CNBV libera SMS na autenticação fintech

A CNBV alterou as disposições aplicáveis às instituições de crédito para permitir o envio de códigos de segurança por SMS, e-mail e serviços de mensagens instantâneas cifradas em operações realizadas por meio de comissários de base tecnológica. A resolução foi publicada no Diario Oficial de la Federación em 1º de setembro de 2026 e passou a valer em 2 de setembro de 2026, segundo compilações normativas.

O que muda na autenticação?

A nova redação mantém a senha definida pelo cliente e acrescenta o SMS como canal válido para receber o fator de autenticação categoria 3. A CNBV também permite que o cliente escolha entre e-mail, mensageria instantânea cifrada ou número de telefone celular para receber o código, enquanto algumas consultas de saldo e movimentações passam a exigir apenas um fator de autenticação categoria 2.

Esse ajuste reduz o número de fatores exigidos em relação ao modelo anterior em determinadas operações. De acordo com coberturas baseadas na CNBV, a mudança se aplica a consultas específicas feitas por meio de comissários de base tecnológica.

A quais operações alcança?

As novas regras se aplicam, entre outros casos, à abertura de contas de nível 2, transferências associadas a essas contas, empréstimos de até 3.000 UDIs e pagamentos de bens e serviços feitos por meio de comissários de base tecnológica. Elas também abrangem as operações para as quais sejam enviados fatores de autenticação categoria 3.

A resolução modificatória também incorpora uma obrigação operacional para as instituições de crédito. Elas devem permitir que o cliente altere tanto seu fator de autenticação categoria 2 quanto o meio de contato para receber o fator categoria 3, inclusive SMS, por meio de uma opção explícita na página ou no app do comissário que redirecione para a infraestrutura tecnológica do banco.

Que papel o banco mantém?

A infraestrutura tecnológica do banco segue como ponto central de controle para cadastros e mudanças de credenciais. As análises privadas do texto da resolução indicam que as interfaces dos comissários devem redirecionar obrigatoriamente para essa infraestrutura quando o cliente modificar seus dados ou o canal de recebimento do código.

Na prática, a CNBV flexibilizou o canal de entrega do segundo ou terceiro fator, mas manteve o controle operacional no banco. Os resumos setoriais também descrevem que a reforma busca permitir o uso de SMS sem perder rastreabilidade sobre o processo de autenticação.

Como isso se conecta ao restante da regulação financeira?

A decisão ocorre em paralelo a outra frente regulatória aberta por Banxico e pela CNBV em consulta pública, um projeto de disposições para redes de meios de disposição, voltado a pagamentos com cartão e a dar mais segurança jurídica a intermediários financeiros, adquirentes e câmaras de compensação.

Esse projeto inclui limites para as taxas de intercâmbio. Para cartões de crédito, propõe teto de 1,30% por operação e uma restrição adicional para que o total cobrado em 12 meses não ultrapasse 1% do volume operado com cartões de crédito de cada emissor. No débito, mantém a taxa de 0,30% por operação e introduz um limite de 10,80 pesos por transação.

A consulta pública ficará aberta até 24 de setembro de 2026, e os percentuais e tetos ainda podem ser ajustados com base nos comentários do mercado. A Fintech México reconheceu avanços na publicação do projeto, embora tenha antecipado que avaliará seu impacto sobre concorrência e modelo de negócio antes de fixar uma posição definitiva.

Que antecedente recente houve com a Superdigital?

Em paralelo, a CNBV declarou procedente a revogação da autorização de operação da Superdigital, fintech ligada ao Santander por meio da PagoNxt. O ofício publicado no Diario Oficial de la Federación e as coberturas de negócios coincidem que a decisão afetou sua operação como instituição de fundos de pagamento eletrônico, sem implicar diretamente outros negócios bancários do grupo no México.

A autoridade avaliou risco operacional e tecnológico, segurança da informação e cumprimento em matéria de prevenção de operações com recursos de origem ilícita e financiamento ao terrorismo. Segundo o ofício de revogação, o ato foi emitido a pedido da própria instituição.