Banques au Brésil : Pix, ingénierie sociale et fuites de données vers l'IA

Depuis son lancement par la Banque centrale du Brésil en novembre 2020, le Pix a changé la façon dont les Brésiliens paient. Un virement part en quelques secondes, à toute heure, avec une simple clé : un CPF, un numéro de téléphone ou une adresse e-mail. Cette rapidité a aussi transformé la fraude. Quand l'argent part en quelques secondes, l'attaquant n'a plus besoin de casser un système : il lui suffit de convaincre une personne.

Dans les banques et les fintechs, cette personne est souvent un salarié. Et ce salarié utilise désormais des assistants d'IA générative pour aller plus vite, parfois avec des données de clients sous les yeux.

Le Pix a déplacé la fraude vers l'humain

Fausse centrale téléphonique, faux conseiller sur une messagerie, faux support technique : les arnaques les plus courantes reposent sur l'ingénierie sociale. Elles visent les clients, mais aussi les équipes internes. Un agent de centre d'appels pressé, un analyste qui traite des contestations à la chaîne ou un prestataire informatique peuvent devenir la porte d'entrée.

L'affaire C&M Software, en 2025, l'a montré de façon brutale. Selon la police civile de São Paulo, un employé d'un prestataire qui relie des établissements au système de la Banque centrale a reconnu avoir vendu ses identifiants à des criminels. Ceux-ci ont ensuite détourné des fonds depuis les comptes de réserve de plusieurs institutions. Ce n'est pas une faille technique sophistiquée qui a ouvert la porte, mais une personne.

Ce que la Résolution CMN 4.893/2021 exige déjà

La Résolution CMN n° 4.893 du 26 février 2021 fixe la politique de cybersécurité des institutions autorisées par la Banque centrale, ainsi que les règles de recours au cloud. Les institutions de paiement relèvent de règles équivalentes de la Banque centrale. Le texte, mis à jour fin 2025 par la Résolution CMN n° 5.274, impose notamment :

• des mécanismes de prévention des fuites d'informations, aux côtés de l'authentification, du chiffrement et de la traçabilité ;

• l'enregistrement et l'analyse des incidents pertinents, y compris ceux signalés par les prestataires ;

• des programmes de formation et d'évaluation périodique du personnel pour diffuser une culture de cybersécurité ;

• l'information des clients sur les précautions à prendre avec les produits financiers.

Autrement dit, la prévention des fuites et le facteur humain sont déjà des obligations réglementaires. La mise à jour de 2025 ajoute l'authentification multifacteur pour l'accès administratif aux environnements Pix et un test d'intrusion annuel.

Les gestes à risque avec l'IA au quotidien

Dans une banque ou une fintech, les usages de l'IA générative sont nombreux et souvent légitimes. Le risque apparaît quand le contenu collé contient des données de clients. Quelques exemples typiques :

• un agent colle l'historique d'une contestation Pix, avec CPF, nom et montant, pour rédiger une réponse au client ;

• un analyste antifraude demande à un assistant de repérer un schéma dans un extrait de transactions ;

• un développeur partage des journaux applicatifs contenant des clés Pix ou des numéros de compte pour déboguer ;

• un commercial fait résumer le dossier de crédit d'une PME avant un rendez-vous.

Dans chacun de ces cas, des données couvertes par le secret bancaire (Loi complémentaire n° 105 de 2001) et par la LGPD (Loi n° 13.709 de 2018) quittent l'environnement contrôlé de l'institution. Nous avons détaillé les identifiants à repérer, à commencer par le CPF, dans notre article sur la LGPD et la détection du CPF dans les outils d'IA.

Pourquoi la formation seule ne suffit pas

Les banques brésiliennes forment déjà leurs équipes, et la Résolution 4.893 l'exige. Mais une formation annuelle pèse peu face à une file de clients en attente ou à un objectif de traitement. Le salarié sait qu'il ne faut pas partager de données sensibles. Au moment de coller, il pense surtout à finir sa tâche. Nous l'expliquons dans notre article sur les limites de la formation à la sécurité de l'IA.

La sécurité comportementale consiste donc à agir au bon moment : un avertissement clair au moment du collage, une anonymisation automatique quand c'est possible, un blocage quand le risque est trop élevé. Le salarié garde son outil, l'institution garde le contrôle.

L'ANPD et le régulateur bancaire regardent dans la même direction

L'Agence nationale de protection des données (ANPD), désormais agence de régulation, veille au respect de la LGPD, qui impose des mesures de sécurité et la notification des incidents pouvant causer un risque ou un dommage important aux personnes. La Banque centrale, de son côté, attend des institutions qu'elles enregistrent et traitent leurs incidents. Une fuite de données de clients vers un service d'IA externe peut donc intéresser les deux autorités à la fois.

Un plan d'action pour les équipes risque et conformité

1. Cartographier les usages de l'IA par métier : service client, antifraude, crédit, développement.

2. Classer les données les plus sensibles : CPF, CNPJ, clés Pix, numéros de compte et de carte, scores de crédit.

3. Anonymiser à la source en conservant le format, pour que l'IA reste utile. Notre article sur l'anonymisation préservant le format montre comment.

4. Relier les alertes au registre des incidents prévu par la Résolution 4.893.

5. Déployer par étapes, en commençant par les équipes les plus exposées, comme le décrit notre playbook de déploiement en 90 jours.

En résumé

À l'ère du Pix, la fraude vise les personnes plus que les systèmes. Les banques et fintechs brésiliennes ont déjà l'obligation de prévenir les fuites d'informations et de former leurs équipes. L'IA générative ajoute un nouveau canal de fuite, alimenté par des gestes ordinaires. Un contrôle au moment du collage protège les clients sans freiner les équipes.

ZeusLock détecte le CPF, les clés Pix, les numéros de compte et de carte avant qu'ils n'atteignent un assistant d'IA, et enregistre chaque incident pour vos rapports de conformité. Demandez une démo de ZeusLock pour protéger vos équipes au plus près de leur travail.