Neobancos, FinTech y procesadores de pago (PSP) — Agosto 2026

Amenazas y campañas activas

En agosto no dominó una campaña de ransomware clásica sobre fintechs de la región, sino un ecosistema de fraude, extorsión y abuso de infraestructura de pagos. La diferencia importa, porque cambia qué controles deberían priorizarse: autenticación y autorización, integridad de procesamiento, monitoreo de contrapartes y respuesta coordinada con redes de pago y reguladores.

Ransomware y extorsión

Hubo dos casos con ransomware o extorsión como eje primario, y en ambos el material permite leer el componente de presión financiera con claridad. El primero fue la investigación de la Policía Federal en Brasil sobre un grupo que invadió el sistema de una institución financiera y exigió 10 bitcoins para no divulgar datos sigilosos. La cobertura de Correio Braziliense añade que la exigencia equivalía a aproximadamente R$ 328 mil.

Aquí la fuente sí describe una extorsión clásica, con amenaza de filtración y pago en criptoactivos. No hay en el material una precisión suficiente para afirmar si hubo cifrado de activos, así que corresponde dejarlo como extorsión con amenaza de divulgación, no como ransomware con cifrado confirmado. Ese matiz evita mezclar impacto legal con impacto operativo.

El segundo caso vinculado a presión o daño económico fue la exposición en el ecosistema cripto de tarjetas de Avici y Rain, pero no entra en la misma categoría. Allí el vector fue una vulnerabilidad de autorización en contratos de tarjeta, no una extorsión. La recuperación fue mediante reembolsos y parches, no mediante negociación con atacantes.

Fraude y phishing

El fraude fue la amenaza predominante del mes y atravesó varios subsegmentos. El caso TAG mostró intento de desvío de recebíveis, el episodio de Riccheri mostró un fraude operacional de cobro, y Chile aportó una señal estadística persistente de aumento de fraude en medios digitales, especialmente en tarjetas de débito y crédito.

La particularidad de agosto es que buena parte del fraude no quedó como simple intento. Hubo casos bloqueados, alertados y remitidos a autoridades. Eso significa que el sector está detectando más, pero también que el volumen de exposición es alto. El hecho de que 25 de 83 hechos verificados hayan sido fraude o phishing documentado marca una presión sostenida sobre la capa transaccional.

La lectura de los casos brasileños es que el fraude ya no depende solo de engañar al usuario final. También puede consistir en manipular relaciones de confianza entre registradoras, adquirentes y cuentas de destino. La lectura de Chile, en cambio, insiste en la persistencia del riesgo en pagos cotidianos y en el mayor peso de las tarjetas de débito. Son dos caras del mismo problema.

APT e intrusión organizada

No hubo en el material una campaña APT clásica atribuida a un grupo persistente con foco regional sobre neobancos o PSP de América Latina. Sí aparecen indicios de intrusión organizada, como la investigación brasileña sobre el ataque a una institución financiera alemana, y los casos de invasiones a sistemas financieros en Brasil. Pero el material no alcanza para tipificar una campaña APT en sentido estricto.

La ausencia de una campaña APT claramente documentada no equivale a ausencia de intrusión sofisticada. Solo significa que agosto quedó dominado por fraude, extorsión, errores de procesamiento y vulnerabilidades de contratos, no por atribuciones sólidas a un actor persistente. Para inteligencia defensiva, eso también es una señal útil: el ecosistema está más cerca del fraude de alta escala que de una ofensiva discreta de larga permanencia.

Vulnerabilidades críticas

El material analizado registró 1 CVE crítico mencionado en el período, pero no lo identificó con número ni con detalle técnico suficiente para construir una tabla de explotación. Eso no implica ausencia de vulnerabilidades críticas en la región, sino que el mes estuvo dominado por incidentes operativos, fraude y casos de fraude financiero, no por divulgaciones técnicas de CVE.

La lección práctica de este bloque es que la superficie crítica del sector no se limita a software tradicional. En agosto, la vulnerabilidad más clara no apareció como CVE explotado en una app de banca, sino como un problema de lógica contractual y actualización deficiente en la capa de pagos y tarjetas. Eso obliga a ampliar el inventario de riesgos más allá del software instalado en servidores.

Regulación y cumplimiento

Agosto dejó cuatro movimientos regulatorios documentados y todos apuntan en la misma dirección: más obligación de reporte, más exigencia de respuesta y más supervisión sobre proveedores de pagos. La región no está viendo un relajamiento, sino un endurecimiento del marco de notificación y control.

En Chile, el Banco Central publicó y explicó su Informe de Sistemas de Pago 2026, con foco en fraude digital y en el aumento persistente desde 2024. El material oficial es relevante porque no se limita a describir pérdidas, sino que empuja a reforzar medidas regulatorias y acciones de los proveedores de medios de pago. Esa formulación pone al sector bajo escrutinio directo.

TrendTIC recordó que, bajo la Ley Marco de Ciberseguridad en Chile, las instituciones públicas y privadas declaradas Operadores de Infraestructura Crítica o Proveedores de Servicios Esenciales deberán informar al CSIRT Nacional cualquier ciberataque o incidente con efectos significativos. Para el ecosistema de pagos, eso significa que una parte de la industria tendrá deberes formales de notificación más exigentes y más tempranos.

En Brasil, la respuesta oficial a fraudes e invasiones también se institucionalizó. La Polícia Federal comunicó operaciones como Pane Seca, Ouroboros y Klonen, con coordinación de investigación y comunicación a autoridades competentes. Aunque no son regulaciones en sentido estricto, sí marcan un entorno donde fraude financiero, lavado y ciberintrusión se persiguen de forma cada vez más integrada.

El caso TAG mostró, además, el valor del reporte y la cooperación entre actores privados. La empresa activó protocolos, bloqueó accesos y comunicó a las autoridades, mientras entidades sectoriales alertaron a sus asociados. En términos de cumplimiento, esa reacción importa tanto como el control preventivo, porque el estándar operacional ya no es solo evitar el evento, sino demostrar trazabilidad y contención.

Países y subsegmentos más afectados

La distribución geográfica del mes no fue homogénea. Argentina, Brasil, Chile y Perú concentraron la señal más clara, con un nivel de detalle distinto en cada caso. A nivel de subsegmentos, los más expuestos fueron banca y adquirencia, registradoras de pagos, billeteras y casas de cambio digital, y el ecosistema cripto de tarjetas.

Argentina

Argentina quedó marcada por el caso Riccheri, que puso bajo la lupa la integración entre peaje electrónico, billetera virtual y conciliación de cobros. El impacto fue muy visible porque el desvío afectó montos cientos de veces superiores al esperado y porque la cobertura periodística fue amplia. Para el subsegmento PSP, el episodio sirve como recordatorio de que un fallo de cálculo puede tener casi el mismo efecto reputacional que una filtración.

El circuito de reclamo documentado por Alerta Tránsito muestra además una cadena formal de respuesta que involucra concesionaria, TelePASE y, en última instancia, Vialidad. Esa secuencia es útil para leer cómo se resuelven incidentes de cobro en infraestructura crítica de servicios masivos. No es un caso de ciberataque, pero sí de integridad transaccional quebrada.

Brasil

Brasil fue el país con mayor densidad de hechos sobre fraude financiero, extorsión e investigación policial. Los tres ejes más claros fueron la tentativa de fraude de R$ 350 millones contra TAG, las operaciones Pane Seca, Ouroboros y Klonen, y la investigación vinculada a un ataque a una institución financiera alemã con participación sospechosa de un grupo brasileño.

La lectura por subsegmento también es contundente. Stone, TAG, registradoras, adquirencia, bancos y ecosistemas de pagos aparecen interconectados. A esto se suman señales de lavado con cuentas de tránsito, empresas y plataformas de activos virtuales. Brasil mostró un problema de cadena de pagos, no un incidente aislado por institución.

Chile

Chile aportó menos incidentes puntuales y más señal estructural. El Banco Central de Chile consolidó una narrativa de aumento persistente del fraude digital, con mayor persistencia en tarjetas de débito y montos denunciados de US$98 millones en el primer semestre de 2026. Eso afecta de lleno a emisores, adquirentes y proveedores de medios de pago.

La relevancia sectorial es doble. Primero, porque las tasas de fraude están subiendo en casi todos los instrumentos. Segundo, porque el propio banco central llama a reforzar regulación y controles. En términos de riesgo, Chile aparece menos como país de incidente puntual y más como país donde la estadística ya obliga a reconfigurar controles.

Perú

Perú entra por Kambista, que notificó una posible exposición de datos en su infraestructura en la nube. Aunque no se confirmó extracción, el hecho de informar preventivamente a usuarios muestra sensibilidad de cumplimiento y gestión reputacional. Para una fintech de cambio digital, la sola posibilidad de exposición ya puede disparar obligaciones internas de revisión y comunicación.

Subsegmentos

En el subsegmento de billeteras y cobros electrónicos, TelePASE y Mercado Pago concentraron la falla más visible. En adquirencia y registración de recibíveis, TAG fue el caso más serio. En banca y fraude financiero organizado, Brasil concentró varias operaciones oficiales. Y en criptofinanzas, Avici y Rain mostraron cómo una infraestructura de tarjetas puede afectar a múltiples programas al mismo tiempo.

Tendencias y señales a monitorear

La comparación con julio muestra un cambio de eje evidente. El mes anterior estaba dominado por vulnerabilidades, con 40 de 66 hechos. En agosto, el centro de gravedad pasó a fraude, con 25 de 83 hechos. Eso no significa que la superficie técnica haya mejorado de manera uniforme, sino que el material disponible capturó más incidentes operativos, más intentos de desvío y más casos de validación insuficiente.

La suba de incidentes sin tipificar, de 3 a 19, es una señal de alerta metodológica y operativa. Para quien administra una cartera de pagos, eso puede implicar que el ecosistema está viendo más eventos cuya naturaleza real todavía no quedó clara al momento de la publicación. En la práctica, un incidente no tipificado obliga a seguirlo como potencial brecha, interrupción o fraude hasta que se confirme lo contrario.

La reducción de CVEs críticos mencionados, de 15 a 1, también requiere cuidado. No se trata de una mejora de la exposición regional, sino de un cambio en el tipo de hechos reportados por las fuentes. Agosto trajo menos divulgación de vulnerabilidades técnicas y más casos de fraude, operaciones policiales y problemas de procesamiento. La lectura correcta es de desplazamiento de la atención, no de relajación del riesgo.

La señal más fuerte a monitorear es la combinación entre fraude y capas de infraestructura compartida. TAG, TelePASE y Rain muestran que el riesgo no está solo en el usuario final, sino en el circuito de cálculo, autorización, liquidación y actualización de contratos. Eso amplía el radio de exposición a procesadores, registradoras, adquirentes, billeteras y socios emisores.

Recomendaciones para equipos de seguridad

Los equipos de seguridad de neobancos, fintechs y PSP deberían tratar agosto como un mes de control de integridad de pagos, no solo de prevención de intrusión. La evidencia disponible sugiere priorizar validación transaccional, correlación antifraude, monitoreo de terceros y planes de respuesta que incluyan comunicación operativa y legal.

Primero, hay que reforzar los controles de integridad en toda la cadena de procesamiento. El caso Riccheri demuestra que un error de tarificación puede pasar de la captura al débito final sin una barrera de contención. Eso exige límites de valor, reglas de excepción, pruebas de reconciliación y alertas para desvíos de magnitud inusual antes de que el cargo se liquide.

Segundo, conviene revisar dependencias de terceros y contratos de actualización. El incidente de Avici y Rain muestra que una versión antigua de un contrato de tarjeta puede quedar activa y convertirse en punto de falla. Los equipos deberían exigir inventario de versiones, confirmación de parches, pruebas de comportamiento anómalo y criterios claros para desactivar programas heredados.

Tercero, en Brasil y en cualquier red de adquirencia o registración, el monitoreo de contrapartes debe ser parte de la defensa. El caso TAG indica que una alerta de un tercero puede frenar una operación masiva. Eso sugiere integrar señales externas, listas de destino sospechoso, validación cruzada de cuentas y escalamiento rápido entre actores del ecosistema.

Cuarto, los procedimientos de respuesta deben incluir el plano regulatorio desde el inicio. En Chile, la obligación de informar al CSIRT Nacional puede aplicar a operadores críticos y proveedores esenciales. En contextos de posible exposición de datos, como Kambista, la notificación preventiva y la trazabilidad del análisis interno son tan importantes como el análisis forense.

Quinto, hay que separar claramente fraude, extorsión y vulnerabilidad técnica en la clasificación interna. Si un equipo mezcla categorías, pierde capacidad de priorizar. Agosto mostró extorsión con amenaza de filtración, fraude transaccional, fallas de procesamiento y una vulnerabilidad de contratos de tarjeta. Cada una pide controles distintos y rutas de escalamiento distintas.

Preguntas frecuentes

¿Qué país mostró la señal más dura para pagos digitales en agosto?

Brasil concentró la mayor densidad de hechos sobre fraude, extorsión e investigaciones oficiales, mientras Chile aportó la señal estadística más persistente sobre aumento del fraude digital. Argentina destacó por una falla masiva de procesamiento en peajes y Perú por una posible exposición de datos en una fintech.

¿El caso de TelePASE en la Riccheri fue un ciberataque?

No, la cobertura disponible lo describe como un error de procesamiento y tarificación en la integración entre TelePASE y Mercado Pago. El caso fue grave por el monto debitado y por la falla de control, pero el material no atribuye intrusión maliciosa. Ver la sección Incidentes relevantes.

¿Cuál fue la amenaza predominante del mes y cómo se relaciona con las operaciones bloqueadas?

La amenaza predominante fue el fraude, con 25 de 83 hechos verificados. Eso incluye intentos bloqueados, alertas sectoriales y desvíos evitados, como el caso TAG en Brasil. La combinación de fraude detectado y fraude frustrado muestra que la defensa se está activando, pero también que la presión sigue alta.

¿Qué implica que haya 19 incidentes sin tipificar?

Implica que el material del mes registró 19 hechos como brechas o interrupciones, pero sin detalles suficientes para clasificarlos con precisión técnica. No significa que sean menos graves. Para seguridad y cumplimiento, un incidente sin tipificar debe seguirse como potencial exposición, interrupción o fraude hasta su confirmación.

¿Hubo ransomware confirmado en neobancos o PSP de la región?

El material registra dos casos con ransomware o extorsión como eje primario, pero el texto disponible no permite afirmar un ransomware con cifrado de activos confirmado en una fintech regional. En el caso brasileño citado hubo extorsión con amenaza de filtración y pedido de 10 bitcoins, no cifrado verificado.

¿Qué subsegmentos deben revisar primero sus controles?

Adquirencia, registración de pagos, billeteras digitales, casas de cambio digital y neobancos con infraestructura de tarjetas o contratos heredados. El mes mostró fallas en cobro electrónico, intentos de desvío de recibíveis, posible exposición de datos y una vulnerabilidad en contratos de tarjetas sobre Solana.

Limitaciones del material

Este informe se construyó exclusivamente con los hechos fechados en agosto de 2026 provistos en el material de research. No se usó internet ni material externo, y no se incorporaron fuentes fuera de la lista autorizada. Las cifras de indicadores reproducen exactamente la base y la ventana temporal informadas para el período.

Un indicador en 0 o un valor bajo no significa ausencia de riesgo en la región. En particular, el hecho de que los CVEs críticos mencionados sean 1 en agosto solo quiere decir que ese fue el material analizado para este mes, no que no haya habido vulnerabilidades críticas explotadas en América Latina. Lo mismo vale para otras categorías si el corpus no las capturó.

La ventana temporal de los indicadores es 83 hechos con fecha en agosto de 2026, y los datos comparativos corresponden al mes anterior solo como referencia de evolución. No se contaron hechos de meses anteriores dentro del período, aunque algunos se usaron para contextualizar tendencias o explicar antecedentes técnicos.

Quedaron excluidos de la evidencia las redes sociales de consumo y publicaciones no autorizadas como fuente principal, los contenidos patrocinados, los press releases comerciales y cualquier material que no estuviera en la lista de fuentes disponibles para citar. También se excluyó toda telemetría agregada de intentos o bloqueos automatizados, porque no constituye incidente y no puede sumarse a los conteos del mes.