La Resolución BCB 587, publicada el 18 de septiembre de 2026, crea dentro del DICT —el directorio de claves Pix del Banco Central— una marca de sospecha fundada de fraude transaccional vinculada al CPF (identificación tributaria individual) o CNPJ (identificación tributaria empresarial) del pagador. La marca permanece activa durante cinco años y sigue el registro de esa persona en cualquier institución participante de Pix. La obligación de rechazar transacciones entra en vigor el 1 de febrero de 2027.

El intervalo entre la publicación y la plena vigencia es de poco más de cuatro meses. Para los equipos de prevención de fraude y de producto, es tiempo suficiente para ajustar los flujos. No queda margen para esperar.

Qué introduce la resolución

La norma modifica la Resolución BCB 1/2020, que regula Pix, en tres frentes: la marca de fraude transaccional, el cobro híbrido (una modalidad que permite ofrecer Pix y boleto como alternativas para un mismo cobro) y el Pix Automático en cuentas de nómina.

La marca de fraude transaccional es el punto más relevante para las operaciones de prevención de fraude. Los participantes de Pix ahora pueden crear, dentro del DICT, un «aviso de infracción» —el registro formal de la sospecha— vinculado al CPF o CNPJ de un cliente involucrado en una transacción sospechosa. La marca cruza los límites institucionales: cualquier participante que consulte el DICT verá el registro.

«El punto crítico de la BCB 587 no es el bloqueo en sí. Es que la marca sigue al CPF: cerrar la cuenta no borra el registro. Eso cambia la forma en que los equipos de fraude deben pensar la ventana de riesgo: no termina cuando el cliente se va.»

— Sandro Righi, Especialista en Compliance, Riesgos y Controles · Fortface

Situaciones que suelen generar una marca: una cuenta receptora de fondos que se sabe fueron desviados, un patrón de transacciones incompatible con el perfil declarado, solicitudes repetidas a través del Mecanismo Especial de Devolución (MED) y intentos de abrir una cuenta para operar como mula de dinero.

Qué están obligados a hacer los participantes

A partir del 1 de febrero de 2027, los participantes que creen o acepten una marca de sospecha fundada están obligados a:

01

Rechazar transacciones: toda operación Pix en la que el usuario marcado figure como pagador o receptor debe bloquearse. La única excepción prevista es una devolución al propio usuario.

02

Bloquear la clave Pix: el registro de una nueva clave y la portabilidad de una clave existente se rechazan para los CPF y CNPJ marcados.

03

Notificar al usuario: el participante que creó la marca debe informar al titular la fecha del registro, la posibilidad de revisión y el canal para solicitar aclaraciones.

04

Analizar la solicitud de cancelación: el usuario puede solicitar la cancelación de la marca. El participante tiene siete días corridos para analizar y responder.

Estas obligaciones construyen un nuevo ciclo operativo: la marca no es un acto aislado de bloqueo, sino el inicio de un flujo con deberes de comunicación, análisis y respuesta dentro de plazos definidos.

Qué cambia en la práctica de la operación

La norma modifica el flujo de autorización de transacciones, inserta el DICT en el recorrido de onboarding y crea obligaciones de comunicación y plazo que exigen un proceso interno definido antes de febrero de 2027.

Monitoreo en tiempo de transacción. La lógica de rechazo exige que la consulta al DICT ocurra dentro del flujo de autorización de la transacción, no en lote después. Los equipos de producto que hoy realizan el análisis de riesgo después de la autorización necesitarán revisar su arquitectura de decisión para insertar la consulta al directorio antes de confirmar la transacción.

Exposición por aceptar transacciones de usuarios marcados. A partir de febrero de 2027, procesar una transacción de un CPF/CNPJ con una marca activa en el DICT constituye incumplimiento de la norma. El riesgo no es solo operativo: es regulatorio.

Gestión de solicitudes de cancelación. El plazo de siete días corridos para responder a las solicitudes de cancelación exige un flujo interno documentado. Sin un proceso definido, la cola se acumula y el plazo se incumple.

Comunicación de incidentes. A partir del 1 de febrero de 2027, los PSP (proveedores de servicios de pago) que mantienen cuentas están obligados a notificar al titular cualquier incidente de seguridad con datos personales relacionado con Pix, independientemente de la responsabilidad o del daño potencial. Esta obligación es independiente de la marca de fraude.

Qué preguntarle a tu proveedor de tecnología

La resolución no nombra tecnologías específicas, pero los requisitos técnicos que crea tienen una respuesta directa en la arquitectura de producto.

¿La consulta al DICT ocurre antes de la autorización de la transacción? Los proveedores que incorporan la respuesta del DICT en el flujo de decisión en tiempo real reducen el riesgo de procesar transacciones de usuarios marcados. Las consultas en lote o asíncronas no cumplen con la lógica de la norma.

¿El sistema registra y hace seguimiento de las marcas creadas? La obligación de responder a las solicitudes de cancelación en siete días exige un registro con la fecha, el canal y el estado de cada marca. Sin eso, el proceso es manual y propenso a incumplir el plazo.

¿El flujo de comunicación al usuario está automatizado? La norma exige que el participante que creó la marca notifique al usuario dentro de un plazo razonable y por un canal accesible. Los procesos manuales no escalan con el volumen.

¿Cómo gestiona el sistema el bloqueo de la clave Pix para los usuarios marcados? La restricción sobre el registro y la portabilidad de claves debe estar integrada al flujo de KYC y de apertura de cuenta.

¿Cuándo entra en vigor cada obligación de la BCB 587?

  • 18/09/2026: publicación; el mecanismo de marcado queda disponible en el DICT; desconexión inmediata de un participante.
  • 01/02/2027: obligación de rechazar transacciones de CPF/CNPJ marcados; cobro híbrido Pix + boleto; deber de notificar incidentes de seguridad al titular.
  • 01/07/2027: Pix Automático en cuentas de nómina.

Para profundizar

  • Segundo proveedor de biometría: cuándo tiene sentido y cómo implementarlo — cómo construir resiliencia operativa antes de un cambio regulatorio
  • Soluciones Fortface para bancos y fintechs

Preguntas frecuentes

¿La marca de sospecha fundada es automática o depende de una decisión humana?
Depende de la decisión del participante. La norma autoriza a los participantes a crear la marca, pero no los obliga. La decisión de marcar debe basarse en evidencia de una transacción sospechosa vinculada al CPF o CNPJ en cuestión. Las marcas sin fundamento exponen al participante a un cuestionamiento administrativo y a la obligación de analizar y responder una solicitud de cancelación en siete días.
¿Qué sucede si una institución marca un CPF y otra no está de acuerdo?
La marca creada por un participante queda registrada en el DICT y es visible para los demás. Cada participante decide, según su propio proceso de riesgo, cómo actuar ante la marca. La obligación de rechazar transacciones y bloquear la clave se aplica a la institución que creó o aceptó la marca. La norma no crea un mecanismo de arbitraje centralizado entre participantes que no estén de acuerdo.
¿La Resolución BCB 587 afecta solo a Pix o también a otras modalidades de pago?
Afecta a Pix. Los cambios se realizan sobre la Resolución BCB 1/2020, que regula específicamente el esquema Pix. El cobro híbrido se refiere a la relación entre Pix y el boleto como medios alternativos para un mismo cobro, pero las obligaciones recaen sobre los participantes de Pix.
¿Las empresas de tecnología que no son participantes directos de Pix deben adecuarse?
No directamente. Las obligaciones recaen sobre los participantes de Pix (bancos, fintechs con cuenta de pago, PSP). Los proveedores de tecnología sin esa condición no son destinatarios directos de la norma. Pero los sistemas que entregan a los participantes deben cumplir los requisitos técnicos que crea la norma: consulta al DICT dentro del flujo de autorización, registro de marcas y flujo de cancelación.
¿El usuario marcado puede impugnar la marca antes de febrero de 2027?
El mecanismo de impugnación existe desde que se publicó la norma, en septiembre de 2026. La marca puede crearse ahora, y el usuario puede solicitar la cancelación ahora. Lo que entra en vigor en febrero de 2027 es la obligación de rechazar transacciones, no el mecanismo de marcado en sí.