- A CONDUSEF recebeu 67.651 reclamações contra bancos por possível fraude em 2025, e 34.325 entre janeiro e maio de 2026, 18% a mais que um ano antes.
- Com cartão de débito, o banco precisa creditar a cobrança não reconhecida no máximo até o segundo dia útil, salvo se provar com um parecer que a operação foi autenticada com dois fatores independentes (Banco do México).
- Com débito, se o parecer não chegar em 45 dias, o crédito fica firme e não pode ser revertido (Banco do México).
- No Chile, uma operação com autenticação reforçada que inclui um fator biométrico faz presumir dolo ou culpa grave do usuário (Lei 20.009, reforma de 2024).
Entre janeiro e maio de 2026, a CONDUSEF recebeu 34.325 reclamações contra os bancos múltiplos por possível fraude, 18% a mais que nos mesmos meses de 2025. Esse número conta apenas o que chegou ao órgão, não o que os bancos recebem.
Do lado da instituição, um caso assim costuma começar antes: um titular informa que não reconhece uma operação, alguém registra o aviso e a instituição precisa decidir se credita, se pode provar algo ou se o prazo já venceu.
Para a instituição que recebe esse aviso, a resposta no México está distribuída entre a regra do Banco do México para cobranças com cartão, as disposições da CNBV e a lei que obriga cada instituição a ter uma Unidade Especializada. O Chile serve de contraste.
Com cartão, a regra do Banco do México faz com que a instituição credite primeiro e prove depois. O que pode provar, a nosso ver, é o que registrou ao autenticar, e esse é o fio condutor deste guia.
Para a instituição, uma fraude bancária começa quando o titular desconhece uma operação
A CONDUSEF define a fraude bancária pelo que o titular contesta, independentemente da técnica do atacante. Em seu relatório de autoavaliação de 2025, agrupa vinte e cinco causas de reclamação nas quais o titular contesta "operações que não reconhece ter realizado": consumos não reconhecidos, transferência eletrônica não reconhecida, cobranças não reconhecidas na conta. Do lado da instituição, o caso existe desde que o titular desconhece algo que o sistema registrou como válido.
Dentro dessas causas, a CONDUSEF isola seis que trata como possível roubo de identidade, entre elas o crédito, o cartão ou a conta concedidos sem terem sido solicitados e o contrato que o usuário não reconhece ter celebrado.
Uma instituição enfrenta, assim, dois problemas diferentes. Em um, o dinheiro sai de uma conta legítima, que é o terreno do roubo de conta. No outro, a conta ou o crédito nascem em nome de alguém que nunca os pediu: é a falsificação de identidade no cadastro. Entendemos que o primeiro falha na autenticação e o segundo na verificação de identidade ao abrir o produto; a CONDUSEF não faz essa distinção.
O que mais se reclama são consumos e transferências que o titular não reconhece
Os consumos e as transferências que o titular não reconhece lideram as reclamações contra bancos por possível fraude. Em 2025, a CONDUSEF registrou 67.651 no setor bancário, 7,9% menos que em 2024: 29.763 por consumos não reconhecidos e 13.631 por transferências eletrônicas não reconhecidas. O ano fechou em queda e a alta de 2026 ocorre em outra janela, portanto os dois números não são lidos como uma tendência.
A CONDUSEF descreve as modalidades por técnica (smishing por SMS, phishing que se faz passar por uma instituição financeira, vishing por telefone) e, em maio de 2026, alertou para um aumento de tentativas por SMS, aplicativos de mensagens e links falsos. Não publica números por modalidade: suas estatísticas contam a operação que o titular desconhece, e a técnica com que foi obtida fica sem contar.
Entre os sinais de phishing e smishing que o órgão lista há um que pesa do lado da instituição: "Às vezes chegam a pedir os dígitos do seu token." O que acontece com um código entregue assim aparece na regra de cartões.
Com cartão, a instituição credita primeiro e prova depois
Quando um titular informa que não reconhece uma cobrança com cartão de débito, a regra do Banco do México obriga a instituição a creditá-la no máximo até o segundo dia útil bancário seguinte, se o aviso chegar dentro dos 90 dias posteriores à cobrança. Não pode pedir trâmites adicionais, e precisa lhe dar um número de referência com a data e a hora do aviso.
Para reverter o crédito, a instituição precisa demonstrar que a operação foi autenticada com pelo menos dois fatores independentes. Faz isso com um parecer assinado por pessoal autorizado, dentro dos 45 dias seguintes ao aviso (180 se a operação foi no exterior), que traz no mínimo:
- A evidência dos fatores usados e uma explicação simples de como cada um foi verificado.
- A hora e o minuto da operação.
- Quem processou a operação e o nome do recebedor do pagamento.
- O endereço físico do dispositivo ou o endereço IP, se a instituição contar com ele.
Sem parecer dentro do prazo, o crédito fica firme e não pode ser revertido. Mesmo com dois fatores, a instituição credita se houver evidência de uma falha operacional imputável a ela.
A regra aceita quatro tipos de fator: o que apenas o titular conhece, como a senha (NIP); um dispositivo que apenas ele possui, como o chip; suas características próprias, com a geometria do rosto entre as biométricas; e o que o Banco do México autorizar. A biometria facial entra assim como um dos fatores de uma autenticação multifator nos termos da regra.
Os cartões de crédito seguem a mesma estrutura em suas próprias regras. As reclamações também são atendidas pela Unidade Especializada que a lei exige de cada instituição. Segundo o texto da lei vigente após sua reforma de janeiro de 2024, deve responder por escrito em um prazo de trinta dias úteis.
Se o titular entregou seus dois fatores sob engano, por exemplo ditando o código do token a quem se passava pelo banco, a operação cumpre a condição de dois fatores, e a instituição poderia sustentar o parecer mesmo que a fraude tenha existido. O Banco do México não o formula assim: é nossa leitura do texto.
Em uma transferência SPEI não há crédito automático
Para uma transferência SPEI que o titular não reconhece não há crédito automático. As regras do SPEI do Banco do México obrigam os bancos a assinar entre si um convênio de colaboração, com solicitações de apoio ao banco que recebeu os fundos, mecanismos para restringir ao beneficiário o uso dos recursos e um caminho para devolvê-los. Se houver elementos para presumir que a ordem é possivelmente fraudulenta, o banco receptor precisa enviar uma devolução.
Não encontramos o convênio publicado, portanto seus prazos não podem ser citados. Da regra se deduz que recuperar depende de o dinheiro continuar na conta que o recebeu. O que acontece depois é o terreno da mula financeira.
A CNBV impõe um crédito em 48 horas apenas em casos delimitados: serviços que a instituição ofereceu com requisitos reduzidos, como o pagamento móvel, e cartões sem chip em caixas eletrônicos e terminais. Ali a instituição pactua com o usuário que assume o risco daquilo que este não reconhecer. Nenhuma das duas regras o enuncia, mas compartilham uma lógica: se a instituição autentica forte, pode defender a operação; se autentica de forma leve, fica com o custo.
O que o supervisor pede para registrar é a mesma evidência que decide a reclamação
As disposições da CNBV obrigam a instituição a autenticar com fatores e a registrar em log a hora, o dispositivo e o IP de cada operação, além de cada operação não reconhecida. São, a nosso ver, quase os mesmos dados que o parecer do Banco do México pede. O que exigem:
- Fatores de autenticação em quatro categorias; a quarta é biométrica e menciona o reconhecimento facial.
- Para contratar à distância certas contas e créditos, verificar a biometria do solicitante contra os registros do INE ou outra autoridade.
- Notificar o cliente sobre cada contratação e cada operação feita em seu nome.
- Controles para detectar o que se afasta do uso habitual do usuário.
- Logs com data, hora, contas, dispositivo de acesso e endereço IP.
- Um registro de cada conta ou crédito não reconhecido, com a identificação solicitada ao contratar e a perda que seria absorvida pela instituição.
Desde a reforma de junho de 2024, cada banco tem também um Plano de gestão para a prevenção da fraude aprovado por sua direção geral, e processos que avaliam a efetividade com que resolve as reclamações monetárias.
Cruzar as duas normas deixa uma prova concreta para qualquer operação de hoje: se amanhã chegar um aviso, a instituição precisa ter à mão os fatores com que se autenticou, a hora e o minuto, e o dispositivo ou o IP.
O Chile já distingue entre fatores: com um biométrico, muda quem precisa provar
O Chile resolve a mesma pergunta com uma lei, a 20.009, que coloca o ônus da prova no emissor: quando o usuário desconhece uma operação, o emissor precisa provar que ela foi autorizada, e o simples registro não basta necessariamente. Ao contrário da regra mexicana de crédito, também abrange as transferências.
A reforma de maio de 2024 acrescentou uma presunção: presume-se dolo ou culpa grave do usuário quando a operação foi feita com autenticação reforçada e pelo menos um fator de inerência, ou seja, biométrico. Com apenas fatores de posse ou conhecimento, a operação serve apenas como base de presunção judicial. No México, a biometria é um fator válido entre outros; no Chile, muda quem precisa provar.
O que a VU faz
A funcionalidade da VU que oferece contexto sobre o dispositivo é Protege contra fraudes, com reconhecimento do equipamento a partir do qual se opera com base em sinais de browser e de mobile. A decisão sobre o que fazer com esse sinal, e o monitoramento da operação, são resolvidos em outra camada que a VU não fornece. Conheça prevenção de fraude (Protege).
Com cartão de débito, a nosso ver, a reclamação é decidida pela evidência que a instituição guardou ao autenticar, salvo se houver uma falha operacional imputável a ela.
agende uma conversa.
