O fraude com IA esta redesenhando o risco financeiro na America Latina

As instituicoes financeiras da America Latina estao enfrentando um ambiente de fraude que mudou mais nos ultimos dezoito meses do que na decada anterior. A mudanca nao e cosmetica. O fraude de identidade sintetica impulsionado por IA representa 48,3% dos casos de fraude na regiao, a maior proporcao globalmente, contra uma media mundial de 11% que por sua vez cresce cerca de oito vezes por ano. A distancia entre a LATAM e o restante do mundo nao e um artefato de medicao. Ela reflete condicoes estruturais: alta penetracao mobile sem a maturidade equivalente na infraestrutura de identidade, fragmentacao regulatoria em cinco jurisdicoes principais e um setor fintech que se expandiu mais rapido do que os frameworks de compliance conseguiram absorver.

A Colombia oferece a visao operacional mais nitida do que isso significa na pratica. Mais de 218.000 reclamacoes de fraude digital foram registradas apenas no primeiro semestre de 2025, impulsionadas em parte por um aumento de 69% ano a ano nos ataques ciberneticos ao setor bancario, com a Superintendencia Financeira de Colombia registrando 94 tentativas de intrusao por segundo. Na populacao, 97,7% dos colombianos percebem o fraude digital como frequente, um dado que captura algo alem dos titulares: a confianca nos servicos financeiros digitais esta sob pressao ativa.

Para responsaveis por compliance e CTOs que operam nesse ambiente, a pergunta nao e se o fraude chegara. Ja chegou. A pergunta e se a arquitetura de monitoramento foi projetada para a ameaca que existe hoje, nao a de tres anos atras.

O panorama do fraude na LATAM em numeros#

O percentual de 48,3% de fraude de identidade sintetica vem do relatorio Unico e Liminal Identity Fraud Intelligence Report, cobrindo junho de 2025 a abril de 2026, colocando a LATAM aproximadamente quatro vezes acima da media global para essa categoria. O mesmo relatorio documenta que a taxa global cresce aproximadamente oito vezes por ano, o que significa que o referencial nao e estavel: instituicoes calibrando controles com dados de 2024 ja operam com parametros desatualizados.

O Mexico ilustra outra dimensao do panorama regional. A analise da Sumsub 2025-2026 coloca o Mexico em segundo lugar na America Latina e oitavo globalmente em fraude relacionado a IA. Dentro do pais, os incidentes de account takeover aumentaram 324% no inicio de 2026, cifra diretamente vinculada a proliferacao de ferramentas de IA generativa que reduzem a barreira tecnica para ataques de engenharia social. O fraude na abertura de contas digitais aumentou 300% no mesmo periodo, associado especificamente ao uso de deepfakes e capacidades de IA generativa. A Cidade do Mexico concentra 13,85% dos alertas de fraude nacionais, acumulando risco geografico no principal hub financeiro do pais.

A dimensao dos deepfakes merece atencao particular. Os deepfakes ja representam 40% do fraude no sistema financeiro digital, segundo reportagens de fevereiro de 2026, e as projecoes os posicionam como o principal risco de ciberseguranca daqui para frente. Nao e um vetor de ameaca de nicho que afeta casos marginais. Ele esta se tornando a principal superficie de ataque para processos de onboarding e autenticacao que as instituicoes financeiras construiram pensando em verificacao de identidade tradicional.

A resposta regulatoria colombiana adiciona uma terceira dimensao ao quadro. Os incidentes de ciberseguranca rastreados pelo ColCERT e MinTIC caIram de 1.427 em 2024 para 697 em 2025, uma reducao de 49%. No entanto, o mesmo relatorio aponta que as ameacas persistentes avancadas estao crescendo dentro desse total declinante, o que significa que a composicao dos incidentes esta mudando para ataques mais sofisticados e dificeis de detectar. O perimetro regulatorio se expandiu significativamente: as entidades monitoradas passaram de 31 para 1.300 e os ciclos de resposta se comprimiram de anuais para quatro dias. A capacidade de deteccao melhorou. A propria ameaca se tornou mais direcionada.

Por que o fraude com IA supera a seguranca perimetral#

As arquiteturas tradicionais de deteccao de fraude foram projetadas em torno de padroes conhecidos. Motores de regras sinalizam transacoes que correspondem a assinaturas historicas de fraude. Modelos comportamentais identificam desvios do perfil estabelecido de um cliente. Essas abordagens funcionam contra fraudes que se repetem com uma estrutura reconhecivel.

O fraude potencializado por IA nao se repete com uma estrutura reconhecivel. Modelos generativos produzem identidades sinteticas que passam na verificacao de documentos porque os documentos, embora fraudulentos, sao internamente consistentes em um nivel que os sistemas baseados em regras nao estavam calibrados para detectar. Deepfakes passam nas verificacoes de vivacidade porque replicam os micro-movimentos especificos e as condicoes de iluminacao que modelos anteriores usavam como sinais de autenticidade. Os ataques de engenharia social sao personalizados em escala, usando dados publicamente disponiveis para construir pretextos que parecem especificos, nao genericos.

O percentual de 48,3% de identidade sintetica e significativo precisamente porque essa categoria e a mais resistente aos controles perimetrais. Uma identidade sintetica nao e uma identidade roubada: nao ha vitima para reportar atividade nao autorizada. A identidade existe em bases de dados, passa nos controles iniciais e pode operar inativa por meses antes de ser usada para fraude. Quando a instituicao detecta o problema, o padrao ja esta estabelecido e o dano feito.

A mesma dinamica se aplica ao account takeover via engenharia social. O aumento de 324% no Mexico no inicio de 2026 nao reflete uma falha nas politicas de senha, mas uma mudanca na metodologia de ataque: os fraudadores nao estao forcando contas por brute force, estao convencendo clientes legitimos a entregar credenciais por meio de comunicacoes hiper-personalizadas construidas com IA. A seguranca perimetral nao captura isso porque o ataque ocorre fora da visibilidade da instituicao.

O fraude em redes de afiliados opera em um nivel estrutural que os controles perimetrais simplesmente nao conseguem abordar. Redes de afiliados fraudulentos exploram programas de incentivos de onboarding, coordenando-se por multiplas instituicoes e jurisdicoes para extrair valor nas bordas do sistema de pagamentos e credito. Nenhuma instituicao ve o padrao completo porque a coordenacao ocorre atraves de fronteiras organizacionais e nacionais.

Tres padroes de fraude dominando as instituicoes financeiras da LATAM#

Fraude de identidade sintetica#

O fraude de identidade sintetica combina dados reais e fabricados para criar identidades que nao correspondem a nenhuma pessoa real. No contexto latino-americano, a combinacao de cobertura desigual das bases de dados de identidade entre paises, qualidade variavel da documentacao governamental e altas taxas de onboarding mobile-first cria condicoes em que essas identidades podem ser introduzidas nos sistemas financeiros com atrito limitado.

A taxa regional de 48,3% reflete como a superficie de ataque cresceu a medida que o onboarding digital se expandiu. No Brasil, o crescimento do Open Finance e a capilaridade do PIX amplificaram o volume de onboardings digitais em todos os segmentos. O ecossistema colombiano de mais de 560 fintechs representa um grande numero de funis de onboarding com niveis variaveis de rigor na verificacao de identidade. Cada lacuna e um ponto de entrada potencial.

A deteccao requer monitoramento que correlacione sinais de identidade ao longo de todo o ciclo de vida transacional. A identidade que passa nos controles iniciais pode revelar inconsistencias com o tempo: padroes de velocidade, anomalias no fingerprinting, associacoes com clusters de fraude conhecidos.

Account takeover via engenharia social#

O account takeover por engenharia social se tornou a categoria de fraude com a trajetoria de crescimento mais acentuada na LATAM. O aumento de 324% no Mexico no inicio de 2026 nao e um caso isolado. Ele reflete um padrao mais amplo impulsionado pela acessibilidade de ferramentas de IA generativa para construir cenarios de ataque persuasivos e personalizados.

O mecanismo e direto: os atacantes usam dados de violacoes anteriores, redes sociais e registros publicos para construir pretextos muito especificos, depois usam geracao de voz com IA ou manipulacao textual para convencer clientes a compartilhar credenciais de autenticacao ou aprovar transacoes. O cliente age voluntariamente do ponto de vista da instituicao, o que cria tanto uma lacuna de deteccao quanto uma complicacao de responsabilidade.

A deteccao requer analitica comportamental que inclui sinais pre-autenticacao: padroes de consulta incomuns, mudancas de dispositivo, mudancas no canal de comunicacao. O monitoramento em tempo real precisa identificar esses sinais precursores antes que o evento de autorizacao ocorra.

Fraude em redes de afiliados#

O fraude em redes de afiliados explora a estrutura distribuida dos programas de incentivos financeiros. Atores fraudulentos se cadastram como afiliados ou indicados, enviam solicitacoes fraudulentas em escala e extraem bonus de onboarding, linhas de credito ou outro valor antes que o padrao seja detectado por qualquer instituicao individualmente.

A coordenacao ocorre atraves de instituicoes e jurisdicoes, o que significa que os dados de fraude de uma unica instituicao fornecem uma imagem incompleta. O monitoramento eficaz requer visibilidade em nivel de rede: identificar conexoes entre solicitacoes ou contas aparentemente nao relacionadas que compartilham fingerprints de dispositivos, padroes comportamentais ou caracteristicas de rede com clusters de fraude conhecidos.

Esse padrao e particularmente relevante em mercados com alta densidade de fintechs. O setor fintech colombiano com mais de 560 empresas e a densidade comparavel de provedores de servicos financeiros digitais no Brasil e no Mexico criam uma superficie de ataque grande e distribuida para esquemas de fraude baseados em afiliados.

Cinco reguladores, uma unica ameaca#

As instituicoes financeiras que operam na LATAM navegam um ambiente regulatorio que ainda nao reflete completamente a natureza transfronteirica do fraude com IA. As principais jurisdicoes: Colombia sob a SFC e a UIAF, Brasil sob o BCB e o COAF, Mexico sob a CNBV, o Banxico e a UIF, Argentina sob o BCRA e a UIF, e Chile sob a CMF e a UAF, cada uma com requisitos de reporte, prazos e frameworks de compliance distintos.

Essa fragmentacao cria assimetrias que as operacoes de fraude sofisticadas exploram. Um ataque que se origina em uma jurisdicao, processa atraves de outra e gera perdas em uma terceira pode nao acionar escrutinio regulatorio coordenado em nenhuma delas individualmente. As redes de fraude transfronteirico operam nas lacunas entre as jurisdicoes.

A trajetoria regulatoria colombiana ilustra como o monitoramento mais coordenado se parece na pratica. A expansao de 31 para 1.300 entidades monitoradas e a compressao dos ciclos de resposta para quatro dias representam melhorias significativas. A tendencia para uma supervisao mais rigorosa e consistente em toda a regiao: o Open Finance do Brasil, as regulamentacoes fintech da CNBV no Mexico e os requisitos da Superfinanciera na Colombia avancam todos em direcao a uma supervisao mais granular e em tempo real.

Para instituicoes que operam em multiplas jurisdicoes, atender aos requisitos de cada regulador de forma independente e caro e mais lento do que a ameaca requer. As 94 tentativas de intrusao por segundo registradas na Colombia nao respeitam fronteiras jurisdicionais.

O que o monitoramento contextual em tempo real requer#

A mudanca da seguranca perimetral para o monitoramento contextual em tempo real nao e primariamente uma decisao tecnologica. E uma decisao arquitetural sobre quais dados sao correlacionados, em que velocidade e atraves de quais fronteiras.

O monitoramento eficaz de fraude no ambiente atual requer varias propriedades que as arquiteturas tradicionais nao fornecem por padrao.

Primeiro, continuidade de identidade. Um relacionamento com o cliente gera sinais em cada interacao: onboarding, autenticacao, transacao, mudancas de dispositivo, mudancas de canal. Sistemas que rastreiam apenas transacoes perdem os sinais contextuais que diferenciam o comportamento legitimo do implante de identidade sintetica ou do reconhecimento pre-takeover.

Segundo, correlacao entre entidades. Redes de fraude operam atraves de instituicoes. Uma instituicao que monitora apenas seus proprios dados nao consegue identificar padroes em nivel de rede: identificadores de dispositivo compartilhados, padroes comportamentais sobrepostos, anomalias de velocidade que so se tornam visiveis ao correlacionar multiplos pontos de contato.

Terceiro, cobertura regulatoria multipla. A cobertura de SFC+UIAF, BCB+COAF, CNBV+Banxico+UIF, BCRA+UIF e CMF+UAF em um unico sistema nao e redundancia: e o requisito minimo para instituicoes que operam nesses mercados.

Quarto, velocidade. A compressao dos ciclos de resposta a incidentes para quatro dias na Colombia e uma melhoria regulatoria, mas os eventos de fraude se resolvem mais rapido que quatro dias. A deteccao em tempo real requer que a geracao de alertas e o escalonamento ocorram em segundos, nao em ciclos.

Fechando a lacuna#

Os dados da Colombia, do Mexico e da regiao LATAM como um todo apontam para um padrao consistente: o fraude com IA escala mais rapido do que as capacidades de deteccao que eram adequadas ha dois anos. O percentual de 48,3% de fraude de identidade sintetica, o crescimento de 324% em account takeover no Mexico e as 218.000 reclamacoes de fraude colombianas no H1 2025 nao sao projecoes. Sao condicoes atuais.

As instituicoes que fecham a lacuna entre as condicoes atuais de ameaca e as capacidades de monitoramento sao as que tratam a deteccao de fraude como um problema contextual em tempo real, nao como um problema baseado em regras historicas. Isso significa correlacionar sinais de identidade ao longo de todo o ciclo de vida do cliente, manter visibilidade em nivel de rede atraves de instituicoes e jurisdicoes, e construir cobertura regulatoria para os ambientes multi-pais onde as operacoes de fraude mais sofisticadas estao sendo executadas.

A arquitetura de monitoramento adequada em 2023 nao foi projetada para fraude de identidade sintetica com 48,3% de prevalencia regional, para deepfakes representando 40% do fraude financeiro digital ou para account takeover crescendo 324% ao ano. Essa lacuna existe agora.