Banca tradicional y aseguradoras — Octubre 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 59 hechos con fecha en octubre 2026. Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo del mes

Octubre dejó una señal dominada por el fraude digital en bancos tradicionales y aseguradoras de América Latina, con 26 hechos sobre 57 verificados en el período. La foto del mes combina campañas de suplantación, créditos falsos, manipulación de credenciales y alertas regulatorias en Argentina, Bolivia, Chile, Colombia, México, Paraguay y Uruguay, junto con una ausencia total de ransomware tipificable en el material analizado.

La intensidad no fue uniforme, pero sí persistente. Hubo 6 incidentes sin tipificar, 26 casos de fraude o phishing documentados y 2 movimientos regulatorios claramente identificados, con una lectura regional de riesgo alta por volumen de engaños, amplitud geográfica y exposición directa de entidades financieras y aseguradoras a técnicas de ingeniería social. La mayor parte de los hechos no describe intrusiones sobre infraestructura crítica, sino explotación del canal humano y del proceso de onboarding, pagos o autenticación.

Argentina concentró una combinación relevante de alertas oficiales y discusión regulatoria. El BCRA reforzó su actividad de prevención del lavado de activos y de análisis de nuevas amenazas junto con la UIF, mientras que distintos medios reflejaron el impacto de la Comunicación A 8471, orientada a ordenar reportes de fraude, responsabilidades internas y trazabilidad de montos reconocidos al cliente. En paralelo, se describieron fraudes por llamadas, estafas a jubilados y exposición a modalidades que explotan la confianza en bancos, billeteras y canales digitales.

Chile mostró una de las agendas más activas del mes, no por una brecha mayor en infraestructura sino por el despliegue de medidas de autenticación reforzada, denuncias de la CMF contra entidades y sitios que ofrecían créditos o cobraban anticipos, y advertencias sobre la suficiencia real de los factores de autenticación frente al phishing. La discusión regulatoria quedó cruzada por un riesgo concreto, que es la captura de credenciales y el desvío de flujos antes de que el usuario advierta la maniobra.

Bolivia, Uruguay, Paraguay, México y Colombia aportaron señales distintas pero coherentes con la misma tendencia. En Bolivia, la policía y Banco Unión describieron enlaces falsos, apps bancarias fraudulentas, clonación de voz con IA y un volumen diario elevado de intentos. En Uruguay, el BCU endureció la autenticación de doble factor y ajustó controles sobre operaciones electrónicas. En Paraguay y México predominaron estafas de créditos y suplantación de instituciones, mientras que en Colombia aparecieron campañas de phishing a gran escala y dominios falsos que imitaban marcas financieras.

Panorama regional del mes

El riesgo regional de octubre se ubica en nivel alto porque el mes combinó abundancia de hechos verificados, dispersión geográfica y una amenaza dominante que afecta directamente los flujos de dinero, la identidad de los clientes y la confianza en las marcas financieras. No hubo una escalada de ransomware ni de extorsión con cifrado confirmado, pero sí una continuidad operativa del fraude digital y de la suplantación de entidades, con impacto potencial sobre cuentas, préstamos, tarjetas y procesos de alta de clientes.

La distribución por país muestra un patrón repetido: los atacantes usan canales de bajo costo y alto alcance, como WhatsApp, Telegram, correo electrónico, llamadas telefónicas, sitios clonados y anuncios en redes sociales. En varios casos, el objetivo no fue solo robar credenciales, sino forzar pagos anticipados, inducir depósitos para retiros inexistentes o instalar malware que habilite transferencias no autorizadas. Ese patrón conecta banca minorista, billeteras, pasarelas de pago y, en algunos casos, aseguradoras y servicios financieros no bancarios.

El frente regulatorio no quedó quieto. Uruguay y Chile reforzaron requisitos de autenticación y reporte, mientras Argentina avanzó en la revisión de reportes de operaciones sospechosas y en la coordinación con la UIF. Colombia apareció con obligaciones de notificación de incidentes significativos, y el resto de la región siguió mirando el mismo problema desde distintos ángulos: cómo exigir más controles sin romper la usabilidad ni dejar huecos en la experiencia de cliente.

La señal general de este mes es que el fraude se está industrializando más rápido que la respuesta homogénea del ecosistema. La evidencia del período no muestra una gran operación de ransomware contra bancos o aseguradoras, pero sí un ecosistema maduro de estafas que combina ingeniería social, automatización, IA generativa, clones de marca, y mecanismos de pago o verificación pensados para mover dinero antes de que intervenga un analista.

Indicadores del período

Incidentes relevantes

Comunicación A 8471 y el giro antifraude en Argentina

La señal más importante en Argentina no fue un incidente aislado sino la consolidación de una respuesta normativa y operativa alrededor del fraude bancario. El BCRA informó reuniones con entidades financieras sobre supervisión y calidad de los Reportes de Operaciones Sospechosas, además de mesas de trabajo con la UIF y actores del sistema para analizar nuevas amenazas y fortalecer capacidades preventivas frente a flujos financieros ilícitos. Eso ubica al fraude y al lavado en un mismo plano de supervisión, con foco en trazabilidad y respuesta temprana.

Dentro de ese marco, VU describió que la Comunicación A 8471 exigirá canales para reportar fraudes y una base única de reportes con datos como montos reconocidos al cliente, con aplicación desde el 1 de diciembre de 2026 para entidades financieras y gradualidad hasta septiembre de 2027 para proveedores de cuentas de pago. Esa arquitectura sugiere que el regulador quiere reducir dispersión de información y mejorar la capacidad de observación de patrones.

Palermonline agregó que la norma incorpora estrategias, responsabilidades, prácticas antifraude e informes trimestrales al directorio, aunque parte de las modificaciones comenzaría el 1 de diciembre. La lectura operativa es clara, el fraude deja de ser solo un tema de atención al cliente y pasa a ser un riesgo de gobierno corporativo. En términos de control, esto obliga a mejorar circuitos internos entre fraude, cumplimiento, riesgos y tecnología.

Estafas a jubilados, llamadas y cuentas vaciadas

El ecosistema argentino mostró también una capa social de fraude muy visible en octubre. Un medio local describió una modalidad en la que delincuentes se hacen pasar por el BCRA, bancos o billeteras mediante llamadas que alegan problemas con una cuenta. El consejo oficial atribuido era cortar el contacto y verificar por canales oficiales obtenidos de forma independiente, una recomendación básica pero necesaria en campañas de vishing.

La cobertura de iProUP sumó dos señales relevantes, aunque ambas deben leerse con cautela metodológica. Por un lado, mencionó que nueve de cada diez adultos mayores habrían estado expuestos a estafas virtuales. Por otro, informó una sentencia que ordenó a Banco Provincia indemnizar a una jubilada de 75 años tras una estafa vinculada con un anuncio de TikTok. El material no permite verificar de forma independiente la encuesta ni todos los extremos del fallo, pero sí refleja un patrón de abuso sobre usuarios de mayor vulnerabilidad digital.

El mismo mes, otro reporte citado por El Observador indicó que los reportes de fraude recibidos por el regulador aumentaron 150% luego de reforzarse las obligaciones de información. La cifra no debe leerse como crecimiento equivalente del delito, sino como mayor volumen de denuncias registradas. Esa aclaración es importante porque muestra que parte de la variación observable puede deberse a mejor captura de eventos y no a una explosión real de ataques.

Bolivia, simulación de crisis y fraude con IA

Bolivia aportó una de las señales más completas del mes por el cruce entre advertencias policiales, trabajo sectorial y estimaciones sobre presión operativa. Banco Unión, Whalemate y la Asociación de Bancos Privados organizaron CiberLATAM Connect 2026 en La Paz, con ponencias y una simulación de crisis para fortalecer la respuesta y coordinación ante un eventual ciberataque. La presencia de una mesa de coordinación sectorial es consistente con un mercado que percibe el fraude como un problema compartido y no como una suma de casos aislados.

La Policía boliviana advirtió sobre enlaces enviados por WhatsApp y Telegram, aplicaciones bancarias fraudulentas, clonación de voz mediante inteligencia artificial y amenazas utilizadas para obtener información personal y acceder a cuentas bancarias. Esa advertencia es relevante porque combina técnicas ya conocidas con una capa nueva de suplantación de voz, algo que puede aumentar la credibilidad de un intento de vishing cuando el atacante usa muestras de audio o contenido sintético.

En paralelo, un subgerente nacional de Seguridad de la Información de Banco Unión estimó que los intentos de ataque contra entidades financieras podían alcanzar entre 1.000 y más de 10.000 por día. Esa cifra pertenece a telemetría o estimación de volumen de intentos, no a incidentes con impacto confirmado, y no debe sumarse al total de hechos. Aun así, sirve para entender la presión diaria que enfrentan las defensas, sobre todo si el mix incluye phishing, suplantación por redes sociales y robo de credenciales.

Chile y el endurecimiento de la autenticación

Chile fue otro foco central, tanto por el andamiaje regulatorio como por la actividad de la CMF contra operadores irregulares. Una cobertura informó que desde el 1 de agosto de 2026 ya eran exigibles determinados casos de uso obligatorio de Autenticación Reforzada de Clientes bajo la Norma de Carácter General N.º 538, aplicada a operaciones sometidas a la Ley N.º 20.009. En paralelo, otra nota recordó que la misma norma establece requisitos de seguridad y autenticación reforzada para determinadas operaciones electrónicas.

Sin embargo, el debate técnico no se agota en el cumplimiento formal. Netprovider advirtió que una autenticación reforzada no equivale necesariamente a autenticación resistente al phishing, porque un código de un solo uso generado por una aplicación aún puede ser interceptado mediante un proxy de adversario en el medio. Diario Constitucional planteó una preocupación similar respecto de la captura de un factor de posesión por vishing. La lectura es que cumplir con la norma no elimina por sí solo el riesgo de ingeniería social avanzada.

La CMF también denunció ante el Ministerio Público a tres entidades que ofrecían créditos por internet y que, según los antecedentes recabados, solicitaban pagos anticipados sin entregar los fondos prometidos. En otra cobertura, el organismo denunció tres sitios web por presunta estafa vinculada con créditos online y emitió alertas sobre las aplicaciones APP MICRO CRÉDITO y APP TESORO CASH, señaladas como vinculadas a técnicas extorsivas y cobros usureros. Esto muestra un vector clásico, el crédito falso, que sigue teniendo tracción porque monetiza la urgencia financiera del usuario.

Colombia y la escalada de suplantación de marcas

Colombia mostró una campaña de fraude digital especialmente visible por su escala y por la infraestructura usada para sostenerla. Impacto TIC reportó una operación que utilizaba 288 dominios falsos para suplantar 47 marcas, incluidas entidades financieras, billeteras digitales, recaudadores de pagos y empresas de servicios públicos. La publicación atribuyó el hallazgo a una firma de ciberseguridad, y el caso es relevante porque combina diversidad de marcas con una infraestructura amplia y persistente.

La cobertura de Semana agregó que el conjunto inicialmente detectado habría pasado de 51 dominios a 288, con 246 direcciones IP y 29 sistemas autónomos. Esos datos proceden de una atribución de inteligencia de amenazas y no describen por sí mismos un impacto financiero confirmado, pero sí reflejan una operación preparada para escalar y absorber derribos parciales. También se indicó que el código empleado para suplantar a 15 entidades financieras podría incluir mecanismos para capturar datos biométricos mediante fotografías o videos, un detalle que eleva el riesgo de apropiación de identidad.

En otro frente, El País Cali informó que el Banco de Bogotá alertó sobre fraudes que combinan mensajes de texto, llamadas y enlaces maliciosos para suplantar entidades reconocidas y obtener datos confidenciales. La advertencia no confirma una intrusión en la infraestructura del banco, pero sí subraya que el problema está en la imitación de la marca y en la captura del usuario, no en la caída de los sistemas corporativos.

México, Paraguay y el mismo patrón de créditos falsos

México mostró una continuidad clara del fraude por suplantación de instituciones financieras. CONDUSEF alertó sobre casos de suplantación mediante llamadas telefónicas, mensajes de WhatsApp, correos electrónicos y páginas de internet que aparentan ser oficiales. López-Dóriga agregó la recomendación de verificar la inscripción y la coincidencia de datos de la entidad en SIPRES, además de desconfiar de pagos anticipados. La combinación de canales es típica, el atacante insiste por varias vías hasta quebrar la prudencia del usuario.

Ámbito México informó que la CONDUSEF vinculó la suplantación con cuatro financieras y describió contactos por teléfono, WhatsApp y correo electrónico, en un contexto de ofertas de créditos falsos y celulares a pagos. El Imparcial, por su parte, detalló una campaña de correos con falsos comprobantes fiscales en PDF que podían instalar troyanos capaces de desviar dinero de bancas en línea, y añadió recomendaciones para validar facturas en el portal del SAT. En ambos casos, la ganancia del atacante depende de la urgencia, la confianza y el hábito de abrir documentos adjuntos.

Paraguay tuvo dos hechos especialmente sensibles. La Tribuna reportó una estafa basada en anuncios falsos en redes sociales que prometían créditos preaprobados para personas reportadas en Informconf, redirigían a las víctimas a Telegram y exigían pagos anticipados. El BCP aclaró que no otorga préstamos ni contacta a particulares para ofrecer servicios o solicitar datos confidenciales. Más tarde, la Superintendencia de Valores advirtió que Broker Mercosul no está inscripto ni autorizado como casa de bolsa, y señaló un esquema que usaba sitios web, Telegram y una supuesta licencia de la extinta Comisión Nacional de Valores.

Brasil y las transacciones no autorizadas con tarjetas

Brasil aportó un caso de fraude más cercano a la monetización directa por transacciones no autorizadas. La Policía Civil de Brasilia y Bahía informó detenciones en una investigación sobre movimientos electrónicos realizados con datos de aproximadamente 400 tarjetas de crédito de clientes de una institución financiera cooperativa. El perjuicio estimado fue de 3 millones de reales, una magnitud que ya no se limita a la tentativa sino a un daño económico materializado.

El valor de este caso está en que muestra la persistencia del fraude con tarjetas en un entorno donde el foco suele estar puesto en transferencias instantáneas o apps de pago. El material disponible no detalla el vector técnico exacto, pero sí confirma que la reutilización de datos de tarjetas sigue siendo rentable cuando el atacante logra combinar credenciales, comercio electrónico y fricción débil en la validación. Para el sector asegurador, este tipo de fraude tiene implicancias indirectas por el aumento de reclamos, disputas y costos de prevención.

Uruguay y el endurecimiento de controles sobre operaciones electrónicas

Uruguay cerró el mes con una reforma que amplía la autenticación y ordena nuevos controles sobre operaciones digitales. Desde el 1 de octubre de 2026 rigen disposiciones de la Circular 2.497 del Banco Central del Uruguay que amplían la obligación de autenticación de doble factor para el acceso a canales digitales, transferencias o pagos a terceros desde cuentas bancarias, solicitudes no presenciales de préstamos, compras no presenciales con tarjetas y acceso, modificación o actualización de datos sensibles.

Además, la Circular 2.497 establece controles para detectar operaciones irregulares, incluyendo alertas ante intentos de modificar datos sensibles y controles sobre dispositivos y ubicaciones utilizados en operaciones electrónicas. El BCU también registró 32.399 incidentes de ciberseguridad durante el primer semestre de 2026, frente a 17.014 en el mismo período de 2025. Esa comparación no describe octubre en sí mismo, pero ayuda a entender por qué el regulador endurece el perímetro de autenticación y observabilidad.

Ferrere atribuye las principales modificaciones a una resolución y una circular de 2025 y 2026, mientras que Telenoche mencionó excepciones para transferencias entre cuentas del mismo titular, contactos de confianza y pagos de transporte público, aunque esa aplicabilidad exacta requiere confirmación en el texto oficial. El País Uruguay añadió que la autenticación multifactor se vincula con una disminución de determinados incidentes, aunque sin una metodología suficiente para cuantificar el efecto. La conclusión útil para el sector es que el cambio regulatorio apunta a cerrar huecos de uso cotidiano, no solo a endurecer accesos de alto riesgo.

Amenazas y campañas activas

Fraude y phishing

Fraude y phishing fueron la amenaza predominante del mes y el eje sobre el que se agrupan más hechos verificables. No se trata solo de correos o mensajes engañosos, sino de campañas que mezclan múltiples canales para reforzar la credibilidad de la suplantación. Los casos de octubre muestran al menos cuatro subtipos recurrentes: vishing, smishing, phishing con adjuntos, y suplantación de plataformas o marcas financieras mediante sitios falsos y apps clonadas.

El patrón más repetido fue el de la urgencia financiera. En Argentina, las llamadas que simulaban problemas con una cuenta buscaban sacar al usuario del canal legítimo. En Chile, las supuestas ofertas de créditos online pedían pagos anticipados. En Paraguay, los anuncios prometían préstamos a personas reportadas en Informconf y derivaban a Telegram. En México, los falsos comprobantes fiscales en PDF podían instalar troyanos y dar paso al desvío de dinero desde banca en línea. El objetivo cambia de forma, pero no de fondo, capturar el proceso antes de que llegue al banco.

También se vio una sofisticación creciente en la suplantación de identidad y en la posible captura biométrica. El caso colombiano de Shadow Parasite sugiere que la operación no solo imitaba marcas sino que podía intentar recolectar datos biométricos. En Bolivia, la policía alertó sobre clonación de voz mediante IA. Y en Estados Unidos corporativo, Bank of America recomendó no compartir contraseñas bancarias con asistentes de IA por el riesgo de uso no autorizado o filtración. Aunque ese último caso no es una incidencia regional, sí revela la dirección del problema, que es la expansión del fraude hacia interacciones mediadas por IA.

Ransomware y extorsión

No hubo casos de ransomware o extorsión tipificados como eje primario en el material analizado de octubre. Tampoco aparecieron hechos donde la fuente permitiera distinguir cifrado de activos, exfiltración sin cifrado o sola mención en un leak site. Esa ausencia no debe leerse como inexistencia regional, sino como falta de casos verificables dentro del corpus del mes.

El único caso cercano al concepto de extorsión fue la cobertura chilena sobre supuestas aplicaciones de crédito que, según la noticia, habrían combinado presiones de cobro y mecanismos usureros. Aun así, el material disponible no describe un ransomware ni una extorsión técnica sobre activos corporativos. Para bancos y aseguradoras, la lectura de riesgo es que el foco operativo del mes se desplazó a fraude de entrada, no a interrupción por cifrado.

APT y hacktivismo

No se identificaron hechos verificables de APT o hacktivismo como eje principal en el material de octubre para banca tradicional y aseguradoras en América Latina. Tampoco hay indicios, en el corpus provisto, de campañas con motivación política o de larga permanencia dirigidas a este vertical. La señal más visible sigue siendo económica, no ideológica.

Aun sin APTs visibles, conviene no subestimar la capa de automatización y agentes de IA mencionada en varias notas. El debate sobre CyberCartel, los reportes de más de 400 objetivos en la región y los llamados de organismos multilaterales a reforzar salvaguardas frente al fraude habilitado por IA apuntan a una frontera que puede mutar desde campañas de fraude hacia ataques más complejos. Por ahora, sin embargo, esa hipótesis no tiene confirmación suficiente en el material analizado.