BCRA e CNBV endurecem controles antifraude

Atualização 5 de setembro de 2026: A CNBV mexicana não apenas liberou códigos por SMS, como também detalhou o alcance dos comisionistas de base tecnológica e o catálogo de operações permitidas. Na Argentina, o BCRA já colocou em operação a base pública para detectar contas ligadas a fraudes e jogo ilegal.

O Banco Central da República Argentina incluiu a Seção 6.5, de "Gestão do risco de fraude", em seus Lineamientos para a Gestión de Riesgos en las Entidades Financieras e, ao mesmo tempo, colocou em operação, por meio da Comunicação "A" 8473, uma base de dados pública para identificar movimentações suspeitas ligadas a fraudes e jogo ilegal. No México, a CNBV alterou normas para permitir que bancos enviem códigos de segurança por SMS e simplifiquem algumas consultas de saldo.

O que o BCRA exige de bancos e PSP?

A nova Seção 6.5 obriga as entidades financeiras a manter um Programa Antifraude documentado, com coordenação entre compliance, jurídico, cibersegurança e PLAFT. O texto também pede procedimentos de detecção apoiados em soluções tecnológicas, canais de denúncia, protocolos de resposta a incidentes, treinamento e revisão anual.

O cronograma da Comunicação "A" 8471, publicado no Boletim Oficial argentino, estabelece que, entre 1º de setembro de 2026 e 31 de dezembro de 2026, as entidades deverão definir estrutura, políticas e práticas antifraude, papéis e responsabilidades, apetite e tolerância ao risco, além de identificar riscos operacionais e de fraude associados a produtos, serviços, processos, canais digitais e processos críticos. A partir de 1º de janeiro de 2027, os provedores de serviços de pagamento registrados ou autorizados pelo BCRA que antes não estavam alcançados terão de designar uma unidade ou responsável específico, fazer uma autoavaliação, desenvolver um plano de mitigação e cumprir o ponto 6.4 sobre tecnologia e segurança da informação.

Como vai funcionar a base de dados pública do BCRA?

A Comunicação "A" 8473 prevê que as administradoras de transferências imediatas usem uma nova base pública para detectar contas vinculadas a fraudes e jogo ilegal, e que possam alertar bancos e carteiras virtuais. Segundo a cobertura citada, o objetivo declarado é conter golpes virtuais e combater o jogo clandestino por meio da detecção precoce de contas que direcionem recursos para sites de apostas não autorizados.

De acordo com a informação publicada, Coelsa, NewPay, Red Link e Interbanking usarão essa base para elaborar perfis de risco de fraude por pessoa. Esses perfis ficarão disponíveis, sem custo, para instituições financeiras e PSPs no monitoramento diário de transações e na abertura de clientes.

O que mudou no México com a CNBV?

A Comissão Nacional Bancária e de Valores alterou as regras aplicáveis às instituições de crédito para permitir o envio de códigos de segurança, fator de autenticação categoria 3, por SMS, e-mail ou serviços de mensagens instantâneas criptografadas. Para operações de maior risco, continua valendo o uso combinado de fatores de autenticação.

As mudanças nos artigos 319 Bis 2, 319 Bis 3 e 319 Bis 5 também permitem que, para consultas de saldo e movimentações por meio de comisionistas de base tecnológica, seja usado apenas o fator de autenticação categoria 2. Veículos especializados no México indicam que as instituições terão de atualizar aplicativos, políticas de segurança, avisos ao cliente, rastreabilidade das autenticações e mecanismos para alterar fatores e meios de contato.

A resolução que altera os artigos 319 Bis 2, 319 Bis 3 e 319 Bis 5 incorpora de forma explícita a figura dos comisionistas de base tecnológica e delimita o catálogo de operações que podem realizar, incluindo abertura de contas de nível baixo, transferências associadas, créditos de até 3.000 UDIs, pagamentos de bens e serviços, e consultas de saldo e movimentações.

O texto divulgado a partir do DOF destaca como objetivo regulatório a necessidade de um esquema de autenticação diferenciado para operações de menor risco, como consultas, realizadas por meio de comisionistas de base tecnológica. Isso introduz uma abordagem de gestão de risco por tipo de operação dentro da banca digital e das fintechs.

A resolução da CNBV estabelece em seu artigo transitório único que as novas regras de envio de fatores de autenticação e uso de SMS entram em vigor em 2 de setembro de 2026. Expansión e XEU acrescentaram que, desde essa data, os bancos podem enviar por SMS um dos códigos usados para verificar a identidade do cliente em certas operações feitas por meio de comisionistas tecnológicos, como aplicativos móveis e sites.

Que alcance regional essa rodada de mudanças deixa?

As medidas de Argentina e México pressionam bancos, carteiras digitais e provedores de serviços de pagamento a reforçar controles de fraude, autenticação e rastreabilidade sobre operações digitais. Na Argentina, o foco ficou na governança do risco, na coordenação interna e na troca de sinais de fraude. No México, a novidade foi ampliar os canais de entrega de fatores de autenticação e ajustar os esquemas de verificação para operações digitais.