REDEC e Cibersegurança: um “High Value Target” para o cibercrime.

Em três meses, entra em operação o Registro de Deuda Consolidada da CMF (REDEC). E, enquanto a maioria das instituições obrigadas está concentrada em gerenciar os novos relatórios, os consentimentos exigidos e os prazos, surge um desafio ainda maior que quase ninguém está discutindo: os novos riscos de cibersegurança que essa lei traz consigo.

O REDEC é uma plataforma confidencial administrada pela CMF que consolida as informações de dívidas de pessoas e empresas. Mas, para as entidades reportantes, não é apenas um sistema de consulta: é uma nova superfície de ataque de alto valor. Um único acesso comprometido pode expor dados financeiros extremamente valiosos, elevando de forma crítica a probabilidade de violações que, se estiverem ligadas a falhas de controle ou de diligência, acionam sanções elevadas.

O novo cenário: o REDEC como “High Value Target”.

O REDEC transforma cada entidade reportante em um ponto de acesso a uma das bases de dados mais críticas do sistema financeiro chileno. Isso significa que, ao consultar e tratar essa informação, tais instituições passam a configurar, muitas vezes sem sequer perceber, o que em ciberinteligência se chama de High Value Target (HVT).

Um HVT é definido como um ativo cuja captura dá ao atacante uma vantagem estratégica desproporcional e causa dano sistêmico à organização.

Ao tratar a informação a que essa Lei dá acesso, configuram-se alvos críticos, já que ali se concentram a identidade, o endividamento e o comportamento de pagamento dos devedores, ou seja, inteligência financeira pronta para fraude e extorsão das pessoas afetadas.

A NCG N°540 da CMF, que estabelece as normas de funcionamento operacional do REDEC, operacionaliza esse risco ao determinar que o acesso à informação é feito por meio do Servicio de Consulta da Comissão, que disponibiliza uma API e exige a identificação e a autenticação do reportante. A norma também estabelece, em seu numeral 5, que os acessos devem ficar anotados em registros eletrônicos, que serão rastreáveis e estarão disponíveis para revisão da função de auditoria e da Comissão, caso esta assim o determine.

Um atacante não vai tentar violar a CMF: vai tentar comprometer as credenciais e os registros de um reportante, especialmente daqueles com infraestruturas menos robustas, para agir como um "usuário legítimo".

As exigências da NCG 540: um rigor técnico sem precedentes

Para mitigar os riscos que o acesso ao Registro e a concentração de dados dessa natureza representam, a CMF publicou um padrão de conformidade técnica que desloca a responsabilidade do regulador para o Conselho de Administração. Sob a NCG 540, a cibersegurança passa a ser um parâmetro de conformidade incontornável: a entidade deve implementar medidas de segurança proporcionais ao risco para garantir a confidencialidade e a eliminação dos dados, cumprindo o padrão de devida diligência técnica que a CMF exige expressamente.

Esse novo padrão de Devida Diligência Técnica se articula em três pilares fundamentais:

1. Identificação e rastreabilidade de pessoal específico: A norma acaba com o anonimato interno. Já não basta registrar que "a instituição" fez uma consulta. Exige-se que o pessoal que usa a informação seja plenamente identificado e que seus acessos fiquem anotados em registros eletrônicos rastreáveis e disponíveis para auditoria. Isso obriga a implementar sistemas de identidade digital robustos que garantam que quem acessa a API é a pessoa realmente autorizada.

2. Destruição dos dados consultados: Uma vez cumprida a finalidade da consulta, a informação deve ser eliminada dos sistemas da entidade e dos seus mandatários. Manter bases de dados paralelas ou dos dados consultados não é apenas uma má prática: agora é uma infração explícita, que ainda aumenta desnecessariamente a superfície de ataque da empresa.

3. Responsabilidade sobre os mandatários: A norma estabelece que os descumprimentos de cibersegurança dos mandatários (por exemplo, uma fintech de scoring de crédito que, por meio de API, consulta o REDEC em nome de um banco) são diretamente imputáveis ao reportante. Os descumprimentos dos mandatários são imputáveis à entidade se ela falhou nos seus deveres de seleção, supervisão e controle técnico.

De todo modo, o padrão não é uniforme: ele introduz um critério de proporcionalidade operacional. Tanto a Lei quanto sua regulamentação distinguem explicitamente as instituições segundo seu volume de transações, complexidade e perfil de risco, exigindo controles de cibersegurança mais robustos e auditorias mais frequentes das entidades com maior capacidade técnica e financeira.

A cascata legal: um só fato, múltiplas sanções

No atual ecossistema regulatório chileno, uma violação de segurança no acesso ao REDEC não se limita a ser um evento isolado e lamentável. Um acontecimento dessa natureza pode nos deixar diante de uma verdadeira cascata regulatória, em que um único evento de vazamento ou acesso não autorizado pode acionar simultaneamente quatro frentes sancionatórias com bens jurídicos protegidos distintos:

1. Sanção administrativa da CMF (Lei 21.680): Por violar a operacionalidade, o sigilo e os padrões de segurança do REDEC.

2. Sanção da Agencia Nacional de Ciberseguridad (Lei 21.663): Por serem classificadas como Prestadores de Serviços Essenciais e, em alguns casos, como Operadores de Importância Vital, as instituições reportantes podem enfrentar multas da ANCI por não cumprirem os padrões técnicos mínimos de resiliência e de Segurança da Informação.

3. Responsabilidade penal da pessoa jurídica (Lei 20.393): O extenso catálogo de crimes da Lei 20.393 inclui hoje os crimes informáticos tipificados na Lei 21.459. Se o acesso/interceptação ilícita ou a falsificação ocorrida for consequência da ausência dos deveres de direção e supervisão e for feita em benefício da empresa, esta enfrentaria altas penas de multa, publicação da sentença e até a proibição perpétua de celebrar atos e contratos com o Estado.

4. Sanção da Agencia Nacional de Protección de Datos (Lei 21.719): Embora a Lei entre em vigor em dezembro de 2026, o desenho dos sistemas precisa ser atual (Privacy by Design), já que qualquer arquitetura construída hoje que não preveja a privacidade dos dados será obsoleta e passível de sanção no momento da fiscalização.

Identidade digital como medida de cibersegurança

Como a sua instituição garante que o acesso à API da CMF não foi comprometido por um ataque de phishing ao colaborador responsável pelas consultas? Como você poderia provar a um auditor que a informação consultada foi efetivamente eliminada dos seus servidores?

Um registro de logs passivo já não é suficiente. É preciso um sistema que atue como uma camada de autenticação forte, vinculando cada acesso à API a um evento de identidade verificável e imutável.

Rumo a uma infraestrutura de resiliência

Para cumprir o padrão da NCG N°540, recomendam-se três medidas concretas e transversais de mitigação de risco que você pode implementar desde já:

1. Autenticação biométrica e passkeys: Garantir que o funcionário que acessa a API é quem diz ser, por meio de fatores biométricos ou passkeys impossíveis de interceptar via phishing, cumprindo a rastreabilidade individual exigida pela norma.

2. Gestão imutável da evidência técnica: Em um cenário de auditoria, os registros de auditoria tradicionais (logs) são insuficientes se puderem ser alterados ou excluídos. É preciso uma infraestrutura que assegure a imutabilidade da evidência por meio de mecanismos de carimbo do tempo (time-stamping) e encadeamento criptográfico (hashing). Isso permite reconstruir com fidelidade forense quem acessou um dado, quando e por quê, constituindo a prova de integridade necessária para comprovar a conformidade e a devida diligência perante a CMF, a ANCI ou o Ministerio Público.

3. Controle de exposição de dados: Devem ser implementados mecanismos de exclusão física e lógica automatizada que sejam acionados imediatamente após o cumprimento da finalidade da consulta. Ao garantir que a informação financeira seja transitória e não fique armazenada em repositórios locais, elimina-se em grande parte a possibilidade de se configurar um HVT.

Conclusão:

A entrada em vigor plena do REDEC redefine o padrão de responsabilidade para o setor financeiro. Diante desse novo panorama de risco, a cibersegurança deixa de ser um gasto operacional e passa a ser a primeira linha de defesa frente a um novo panorama de ameaças e a um regime de sanções que, distribuído em diferentes leis, não deixa espaço para erros.

A nova fronteira da conformidade não está apenas no reporte, na gestão do consentimento e nos prazos, e sim na blindagem técnica do acesso ao REDEC e aos dados a que ele dá acesso. É aí que se joga hoje a responsabilidade regulatória e reputacional.