BCRA activa score antifraude en transferencias

El Banco Central de la República Argentina dictó la Comunicación A 8473 y puso en marcha un sistema de evaluación de riesgo de fraude para pagos electrónicos basado en información que el propio BCRA suministrará a los administradores de transferencias inmediatas. La medida alcanza a entidades financieras, PSPCP y administradores del esquema, y se integra con una apertura de datos pública orientada a detectar maniobras sospechosas, cuentas vinculadas a fraudes y juego ilegal.

¿Qué cambia con la Comunicación A 8473?

La norma obliga a usar un score de riesgo de fraude para el alta de clientes, el monitoreo transaccional y la revisión periódica del padrón, con evidencia disponible para la Superintendencia de Entidades Financieras y Cambiarias. Además, fija que la información y el score se utilicen solo para las finalidades previstas y con controles de trazabilidad y resguardo.

Según el análisis de Bruchou & Funes de Rioja, el BCRA entregará mensualmente y sin costo a los administradores de transferencias inmediatas información sobre personas humanas de carácter público o agregada, que deberá combinarse con datos de la Central de Prevención de Fraude y, eventualmente, con información transaccional compartida. Con eso, se construirá un score por cada CUIL o CUIT para ponerlo a disposición de bancos y PSPCP que originen transferencias inmediatas.

¿A quiénes alcanza y qué deben conservar?

La Comunicación A 8473 alcanza a entidades financieras, Proveedores de Servicios de Pago que ofrecen Cuentas de Pago y administradores de transferencias inmediatas, y les impone conservar evidencia del uso del score en procesos clave. También deben adoptar medidas de seguridad, confidencialidad, integridad y disponibilidad de la información, con mecanismos de control sobre accesos, usos, transferencias e incidentes.

Bruchou & Funes de Rioja señala que esa evidencia debe quedar disponible ante la supervisión del regulador. El mismo análisis agrega que los sujetos alcanzados pueden ser sancionados bajo los artículos 41 y 42 de la Ley de Entidades Financieras, con multas, inhabilitaciones y otras medidas administrativas en caso de incumplimiento.

¿Qué plazos fijó el BCRA?

La norma estableció plazos diferenciados: 60 días corridos desde que los administradores suministren la documentación técnica sobre el score para las altas de clientes y la revisión periódica del padrón, y 90 días corridos para el monitoreo transaccional.

Para los administradores de transferencias inmediatas, Bruchou & Funes de Rioja precisa un plazo propio de 120 días corridos desde la publicación de la norma para implementar el esquema. Coberturas periodísticas en Argentina indicaron además que la puesta en marcha sería gradual y que desde septiembre de 2026 los administradores empezarían a recibir la información pública para construir perfiles de riesgo y distribuirlos sin costo entre bancos y PSPCP.

¿Cómo se conecta con otras reglas de la región?

En Argentina, Ciberseguridad Latam venía destacando la Comunicación A 7724 del BCRA como un instrumento relevante en la regulación de ciberseguridad de los bancos y en el combate contra el cibercrimen. En paralelo, la prensa generalista local señaló que la Comunicación A 8471 incorporó el fraude interno y externo al marco de gestión del riesgo operacional y exigió estrategias, políticas y prácticas antifraude, además de una estructura responsable formal.

En México, la CNBV también viene ajustando reglas de autenticación y seguridad en operaciones por comisionistas tecnológicos y canales digitales. Según Ciberseguridad Latam, esas flexibilizaciones alcanzan consultas de saldo y operaciones de bajo riesgo, aunque se mantienen requisitos reforzados de múltiple factor para transacciones de mayor riesgo. ZeroTrust Consulting agregó que ciertas reglas permiten el uso de SMS como factor de autenticación en algunos esquemas de menor riesgo.

Los Criterios de Política Económica 2027 de la SHCP, por su parte, indican que la dependencia participará en trabajos de coordinación y comunicación entre autoridades financieras para atender incidentes de ciberseguridad y seguirá impulsando cambios regulatorios en prevención de lavado de dinero y financiamiento al terrorismo. Un análisis de Truora también remarca que la CNBV exige identificación y verificación continua de la identidad de los clientes antes y durante toda la relación con la institución, no solo en el onboarding.