Bre-B y fraude en comercios: 5 riesgos que debes anticipar

El momento en que un sistema de pagos deja de ser simple

Los intentos de estafa en América Latina crecieron un 155% en 2025 según datos de Computer Weekly, y los fraudes desde dispositivos robados se dispararon un 344% en el mismo período. Para Bre-B, el sistema de pagos inmediatos del Banco de la República de Colombia, esas cifras no son solo estadísticas: son el escenario exacto al que se enfrenta al dar el salto de las transferencias entre personas hacia los pagos en comercios.

La transición no es trivial. Mover dinero entre dos cuentas bancarias ya conocidas es una operación relativamente contenida. Integrar a miles de comercios —con distintos niveles de madurez tecnológica, distintos terminales y distintas prácticas de seguridad— multiplica la superficie de ataque de forma exponencial. Ana María Prieto, presidenta de Bre-B, lo anticipó públicamente en una entrevista con Iupana: la expansión hacia pagos en comercios pone a prueba la capacidad de detección del sistema en un entorno donde la seguridad debe distribuirse entre actores con parámetros homogéneos.

¿Qué es Bre-B y en qué punto está su expansión?

Bre-B es la infraestructura de pagos inmediatos interoperable de Colombia, operada por el Banco de la República. Nació para romper la dependencia del efectivo —que hasta hace poco representaba más del 70% de las transacciones en el país— y facilitar transferencias en tiempo real entre cualquier entidad financiera participante.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El sistema opera 24/7 los 365 días del año, completa transacciones en aproximadamente 20 segundos y usa identificadores únicos (número de cédula, celular o correo) como llaves de pago. Inició su prueba piloto el 23 de septiembre de 2024 con un grupo controlado de clientes y entró en funcionamiento masivo el 6 de octubre de 2024, interconectando 227 entidades financieras.

Hasta ahora, el uso principal ha sido el modelo P2P: personas transfiriéndose dinero entre sí. El siguiente capítulo —pagos en comercios, tanto físicos mediante QR como en entornos digitales— es el que cambia completamente el perfil de riesgo.

¿Por qué los comercios cambian el mapa del fraude?

Cuando un sistema de pagos se expande a comercios, el ecosistema de participantes se vuelve heterogéneo de golpe. Un banco grande con equipos de ciberseguridad dedicados convive en la misma red con una tienda de barrio que usa un celular como terminal de cobro. Esa asimetría es el punto de entrada favorito del fraude moderno.

Los patrones que emergen en esta transición son conocidos en otros mercados y predecibles para Bre-B:

Fraude APP (Authorized Push Payment): el usuario es manipulado para autorizar el pago voluntariamente. En comercios, esto se traduce en QR falsificados o substituidos por el de un tercero malicioso, una práctica que ya documentaron autoridades en Brasil con PIX.
Ataques automatizados a terminales de bajo perfil: los comercios con menor infraestructura de seguridad se convierten en vectores para explotar credenciales robadas o cuentas comprometidas.
Ingeniería social en tiempo real: la velocidad del sistema —20 segundos— es la misma que limita la posibilidad de revertir una transacción fraudulenta. El defraudador lo sabe y lo explota.
Malware en dispositivos de punto de venta: los intentos de fraude con malware en LATAM aumentaron un 225% en 2025, y los comercios con dispositivos no actualizados son blancos directos.

El desafío de fondo que señala Prieto es estructural: en un sistema interoperable, ningún actor puede definir sus propios parámetros de seguridad de forma aislada. Si un participante tiene controles débiles, vulnera toda la red. De ahí la necesidad de parámetros homogéneos: reglas mínimas de seguridad que todos los participantes del sistema deben cumplir, independientemente de su tamaño.

La lección PIX que Bre-B no puede ignorar

PIX, el sistema de pagos inmediatos de Brasil lanzado en 2020, es el referente inevitable. En pocos años se convirtió en uno de los sistemas de pagos más usados del mundo, con miles de millones de transacciones anuales. Pero su expansión también trajo una ola de fraudes que el Banco Central de Brasil tuvo que enfrentar con medidas como límites nocturnos de transferencias, autenticación adicional para nuevos payees y protocolos de devolución inmediata.

El caso brasileño demuestra que los sistemas de pagos inmediatos tienen un ciclo predecible: adopción masiva → nuevos vectores de fraude → respuesta regulatoria → ajuste de parámetros. Bre-B tiene la ventaja de conocer ese ciclo antes de haberlo vivido. La pregunta es si la institucionalidad colombiana —el Banco de la República como operador, más las 227 entidades participantes— puede coordinarse lo suficientemente rápido.

Responsabilidad compartida: el nodo que define todo

El concepto de parámetros homogéneos que menciona Prieto tiene un nombre técnico en la industria: responsabilidad compartida. En un sistema interoperable, cuando ocurre un fraude, la pregunta de quién responde no siempre tiene una respuesta clara. ¿El banco del pagador, el del receptor, el operador de la red?

En LATAM, el modelo que está ganando terreno para resolver esto es el de redes de inteligencia compartida en tiempo real. Un ejemplo es la red BioCatch Trust Argentina, lanzada en 2025, que permite a los bancos participantes compartir señales de comportamiento sospechoso entre sí antes de que la transacción se complete. Bre-B tendrá que decidir si construye algo análogo o si confía en que cada entidad gestione su propia detección.

El 45,2% de las instituciones financieras en Colombia cita el fraude como su principal riesgo en pagos digitales para 2026, según datos de La Nota Económica. Esa percepción no es paranoia: es el reflejo de que el sistema de incentivos hoy castiga la velocidad de innovación más que la robustez de los controles.

¿Qué significa esto para tu startup fintech o negocio digital?

Si operas o planeas operar como comercio o intermediario dentro del ecosistema Bre-B —o cualquier sistema de pagos inmediatos en LATAM— hay acciones concretas que puedes tomar ahora:

Audita tu superficie de ataque antes de integrarte. Antes de habilitar pagos QR o transferencias inmediatas en tu negocio, mapea todos los puntos donde un tercero podría interceptar o suplantar una transacción. Incluye dispositivos físicos, URLs de pago y flujos de notificación al usuario.
Implementa validación de cuentas bancarias en tiempo real. La práctica conocida como verify-before-pay —confirmar que la cuenta de destino es legítima antes de ejecutar el pago— creció un 652% en LATAM en el último año. Herramientas como ValidaCuenta o integraciones directas con las APIs de Bre-B permiten hacerlo de forma programática.
Define internamente quién responde en caso de fraude. No esperes a que ocurra un incidente para descubrir que tu acuerdo comercial con el procesador de pagos no cubre ciertos escenarios. La Sentencia C-413/25 de la Corte Constitucional de Colombia ya está reconfigurando la responsabilidad de los bancos ante fraudes digitales que afectan el historial crediticio de los usuarios.
Educa a tu equipo y a tus clientes sobre QR falsos. El vector más subestimado en pagos en comercios físicos es el QR impreso que alguien sustituye por el suyo. Un cartel de advertencia, una verificación visual del monto antes de confirmar, y una política clara de devoluciones pueden reducir significativamente la exposición.
Monitorea los patrones de tu propio negocio como si fueras un banco. Las startups que procesan pagos tienen acceso a datos de comportamiento que pueden ser señales tempranas de fraude: horarios inusuales, montos atípicos, usuarios nuevos con comportamiento de alto riesgo. Construir dashboards de monitoreo internos ya no es opcional si manejas volumen.

El contexto regulatorio que viene

El marco legal en Colombia está evolucionando rápido. La Sentencia C-413/25 de la Corte Constitucional, emitida en abril de 2025, establece precedentes sobre la responsabilidad de las entidades financieras ante fraudes digitales, incluyendo el impacto en historiales crediticios. Para las fintechs que operan en este ecosistema, ignorar esa evolución regulatoria es un riesgo operativo real.

Además, el Banco de la República —como operador de Bre-B— tiene incentivos claros para endurecer los requisitos de seguridad a los participantes. Eso significa que los parámetros homogéneos que hoy se negocian podrían convertirse mañana en requisitos obligatorios de participación en la red. Adaptarse antes que te lo exijan es siempre más barato que hacerlo bajo presión regulatoria.

Conclusión

Bre-B está en el momento más crítico de su historia: la transición de sistema de transferencias a infraestructura de pagos universal. Ese salto es el mismo que dio PIX en Brasil y que definió su madurez como plataforma. El fraude no es un obstáculo que se pueda evitar —es una consecuencia inevitable del crecimiento. Lo que sí es una decisión estratégica es si se anticipa o se reacciona.

Para los founders y operadores del ecosistema fintech latinoamericano, la apuesta de Bre-B es una señal de que Colombia se está posicionando como un mercado de pagos digitales maduro. Aprovecharlo requiere entender no solo las oportunidades de integración, sino los riesgos de seguridad que vienen con ellas.