BCB 766 cambia el MED del Pix en Brasil

Timeline de la operación

Cadena de ataque y TTPs

La actualización normativa del Pix no se explica por una sola técnica de abuso, sino por un conjunto de vectores que se repiten y se combinan. El patrón dominante que emerge del research es el de ingeniería social apoyada por mensajería instantánea, llamadas falsas, anuncios patrocinados, sitios clonados y, cada vez más, uso de IA para reforzar la credibilidad del engaño. La cadena suele terminar en una transferencia Pix, pero el engaño previo varía. A veces se trata de una falsa central bancaria. En otros casos, de alquileres inexistentes, renegociaciones de deuda, beneficios públicos falsos o cobros apócrifos de organismos oficiales.

El MED 2.0 se diseñó precisamente para responder a una realidad donde el dinero no siempre queda en la primera cuenta que recibe el Pix fraudulento. Finsiders Brasil y Folha Jundiaiense explican que la nueva arquitectura permite mapear la “árvore” de transacciones derivadas de una transacción raíz y pedir bloqueos fraccionados en varios bancos, de modo que la suma alcance el valor original aun cuando el dinero haya sido dispersado. Eso es importante porque los delincuentes fragmentan recursos para dificultar rastreo y restitución.

Las notificações de infração son el mecanismo de coordinación. Migalhas señala que el DICT permite identificar rutas de escoamento de recursos y coordinar bloqueos y devoluciones secuenciales entre instituciones. La versión 8.5 agrega un campo de profundidad en el grafo, TransactionDepth, para indicar la capa a la que pertenece la notificación. Diario do Comércio informó que esa información pasará a figurar desde el 26 de octubre de 2026 en las notificaciones enviadas al participante que detenta la cuenta del potencial fraudador.

La táctica criminal, en cambio, sigue teniendo un componente humano fuerte. Correio do Povo cita estudios que atribuyen cerca del 40% de las fraudes financieras en Brasil a la ingeniería social, con variantes como falsas centrales, suplantación de funcionarios bancarios y falsas operaciones policiales. Super Rádio Tupi añadió que los delincuentes compran tráfico online, adquieren bases de datos y emplean IA para refinar mensajes y anuncios antes de cerrar la captura con un pago financiero. El material también reporta casos donde se usan datos personales reales, como CPF y fecha de nacimiento, para simular atendimiento individualizado.

Impacto regional

Panorama regional

El impacto regional del cambio se concentra en Brasil, porque es allí donde el Pix, el DICT y el MED forman un ecosistema operativo único. El resto de los países del bloque no presenta hechos verificables adicionales en el material suministrado. Dentro de Brasil, la reforma afecta a bancos, fintechs, adquirentes, proveedores de servicios de pago, comercios con alto volumen de Pix y equipos antifraude que deberán ajustar conciliación, respuesta a notificaciones y validación de identidades.

Brasil

Brasil concentra la modificación regulatoria y el resto de los países del informe no tienen cobertura factual adicional en el research. La Instrução Normativa BCB nº 766 y su ajuste posterior, la IN nº 767, reorganizan la entrada en vigor de cambios al Manual Operacional do DICT en dos grandes bloques: 10 de agosto, para el rastreo y monitoreo inicial, y 1º de septiembre, para la ampliación del plazo de contestación del MED. Parte de los ajustes operativos vinculados a notificações de infração se trasladan al 26 de octubre.

La lectura de las fuentes permite separar tres capas. La primera es la capa reglamentaria, con la versión 8.5 del manual y la revocación de la IN nº 752. La segunda es la capa técnica, donde se agregan atributos de rastreo, validación de CPF y CNPJ en la Receita Federal, reglas para Pix Automático ante errores operativos y una estructura de notificación capaz de reflejar la profundidad de la transacción. La tercera es la capa antifraude, con el MED 2.0, la posibilidad de rastrear recursos en camadas y el uso de señales centralizadas para sostener decisiones de bloqueo o devolución.

En paralelo, la presión del fraude es nacional y concreta. Los datos recogidos por la prensa económica y por estudios sectoriales muestran un crecimiento fuerte de las pérdidas, un porcentaje bajo de recuperación efectiva y una variedad de golpes que ya no depende solo de la suplantación telefónica. Hay fraude con Pix en falsas renegociaciones de deuda, en anuncios de alquiler, en cobros por beneficios inexistentes, en mensajes que explotan programas públicos, en tiendas que reciben comprobantes adulterados, en contagio vía WhatsApp y en ataques que usan malware para capturar credenciales o SMS. Eso explica por qué el BC impulsa también alertas de golpe a clientes y un indicador centralizado de probabilidad de fraude con IA.

La consecuencia práctica es que la gestión del riesgo deja de ser solo transaccional. Las instituciones tendrán que consolidar procesos de verificación de chaves, análisis de patrones atípicos, conciliación detallada, trazabilidad de pedidos y respuesta a notificaciones de infraestructura y recuperación. Revista Empreende advierte que comercios y plataformas también necesitan registros más finos, porque el flujo de rastreo puede alcanzar cuentas posteriores, no solo la primera receptora. Finsiders añade un punto jurídico: si las instituciones no estructuran bien el flujo de aceptación o rechazo de devoluciones, pueden exponerse a acciones de víctimas y de recebedores afectados por estornos.

Indicadores técnicos

No se publicaron IOCs clásicos, como hashes, IPs o dominios únicos atribuibles a un mismo actor, en el material consolidado. Lo verificable en esta investigación son indicadores operativos y regulatorios, útiles para monitoreo de fraude y cumplimiento.

Análisis para equipos de seguridad

La actualización del Pix obliga a separar prevención, detección y respuesta. En prevención, el primer ajuste es de identidad. La versión 8.5 del Manual Operacional do DICT incorpora la validación de CPF y CNPJ en bases de la Receita Federal al registrar o alterar chaves Pix, lo que vuelve más estricta la higiene del directorio. Para bancos, fintechs y PSP, eso exige depurar procesos de onboarding y cambios de llave, porque una mala validación puede abrir la puerta a cuentas usadas como paso intermedio en fraudes.

En detección, el foco ya no puede estar solo en la transacción individual. El material muestra que el fraude se fragmenta entre varias instituciones y varias cuentas. El MED 2.0 y el rastreo en capas permiten seguir la ruta del dinero y pedir bloqueos fraccionados, pero esa capacidad depende de que los equipos operen reglas de alerta sobre comportamientos atípicos, concentración inusual de destinatarios, velocidad de dispersión de fondos y coincidencia con patrones de golpe conocidos. Los casos judiciales citados en RRR Advogados y Correio Braziliense muestran que la ausencia de bloqueos preventivos o de reacción oportuna puede terminar en condenas contra bancos.

En respuesta, la prioridad operativa es coordinar los tiempos. El sistema entra en una fase donde algunas reglas ya aplican desde el 10 de agosto, otras desde el 1º de septiembre y ciertas notificaciones cambian recién el 26 de octubre. Eso obliga a mapear dependencias entre tecnología, jurídico, atención al cliente y prevención de fraude. Si una institución solo actualiza el front de atención, pero no sus flujos internos de contestación, bloqueo y devolución, quedará expuesta a una doble presión: la de la víctima que reclama recuperación y la del recebedor afectado por un estorno que impugna la operación.

La superficie de ataque también es humana. Las guías del CERT.br y de M2Works son explícitas: ante una sospecha de golpe, hay que cortar el contacto, entrar al aplicativo oficial, localizar la transacción, registrar la contestación como fraude o ingeniería social, pedir la apertura del MED y preservar pruebas. Para equipos de seguridad y fraude, eso se traduce en dos tareas concretas. La primera es educar a usuarios y call centers para que no validen pedidos por canales no oficiales. La segunda es asegurar que la evidencia llegue íntegra al back office, con mensajes, enlaces, comprobantes y trazas de acceso.

A nivel de priorización, los vectores con mayor urgencia son tres. Uno, falsas centrales y suplantación de instituciones, porque siguen concentrando muchos casos y se apoyan en ingeniería social de bajo costo. Dos, ataques con datos reales y soportes visuales, como el golpe do Desenrola o las campañas que usan IA, porque elevan la tasa de confianza de la víctima. Tres, malware móvil y cuentas comprometidas, porque dejan una huella más difícil de revertir y pueden habilitar transferencias en tiempo real. En los tres casos, el objetivo operacional debería ser contener la fragmentación del dinero y elevar la calidad de la respuesta en las primeras horas.

Preguntas frecuentes

¿Qué cambió exactamente en el Pix entre agosto y octubre de 2026?

Cambió el marco operativo del DICT y del MED en tres fechas. El 10 de agosto empezó el nuevo monitoreo asociado al rastreo de contas laranja. El 1º de septiembre se amplió a 80 días el plazo para contestar devoluciones del MED. Y el 26 de octubre se incorporará más detalle en ciertas notificações de infração, según el Banco Central.

¿La nueva versión del MED le da más tiempo a la víctima para pedir devolución?

No. Según Revista Fórum y Finsiders Brasil, el plazo de hasta 80 días para que la víctima solicite la apertura del MED ya existía. Lo que se amplió a 80 días fue el tiempo para que el recebedor o la institución conteste una devolución sospechosa de fraude. La diferencia impacta sobre la respuesta interna del sistema.

¿Qué relación hay entre el rastreo en capas y los golpes con WhatsApp?

El rastreo en capas responde a fraudes que no terminan en la primera transferencia. El material muestra que muchos golpes usan WhatsApp como vector inicial y Pix como etapa final, y que el dinero suele fragmentarse en varias cuentas. Por eso el MED 2.0 busca seguir la ruta completa, no solo el primer giro.

¿Qué deben hacer bancos y fintechs con las nuevas reglas?

Deben validar mejor CPF y CNPJ en las chaves Pix, responder notificaciones dentro de nuevos plazos, preparar conciliación detallada y sostener bloqueos fraccionados entre varias instituciones. Además, si identifican transacciones atípicas, deberán trabajar con alertas de golpe y con procesos que soporten disputas judiciales de víctimas y recebedores.

¿Qué tipos de fraude aparecen con más fuerza en el material?

Aparecen falsas centrales bancarias, alquileres fantasma, golpes de Desenrola, phishing que imita a la Receita Federal, anuncios con IA y troyanos bancarios para Android. Todos comparten un mismo desenlace: inducen al usuario a transferir por Pix o habilitan transferencias fraudulentas desde dispositivos o cuentas comprometidas.

¿El Banco Central considera que el Pix fue comprometido en su infraestructura central?

No, según Olhar Digital, el Banco Central sostuvo que la infraestructura central del Pix nunca sufrió un ataque exitoso. El problema que aborda la IN nº 766 no es una caída del sistema, sino la explotación fraudulenta de sus flujos por ingeniería social, cuentas de alquiler, phishing y malware.

Limitaciones del material

El research no aporta el texto íntegro de la Instrução Normativa BCB nº 766 ni de la nº 767, por lo que este informe reconstruye sus efectos a partir de coberturas especializadas y descripciones técnicas secundarias. Tampoco hay IOCs clásicos atribuibles a un actor único, ni datos suficientes para afirmar con precisión cómo se implementa internamente cada validación técnica en todos los participantes.

No se verificaron hechos adicionales para Argentina, Chile, Paraguay, Bolivia, Perú, Colombia, México, Estados Unidos o Uruguay. La cobertura factual disponible se concentra en Brasil y en su infraestructura Pix. El indicador de probabilidad de fraude con IA aparece como proyecto en desarrollo, sin cronograma de despliegue confirmado en el material.

En cuanto a la evolución del MED 2.0, una parte de las fuentes lo presenta como ya en producción desde mayo de 2026, pero no se detallan en el fragmento disponible los dispositivos normativos concretos que activan cada fase. Por eso este informe conserva la atribución temporal exacta cuando fue verificada y marca como operativa la diferencia entre producción previa y vigencia escalonada de ajustes posteriores.