupciones o eventos a usuarios en menos de un día coloca a bancos y fintechs ante un estándar más alto de reacción. No se trata solo de ciberseguridad en sentido estricto, sino de disciplina operacional y capacidad de comunicación.

El subsegmento de servicios financieros digitales debe leer este movimiento como un cambio de madurez forzada. Una entidad que no tiene trazabilidad de incidentes, inventario de dependencias y guiones de respuesta pierde tiempo en el momento más caro. Para un PSP, además, el riesgo se extiende a comercios y clientes finales que reciben el impacto de la indisponibilidad de canales o de la necesidad de invalidar operaciones.

La advertencia de la SBS sobre fraudes digitales, aunque sin fecha confirmada, completa el cuadro. Sugiere que el frente de suplantación de identidad y operaciones no autorizadas sigue activo. Si se combina con obligaciones de notificación más estrictas, el resultado es un mercado donde el manejo de incidentes ya no puede hacerse de forma improvisada.

Subsegmento de pagos, adquirencia y gateways

Los procesadores de pago y gateways aparecen indirectamente afectados en julio a través de la alegación sobre una gran credenciadora en Brasil, de la discusión sobre Oracle Payments File Transmission y de la naturaleza misma de los sistemas impactados en el caso de Caixa. Este subsegmento concentra funciones de alto impacto, porque las decisiones de autorización, enrutamiento y liquidación dependen de componentes internos y de terceros que no siempre reciben el mismo nivel de exposición pública que un banco o una app de consumo.

La lógica de riesgo para este grupo es especialmente sensible a vulnerabilidades de software empresarial. Un fallo en un sistema administrativo, un portal de soporte o una plataforma de integración puede no parecer un ataque al core de pagos, pero sí ofrecer el punto de entrada hacia credenciales, configuración o información transaccional. En julio, ese fue uno de los patrones más consistentes del material.

Subsegmento fintech de consumo

Para las fintechs de consumo, la mezcla de regulación, presión de fraude y exposición a reclamos públicos crea un escenario exigente. Aunque el período no registró fraude o phishing documentado como categoría en los hechos fechados, la advertencia de la SBS peruana deja claro que la suplantación de identidad sigue siendo una vía relevante de abuso. Además, el hecho de que el mes haya estado dominado por vulnerabilidades indica que la seguridad del producto ya no puede limitarse a la app móvil o al onboarding, sino que debe abarcar toda la cadena de servicios y proveedores.

Tendencias y señales a monitorear

No hay baseline comparativo del mes anterior, porque este es el primer período archivado con este formato de indicadores para América Latina. Por eso no corresponde inventar una variación cuantitativa contra junio. La señal que sí puede leerse es interna al propio mes: predominio de vulnerabilidades, pocos incidentes sin tipificar, un caso con eje de ransomware o extorsión y tres movimientos regulatorios. Ese perfil sugiere que el vector técnico siguió más activo que el vector de intrusión confirmada.

La primera tendencia a monitorear es si la presión regulatoria de Perú se traduce en más divulgación pública de incidentes durante agosto y septiembre. Si las entidades empiezan a reportar con rapidez y consistencia, el mercado va a ganar visibilidad real sobre la frecuencia de interrupciones, ataques y fallas de terceros. Si, en cambio, el cumplimiento formal se retrasa, las primeras semanas podrían mostrar ruido legal sin suficiente contenido técnico.

La segunda señal es Brasil. Si la discusión sobre Pix avanza desde la intención hacia un criterio operativo, el país podría convertirse en un referente regional sobre cómo condicionar acceso a rieles críticos al nivel de madurez de ciberseguridad. Eso puede empujar a bancos y fintechs a acelerar programas de remediación, inventario y gobierno de proveedores. También puede abrir una fase más exigente de auditoría sobre terceros que hoy se integran a pagos sin controles homogéneos.

La tercera señal es la persistencia de explotación activa en software de uso general. Oracle EBS, Fortinet, SonicWall, ColdFusion y SharePoint no son nombres exóticos para equipos de seguridad. Son plataformas ampliamente desplegadas, muchas veces en áreas que no se perciben como parte del core de pagos. Mientras ese desajuste exista, el riesgo seguirá siendo que la primera señal de compromiso aparezca en un portal de soporte, en una consola administrativa o en un componente de integración, no en la capa de transacciones visibles.

La cuarta señal es el mercado gris de las reivindicaciones de actor. Los dos hechos no confirmados sobre Section9 y 1877 Team muestran que los leak sites y los manifiestos siguen funcionando como instrumento de presión, incluso cuando la validación independiente es débil o inexistente. Para un CISO, eso obliga a separar ruido de evidencia, pero también a asumir que una simple afirmación pública puede activar problemas de marca, atención al cliente y negociación con socios.

Recomendaciones para equipos de seguridad

Primero, revisar la exposición real a los productos que dominaron la agenda de vulnerabilidades del mes. No alcanza con saber si Oracle, Fortinet, SonicWall, SharePoint o Adobe están presentes en el inventario. Hay que saber dónde están, qué privilegios tienen, qué credenciales usan, qué interconexiones mantienen y qué depende de ellos. En pagos, una aplicación de back office puede ser tan crítica como un endpoint de producción.

Segundo, acelerar la clasificación de activos según impacto sobre continuidad de pagos. Si un sistema toca conciliación, autorización, provisión de cuentas, onboarding o atención de disputas, su criticidad no puede quedar escondida en una matriz genérica. Los equipos deberían tener listas de servicios esenciales con dueño, RTO, RPO y criterios de aislamiento ya definidos. Julio mostró que las interrupciones que parecen periféricas terminan afectando transacciones y confianza.

Tercero, ensayar el circuito regulatorio antes del incidente. En Perú, las ventanas de 24 horas obligan a una respuesta coordinada entre seguridad, legal, operaciones y atención al cliente. Eso requiere plantillas de comunicación, umbrales de notificación y un mecanismo para determinar rápido si el evento afecta usuarios o solo infraestructura interna. En Brasil, si avanza la lógica de condicionar Pix, la evidencia de controles y remediación también debe estar lista para auditoría.

Cuarto, reforzar la gestión de terceros y la segmentación de accesos. El material del mes sugiere que la cadena de valor de pagos sigue llena de puntos donde una falla técnica o una credencial expuesta pueden escalar. Los accesos remotos, los paneles administrativos, los proveedores de soporte y las aplicaciones de integración deben estar sometidos a revisión continua, con MFA robusto, monitoreo de actividad anómala y segregación de privilegios.

Quinto, tratar las reivindicaciones en leak sites como señales tempranas, no como hechos consumados. No conviene ignorarlas, pero tampoco convertirlas en confirmaciones automáticas. El procedimiento útil es triage interno rápido, preservación de evidencia, verificación de alcance y comunicación controlada. En el vertical financiero, la reacción exagerada puede generar daño propio, pero la demora también.

Sexto, priorizar la remediación de vulnerabilidades explotadas activamente por encima de listas genéricas de severidad. Julio dejó claro que el valor del indicador no está solo en el CVSS, sino en la explotación en curso y en la cercanía del software al negocio. Un CVE crítico en una plataforma de administración con acceso a pagos tiene más urgencia práctica que un hallazgo teórico en un sistema aislado.

Limitaciones del material

Este informe se construyó exclusivamente con el material provisto para julio de 2026 y con las fuentes listadas como disponibles para citar. No se usó internet ni se incorporó evidencia externa. La ventana temporal de los indicadores es la declarada arriba, 66 hechos con fecha en julio de 2026, más 1 hecho sin fecha confirmada que quedó fuera de los conteos.

Un indicador en 0, en particular el de casos de fraude o phishing documentados, significa que no apareció un hecho tipificado de esa forma en el material analizado de este mes. No significa que no haya fraude, phishing o abuso de identidad en la región. Del mismo modo, la cifra de CVEs críticos mencionados refleja solo lo registrado en el corpus provisto y no niega la existencia de otras vulnerabilidades explotadas en América Latina durante el período.

Tampoco deben confundirse los hechos con telemetría. El material no trae cifras agregadas de intentos, bloqueos o escaneos, y por lo tanto este informe no usa ese tipo de dato como sustituto de incidentes. Las menciones a CISA KEV, resúmenes semanales de vendors o reportes técnicos se trataron como señales de vulnerabilidad y explotación activa, no como volumen de intrusión regional medido por sensores.

La cobertura sectorial también tiene límites. Aunque el eje de este informe es neobancos, FinTech y procesadores de pago, algunos hechos afectan el ecosistema financiero ampliado, como el caso de Caixa o los resúmenes sobre Oracle EBS y SharePoint. Cuando se los interpreta, hay que leerlos como riesgos de cadena de valor para el vertical, no como evidencia de que todas las víctimas pertenezcan de forma directa a un neobanco o a un PSP.

Por último, quedaron excluidos de los indicadores los hechos sin fecha confirmada, aunque algunos aportan contexto cualitativo útil, como la advertencia de la SBS peruana sobre fraudes digitales. También quedaron fuera de este informe las fuentes no listadas para cita, así como redes sociales de consumo, contenido patrocinado y materiales de ese tipo, que no se utilizaron como soporte para afirmaciones analíticas.

Gráficos