Op de Internationale Dag van de Gegevensbescherming, die op 28 januari wordt gevierd, wordt Brazilië geconfronteerd met een steeds duidelijker wordende paradox: terwijl het zich consolideert als een van de meest geavanceerde landen op het gebied van financiële digitalisering, wordt het tegelijkertijd ook een van de meest kwetsbare gebieden voor cyberaanvallen.
Volgens een onderzoek van Proton via het Dark Web Observatory zijn er al ongeveer 300 miljoen persoonlijke gegevens van Brazilianen openbaar gemaakt op het dark web. De financiële gevolgen van deze escalatie zijn aanzienlijk: volgens een rapport bedragen de gemiddelde kosten van een datalek in Brazilië 7,19 miljoen reais, waarmee het land tot de duurste ter wereld behoort als het gaat om datalekken.
Volgens experts kan het scenario niet worden beschouwd als een reeks geïsoleerde incidenten, maar als een structureel probleem. "Brazilië heeft meer aandacht van kwaadwillende groepen getrokken doordat het land snel is doorgevoerd in de digitalisering van essentiële diensten, zoals betalingen, kredietverlening en het delen van gegevens. Deze ontwikkeling heeft veel voordelen opgeleverd, maar heeft ook aanzienlijke uitdagingen op het gebied van informatiebeveiliging gecreëerd, die zich nog steeds in verschillende tempo's per sector ontwikkelen. Factoren zoals grootschalige datalekken, de snelle expansie van PIX en Open Finance, in combinatie met de uiteenlopende mate van volwassenheid van bedrijven op het gebied van gegevensbescherming, verklaren mede enkele zwakke punten in het Braziliaanse digitale ecosysteem", aldus cybersecurity-expert, CEO en oprichter van Security First, Fernando Corrêa.
Versnelde digitalisering en een groter aanvalsoppervlak
Brazilië heeft zich in rap tempo ontwikkeld tot een laboratorium voor financiële innovatie. PIX registreerde op 5 december 2025 ongeveer 313,3 miljoen transacties op één dag. Het instantbetalingssysteem van de centrale bank telt meer dan 1,5 miljard geregistreerde sleutels en 170 miljoen individuele gebruikers, volgens gegevens van de centrale bank (BC).
In hetzelfde tempo heeft Open Finance de grens van 143 miljoen actieve toestemmingen en ongeveer 70 miljoen gekoppelde rekeningen overschreden, waarbij meer dan 800 deelnemende instellingen betrokken zijn, aldus informatie die ook door de Centrale Bank is vrijgegeven.
Deze vooruitgang, hoewel duidelijk positief voor de efficiëntie van het financiële systeem, heeft ook bijgedragen aan de vergroting van het zogenaamde "aanvalsoppervlak", een te verwachten effect in steeds digitalere omgevingen. "Bedrijven in verschillende sectoren hebben dagelijks te maken met grote hoeveelheden gevoelige gegevens, variërend van registratiegegevens tot consumptiegewoonten en persoonlijke voorkeuren. Wanneer zich beveiligingsincidenten voordoen, verspreiden de gevolgen zich doorgaans sneller, waardoor complexere vormen van fraude mogelijk worden. In de financiële sector, die werkt met realtime transacties en directe geldstromen, vereisen deze uitdagingen voortdurende aandacht, omdat aanvallen vaker voorkomen en gerichter zijn", aldus Fernando Corrêa van Security First.
De financiële sector staat centraal in de aanslagen
Het beveiligingsrapport 2025 van Check Point Software laat zien dat elke Braziliaanse financiële instelling tussen september 2024 en februari 2025 gemiddeld 1.752 cyberaanvallen per week te verduren kreeg. Dit aantal plaatst Brazilië aan de top van de wereldwijde ranglijst van aanvallen op de financiële sector, boven het wereldgemiddelde van 1.673 wekelijkse aanvallen per bedrijf in 2024. Volgens het rapport houdt deze toename verband met de versnelde digitalisering in het land en de exploitatie van kwetsbaarheden in webapplicaties, API's en veelgebruikte diensten zoals PIX.
Concrete voorbeelden onderstrepen de ernst van het probleem. Een van de meest sprekende incidenten van 2025 was de inbraak bij C&M Software, een bedrijf dat verantwoordelijk is voor de beveiliging van PIX-transacties tussen financiële instellingen en de Centrale Bank. De aanval vond plaats door misbruik van interne inloggegevens, waarbij een medewerker betrokken was, en resulteerde in het compromitteren van de reserveaccounts van ten minste zes financiële instellingen, waaronder BMP, Banco Paulista, Credsystem en Banco Carrefour, zoals gemeld door ESET.
“Het is essentieel dat bedrijven en consumenten de waarde begrijpen van de gegevens die ze genereren en delen. Naam, adres, financiële geschiedenis en consumptiegewoonten moeten, conform de LGPD, als cruciale activa worden beschouwd”, benadrukt Murilo Rabusky, Business Director bij Lina Open X.
Volgens Murilo is de kwetsbaarheid van Brazilië niet alleen te verklaren door technologische tekortkomingen, maar ook door het geringe bewustzijn van gebruikers over de waarde van hun eigen gegevens. "In een steeds digitalere omgeving spelen consumenten een cruciale rol in de bescherming van de informatie die ze delen. Het is essentieel om hun rechten te kennen – zoals toegang, correctie en verwijdering van gegevens – en om goede praktijken toe te passen, zoals het controleren van de legitimiteit van bedrijven, het gebruik van veilige kanalen en het begrijpen hoe en waarom hun gegevens worden gebruikt", stelt hij.
Fraudegevallen van miljarden dollars en de verschuiving van criminaliteit naar digitale portemonnees en cryptovaluta
De opkomst van digitale betaalmethoden – waaronder banken, digitale portemonnees, PIX (het Braziliaanse systeem voor directe betalingen) en cryptovaluta – heeft miljoenen Brazilianen meer efficiëntie, snelheid en financiële inclusie gebracht. Tegelijkertijd zijn er, zoals in elk groeiend financieel ecosysteem, ook pogingen van criminelen ontstaan om deze technologieën te misbruiken. Het belangrijkste punt is echter dat de markt zich voortdurend heeft ontwikkeld op het gebied van infrastructuur, regelgeving en beveiliging, waarbij fintechbedrijven, infratechbedrijven en beurzen continu investeren in fraudepreventie, transactiemonitoring en gebruikersvoorlichting.
Desondanks is digitale criminaliteit in Brazilië niet langer beperkt tot traditionele bankfraude. Met de popularisering van platforms voor directe betalingen en digitale activa zijn cybercriminelen omgevingen met een hoge liquiditeit en transactiesnelheid gaan misbruiken, niet vanwege zwakke punten in de technologie zelf, maar door gebruik te maken van social engineering, menselijke fouten en tussenrekeningen.
Volgens Serasa Experianwas de verwachting dat er tegen eind 2025 meer dan 70 miljard reais aan fraude zou worden onttrokken. Ondanks deze inspanning registreerde de financiële sector in 2025 een toename van 21,5% in fraude ten opzichte van het voorgaande jaar. Deze toename werd voornamelijk veroorzaakt door oplichting met betrekking tot directe overboekingen, valse berichten, ongevraagde contacten en een gebrek aan gebruikersverificatie – praktijken die banken, fintechbedrijven en digitale platforms in het algemeen treffen.
Recente onderzoeken wijzen er in het geval van cryptovaluta op dat deze kunnen worden gebruikt als een volgende stap in witwaspraktijken, met name wanneer de gebruiker onvoldoende technische kennis heeft of onzorgvuldig handelt. Experts benadrukken echter dat de cryptomarkt momenteel een van de sectoren is die het meest investeert in traceerbaarheid, compliance en fraudebestrijdingsinstrumenten, met transacties die worden vastgelegd op de blockchain, continue monitoring en gezamenlijke actie met de autoriteiten.
In plaats van wantrouwen te koesteren jegens de technologie zelf, zou de focus moeten liggen op hoe de gebruiker ermee omgaat: op je hoede zijn voor ongevraagde berichten, communicatiepatronen van de bank of het platform controleren, geen gegevens delen en alleen gebruikmaken van erkende bedrijven met robuuste beveiligings- en risicopreventiestructuren.
Ransomware en AI: een dreiging op meerdere fronten
De opkomst van ransomware – een cyberaanval waarbij criminelen gegevens of systemen in beslag nemen en losgeld eisen voor de vrijgave ervan – is een andere factor die mede verklaart waarom Brazilië definitief op de radar van de wereldwijde cybercriminaliteit is verschenen.
Volgens Juniper Researchzouden de wereldwijde verliezen als gevolg van digitale fraude in 2027 kunnen oplopen tot 400 miljard dollar, gedreven door toenemende digitalisering en de verfijning van aanvalsmethoden.
“Fraudetactieken evolueren voortdurend, waarbij criminelen steeds geavanceerdere technologieën gebruiken om systemen en mensen te misleiden. Dit leidt tot aanzienlijke financiële verliezen, hogere operationele kosten, een overbelasting van teams door handmatig onderzoek en een directe impact op het vertrouwen van klanten en partners”, legt Lucas Monteiro, Martech Leader bij Keyrus, uit.
Kunstmatige intelligentie (AI) heeft ondertussen het landschap van digitale oplichting ingrijpend veranderd. In Brazilië het aantal deepfakes tussen 2022 en 2023 met 830% toe, volgens het Identity Fraud Report , en kwam het vijf keer vaker voor dan in de Verenigde Staten.
“Voorbeelden zoals de nepfoto van paus Franciscus in een Balenciaga-jas of gefabriceerde video's van explosies in het Pentagon laten zien hoe synthetische content binnen enkele minuten de financiële markten en de publieke opinie kan beïnvloeden”, aldus Kenneth Corrêa, spreker over kunstmatige intelligentie, dataspecialist, MBA-professor aan de Getúlio Vargas Foundation (FGV) en auteur van het boek “Cognitive Organizations: Leveraging the Power of Generative AI and Intelligent Agents.
In 2024 maakte het Britse bedrijf Arup 25 miljoen dollar over aan fraudeurs na een videoconferentie met directieleden die volledig door AI was gegenereerd. In Brazilië zijn criminelen ook begonnen met het imiteren van het beeld en de stem van journalisten en politici om financiële fraude te plegen.
“Het is essentieel dat deze technologieën op verantwoorde wijze worden geïmplementeerd, volgens de principes van gelijkheid, inclusie en verantwoording. Het ethische gebruik van AI moet centraal staan in de digitale transformatie”, benadrukt Kenneth Corrêa.
LGPD, bewustwording en de zwakste schakel
Ondanks de vooruitgang op regelgevingsgebied is de mate van naleving nog steeds ongelijk. Vijf jaar na de inwerkingtreding van de LGPD (Braziliaanse Algemene Wetgeving inzake Gegevensbescherming) voldoet ongeveer 80% van de Braziliaanse bedrijven nog steeds niet volledig aan de wetgeving, volgens onderzoek van de Daryus Group.
Vanuit het perspectief van de burger is de uitdaging nog groter: volgens Kaspersky, terwijl gegevens van DataSenado aangeven dat 24% van de bevolking al slachtoffer is geworden van digitale oplichting.
Volgens Lucas Monteiro van Keyrus vereist de balans tussen privacy en strategisch datagebruik een solide governance en continue investeringen. "Wanneer een consument gegevens deelt op een e-commercewebsite of in een loyaliteitsprogramma, moet hij of zij zich veilig voelen. Tegelijkertijd hebben bedrijven deze gegevens nodig om ervaringen te personaliseren. De uitdaging ligt in het creëren van een vertrouwensomgeving, met anonimisering, duidelijke toestemming en robuuste beveiligingsmaatregelen", benadrukt hij.
Een structureel en collectief probleem
De vooruitgang van Open Finance en de digitalisering van de financiële sector mag niet worden onderbroken, maar moet wel gepaard gaan met goed bestuur, veiligheid en transparantie. Een onderzoek toont aan dat 90% van de Braziliaanse consumenten gegevensbescherming cruciaal vindt voor het vertrouwen in bedrijven, en dat ze tegelijkertijd gepersonaliseerde ervaringen eisen.
“We betreden een tijdperk waarin privacy niet langer slechts een recht is, maar een fundamentele verwachting van de digitale ervaring. Dit is echter alleen houdbaar als informatiebeveiliging als een strategische pijler wordt beschouwd en niet als een operationele kostenpost”, benadrukt Lucas Monteiro.
Volgens Fernando Corrêa van Security First vereist het aanpakken van dit scenario een mentaliteitsverandering. "Digitale transformatie is onomkeerbaar en heeft de Braziliaanse economie onmiskenbaar voordelen opgeleverd. Maar zonder veiligheid, goed bestuur en verantwoordelijk gebruik van data zal het land steeds kwetsbaarder worden. De bescherming van informatie moet een niet-onderhandelbare verplichting worden voor bedrijven, overheden en de samenleving als geheel", concludeert hij.
