Neobancos, fintechs e PSPs, agosto de 2026

Ameaças e campanhas ativas

Em agosto, o cenário não foi dominado por uma campanha clássica de ransomware contra fintechs da região, mas por um ecossistema de fraude, extorsão e abuso de infraestrutura de pagamentos. A diferença importa, porque muda quais controles devem ser priorizados: autenticação e autorização, integridade de processamento, monitoramento de contrapartes e resposta coordenada com redes de pagamento e reguladores.

Ransomware e extorsão

Houve dois casos com ransomware ou extorsão como eixo principal, e em ambos o material permite ler com clareza o componente de pressão financeira. O primeiro foi a investigação da Polícia Federal no Brasil sobre um grupo que invadiu o sistema de uma instituição financeira e exigiu 10 bitcoins para não divulgar dados sigilosos. A cobertura do Correio Braziliense acrescenta que a exigência equivalia a aproximadamente R$ 328 mil.

Aqui, a fonte descreve de fato uma extorsão clássica, com ameaça de vazamento e pagamento em criptoativos. Não há no material precisão suficiente para afirmar se houve criptografia de ativos, então o correto é tratá-lo como extorsão com ameaça de divulgação, e não como ransomware com criptografia confirmada. Esse cuidado evita misturar impacto legal com impacto operacional.

O segundo caso ligado a pressão ou dano econômico foi a exposição no ecossistema cripto de cartões da Avici e Rain, mas ele não entra na mesma categoria. Nesse episódio, o vetor foi uma vulnerabilidade de autorização em contratos de cartão, não uma extorsão. A recuperação ocorreu por meio de reembolsos e correções, não por negociação com atacantes.

Fraude e phishing

A fraude foi a ameaça predominante do mês e atravessou vários subsegmentos. O caso TAG mostrou uma tentativa de desvio de recebíveis, o episódio de Riccheri mostrou uma fraude operacional de cobrança, e o Chile trouxe um sinal estatístico persistente de aumento de fraude em meios digitais, especialmente em cartões de débito e crédito.

A particularidade de agosto é que boa parte da fraude não ficou só na tentativa. Houve casos bloqueados, alertados e encaminhados às autoridades. Isso significa que o setor está detectando mais, mas também que o volume de exposição é alto. O fato de 25 de 83 fatos verificados terem sido fraude ou phishing documentado marca uma pressão sustentada sobre a camada transacional.

A leitura dos casos brasileiros é que a fraude já não depende apenas de enganar o usuário final. Ela também pode consistir em manipular relações de confiança entre registradoras, adquirentes e contas de destino. A leitura do Chile, por sua vez, reforça a persistência do risco nos pagamentos cotidianos e o maior peso dos cartões de débito. São duas faces do mesmo problema.

APT e intrusão organizada

Não houve no material uma campanha APT clássica atribuída a um grupo persistente com foco regional em neobancos ou PSPs da América Latina. Aparecem, sim, indícios de intrusão organizada, como a investigação brasileira sobre o ataque a uma instituição financeira alemã, e os casos de invasões a sistemas financeiros no Brasil. Mas o material não é suficiente para tipificar uma campanha APT em sentido estrito.

A ausência de uma campanha APT claramente documentada não equivale à ausência de intrusão sofisticada. Significa apenas que agosto foi dominado por fraude, extorsão, erros de processamento e vulnerabilidades de contratos, não por atribuições sólidas a um ator persistente. Para inteligência defensiva, isso também é uma sinalização útil: o ecossistema está mais perto da fraude em larga escala do que de uma ofensiva discreta e duradoura.

Vulnerabilidades críticas

O material analisado registrou 1 CVE crítico mencionado no período, mas não o identificou com número nem com detalhe técnico suficiente para montar uma tabela de exploração. Isso não significa ausência de vulnerabilidades críticas na região. Em agosto, o período foi dominado por incidentes operacionais, fraude e casos de fraude financeira, não por divulgações técnicas de CVE.

A lição prática deste bloco é que a superfície crítica do setor não se limita ao software tradicional. Em agosto, a vulnerabilidade mais clara não apareceu como um CVE explorado em um app de banco, mas como um problema de lógica contratual e de atualização defeituosa na camada de pagamentos e cartões. Isso obriga a ampliar o inventário de riscos além do software instalado em servidores.

Regulação e conformidade

Agosto trouxe quatro movimentos regulatórios documentados, e todos apontam na mesma direção: mais obrigação de reporte, mais exigência de resposta e mais supervisão sobre provedores de pagamentos. A região não está vendo alívio, mas um endurecimento do marco de notificação e controle.

No Chile, o Banco Central publicou e explicou seu Informe de Sistemas de Pago 2026, com foco em fraude digital e no aumento persistente desde 2024. O material oficial é relevante porque não se limita a descrever perdas, mas pressiona por medidas regulatórias mais fortes e ações dos provedores de meios de pagamento. Essa formulação coloca o setor sob escrutínio direto.

A TrendTIC lembrou que, sob a Lei Marco de Cibersegurança no Chile, as instituições públicas e privadas declaradas Operadores de Infraestrutura Crítica ou Provedores de Serviços Essenciais deverão informar ao CSIRT Nacional qualquer ciberataque ou incidente com efeitos significativos. Para o ecossistema de pagamentos, isso significa que uma parte da indústria terá deveres formais de notificação mais rigorosos e mais cedo.

No Brasil, a resposta oficial a fraudes e invasões também foi institucionalizada. A Polícia Federal comunicou operações como Pane Seca, Ouroboros e Klonen, com coordenação de investigação e comunicação às autoridades competentes. Embora não sejam regulações em sentido estrito, elas mostram um ambiente em que fraude financeira, lavagem de dinheiro e ciberintrusão passam a ser perseguidas de forma cada vez mais integrada.

O caso TAG também evidenciou o valor do reporte e da cooperação entre atores privados. A empresa ativou protocolos, bloqueou acessos e comunicou as autoridades, enquanto entidades setoriais alertaram seus associados. Em termos de conformidade, essa reação importa tanto quanto o controle preventivo, porque o padrão operacional já não é só evitar o evento, mas demonstrar rastreabilidade e contenção.

Países e subsegmentos mais afetados

A distribuição geográfica do mês não foi homogênea. Argentina, Brasil, Chile e Peru concentraram o sinal mais claro, com níveis de detalhe distintos em cada caso. Entre os subsegmentos, os mais expostos foram banca e adquirência, registradoras de pagamentos, carteiras e casas de câmbio digitais, além do ecossistema cripto de cartões.

Argentina

A Argentina ficou marcada pelo caso Riccheri, que colocou sob escrutínio a integração entre pedágio eletrônico, carteira virtual e conciliação de cobranças. O impacto foi muito visível porque o desvio afetou valores centenas de vezes superiores ao esperado e porque a cobertura da imprensa foi ampla. Para o subsegmento de PSP, o episódio serve de alerta de que uma falha de cálculo pode ter quase o mesmo efeito reputacional que um vazamento.

O circuito de reclamação documentado pela Alerta Tránsito também mostra uma cadeia formal de resposta que envolve a concessionária, a TelePASE e, por fim, a Vialidad. Essa sequência ajuda a entender como incidentes de cobrança são resolvidos em infraestrutura crítica de serviços massivos. Não se trata de um caso de ciberataque, mas de integridade transacional rompida.

Brasil

O Brasil foi o país com maior densidade de fatos ligados a fraude financeira, extorsão e investigação policial. Os três eixos mais claros foram a tentativa de fraude de R$ 350 milhões contra a TAG, as operações Pane Seca, Ouroboros e Klonen, e a investigação ligada a um ataque a uma instituição financeira alemã com participação suspeita de um grupo brasileiro.

A leitura por subsegmento também é contundente. Stone, TAG, registradoras, adquirência, bancos e ecossistemas de pagamentos aparecem interconectados. A isso se somam sinais de lavagem com contas de trânsito, empresas e plataformas de ativos virtuais. O Brasil mostrou um problema de cadeia de pagamentos, não um incidente isolado por instituição.

Chile

O Chile trouxe menos incidentes pontuais e mais sinal estrutural. O Banco Central do Chile consolidou uma narrativa de aumento persistente da fraude digital, com maior persistência em cartões de débito e valores denunciados de US$98 milhões no primeiro semestre de 2026. Isso afeta diretamente emissores, adquirentes e fornecedores de meios de pagamento.

A relevância setorial é dupla. Primeiro, porque as taxas de fraude estão subindo em quase todos os instrumentos. Segundo, porque o próprio banco central pede reforço de regulação e controles. Em termos de risco, o Chile aparece menos como país de incidente pontual e mais como país em que a estatística já obriga a reconfigurar controles.

Peru

O Peru entra por meio da Kambista, que notificou uma possível exposição de dados em sua infraestrutura em nuvem. Embora a extração não tenha sido confirmada, o fato de informar preventivamente os usuários mostra sensibilidade de compliance e gestão reputacional. Para uma fintech de câmbio digital, a simples possibilidade de exposição já pode acionar obrigações internas de revisão e comunicação.

Subsegmentos

No subsegmento de carteiras e cobranças eletrônicas, TelePASE e Mercado Pago concentraram a falha mais visível. Em adquirência e registro de recebíveis, a TAG foi o caso mais sério. Em banca e fraude financeira organizada, o Brasil concentrou várias operações oficiais. E, em criptofinanças, Avici e Rain mostraram como uma infraestrutura de cartões pode afetar vários programas ao mesmo tempo.

Tendências e sinais para monitorar

A comparação com julho mostra uma mudança clara de eixo. No mês anterior, as vulnerabilidades dominavam, com 40 de 66 fatos. Em agosto, o centro de gravidade passou para fraude, com 25 de 83 fatos. Isso não quer dizer que a superfície técnica tenha melhorado de forma uniforme, mas que o material disponível capturou mais incidentes operacionais, mais tentativas de desvio e mais casos de validação insuficiente.

A alta de incidentes sem tipificação, de 3 para 19, é um sinal de alerta metodológico e operacional. Para quem administra uma carteira de pagamentos, isso pode indicar que o ecossistema está vendo mais eventos cuja natureza real ainda não estava clara no momento da publicação. Na prática, um incidente não tipificado precisa ser acompanhado como possível brecha, interrupção ou fraude até que se prove o contrário.

A redução de CVEs críticos mencionados, de 15 para 1, também exige cautela. Não se trata de uma melhora na exposição regional, e sim de uma mudança no tipo de fato reportado pelas fontes. Agosto trouxe menos divulgação de vulnerabilidades técnicas e mais casos de fraude, operações policiais e problemas de processamento. A leitura correta é de deslocamento da atenção, não de relaxamento do risco.

O sinal mais forte para monitorar é a combinação entre fraude e camadas de infraestrutura compartilhada. TAG, TelePASE e Rain mostram que o risco não está só no usuário final, mas no circuito de cálculo, autorização, liquidação e atualização de contratos. Isso amplia o raio de exposição para processadores, registradoras, adquirentes, carteiras digitais e parceiros emissores.

Recomendações para equipes de segurança

Equipes de segurança de neobancos, fintechs e PSP devem tratar agosto como um mês de controle de integridade de pagamentos, e não apenas de prevenção de intrusão. A evidência disponível aponta para a priorização de validação transacional, correlação antifraude, monitoramento de terceiros e planos de resposta que incluam comunicação operacional e jurídica.

Primeiro, é preciso reforçar os controles de integridade em toda a cadeia de processamento. O caso Riccheri mostra que um erro de tarifação pode ir da captura ao débito final sem uma barreira de contenção. Isso exige limites de valor, regras de exceção, testes de reconciliação e alertas para desvios de magnitude incomum antes que a cobrança seja liquidada.

Segundo, convém revisar dependências de terceiros e contratos de atualização. O incidente de Avici e Rain mostra que uma versão antiga de um contrato de cartão pode continuar ativa e se tornar um ponto de falha. As equipes devem exigir inventário de versões, confirmação de patches, testes de comportamento anômalo e critérios claros para desativar programas legados.

Terceiro, no Brasil e em qualquer rede de adquirência ou registro, o monitoramento de contrapartes deve fazer parte da defesa. O caso TAG indica que um alerta de um terceiro pode interromper uma operação em massa. Isso sugere integrar sinais externos, listas de destino suspeito, validação cruzada de contas e escalada rápida entre os atores do ecossistema.

Quarto, os procedimentos de resposta devem incluir o plano regulatório desde o início. No Chile, a obrigação de informar o CSIRT Nacional pode se aplicar a operadores críticos e provedores essenciais. Em contextos de possível exposição de dados, como Kambista, a notificação preventiva e a rastreabilidade da análise interna são tão importantes quanto a perícia forense.

Quinto, é preciso separar com clareza fraude, extorsão e vulnerabilidade técnica na classificação interna. Se a equipe mistura categorias, perde capacidade de priorização. Agosto mostrou extorsão com ameaça de vazamento, fraude transacional, falhas de processamento e uma vulnerabilidade de contratos de cartão. Cada uma exige controles distintos e rotas de escalada distintas.

Perguntas frequentes

Qual país mostrou o sinal mais duro para pagamentos digitais em agosto?

O Brasil concentrou a maior densidade de fatos sobre fraude, extorsão e investigações oficiais, enquanto o Chile trouxe o sinal estatístico mais persistente de aumento da fraude digital. A Argentina se destacou por uma falha massiva de processamento em pedágios e o Peru por uma possível exposição de dados em uma fintech.

O caso de TelePASE na Riccheri foi um ciberataque?

Não, a cobertura disponível o descreve como um erro de processamento e tarifação na integração entre TelePASE e Mercado Pago. O caso foi grave pelo valor debitado e pela falha de controle, mas o material não atribui intrusão maliciosa. Ver a seção Incidentes relevantes.

Qual foi a ameaça predominante do mês e como ela se relaciona com as operações bloqueadas?

A ameaça predominante foi a fraude, com 25 de 83 fatos verificados. Isso inclui tentativas bloqueadas, alertas setoriais e desvios evitados, como o caso TAG no Brasil. A combinação de fraude detectada e fraude frustrada mostra que a defesa está reagindo, mas também que a pressão continua alta.

O que significa haver 19 incidentes sem tipificação?

Significa que o material do mês registrou 19 fatos como brechas ou interrupções, mas sem detalhes suficientes para classificá-los com precisão técnica. Isso não quer dizer que sejam menos graves. Para segurança e compliance, um incidente sem tipificação deve ser tratado como potencial exposição, interrupção ou fraude até sua confirmação.

Houve ransomware confirmado em neobancos ou PSP da região?

O material registra dois casos com ransomware ou extorsão como eixo principal, mas o texto disponível não permite afirmar um ransomware com criptografia de ativos confirmado em uma fintech regional. No caso brasileiro citado, houve extorsão com ameaça de vazamento e pedido de 10 bitcoins, não criptografia verificada.

Quais subsegmentos devem revisar primeiro seus controles?

Adquirência, registro de pagamentos, carteiras digitais, casas de câmbio digital e neobancos com infraestrutura de cartões ou contratos legados. O mês mostrou falhas em cobrança eletrônica, tentativas de desvio de recebíveis, possível exposição de dados e uma vulnerabilidade em contratos de cartões sobre Solana.

Limitações do material

Este relatório foi construído exclusivamente com os fatos datados de agosto de 2026 fornecidos no material de pesquisa. Não se usou internet nem material externo, e não foram incorporadas fontes fora da lista autorizada. As cifras dos indicadores reproduzem exatamente a base e a janela temporal informadas para o período.

Um indicador em 0 ou um valor baixo não significa ausência de risco na região. Em particular, o fato de os CVEs críticos mencionados serem 1 em agosto apenas indica que esse foi o material analisado para este mês, não que não tenham ocorrido vulnerabilidades críticas exploradas na América Latina. O mesmo vale para outras categorias, caso o corpus não as tenha capturado.

A janela temporal dos indicadores é de 83 fatos com data em agosto de 2026, e os dados comparativos correspondem ao mês anterior apenas como referência de evolução. Não foram contados fatos de meses anteriores dentro do período, embora alguns tenham sido usados para contextualizar tendências ou explicar antecedentes técnicos.

Foram excluídas da evidência as redes sociais de consumo e publicações não autorizadas como fonte principal, os conteúdos patrocinados, os press releases comerciais e qualquer material que não estivesse na lista de fontes disponíveis para citação. Também foi excluída toda telemetria agregada de tentativas ou bloqueios automatizados, porque não constitui incidente e não pode ser somada aos totais do mês.