CHILE: Nuevo proyecto eleva seguridad de medios de pago electrónicos

La Comisión para el Mercado Financiero (CMF) lanzó una propuesta normativa que establece exigencias concretas para bancos, emisores de tarjetas, cooperativas de ahorro y crédito, así como para las sociedades de apoyo al giro que estén sujetas a fiscalización por parte de la CMF, con el objetivo de garantizar niveles mínimos de seguridad, autenticación y trazabilidad en las transacciones electrónicas.

La iniciativa consiste en establecer la autenticación reforzada —también conocida como ARC— es un sistema que exige al menos dos factores de verificación independientes para validar la identidad de un usuario al momento de realizar ciertas operaciones financieras, y que ha sido ampliamente adoptado a nivel internacional, inspirándose en estándares como la Directiva PSD2 de la Unión Europea.

 Este mecanismo se basa en tres tipos de factores:

• Conocimiento: algo que el cliente sabe (por ejemplo, una contraseña o PIN).
• Posesión: algo que el cliente tiene (como un teléfono, token o tarjeta).
• Inherencia: algo que el cliente es (biometría como huella digital, reconocimiento facial o iris).

Este proyecto se enmarca en las facultades otorgadas por la Ley de Fraudes a la CMF, que la ha mandatado a establecer criterios técnicos y operativos para mitigar el fraude financiero. 

IMPORTANTE: Hasta el próximo 5 de mayo está abierto el proceso de consulta pública para que las instituciones financieras como organizaciones de consumidores y público general podrán enviar observaciones o propuestas sobre la normativa a la CMF. Disponible acá

La propuesta normativa de la CMF establece los casos en los que la autenticación reforzada será obligatoria:

• Ingreso a plataformas digitales como banca online o aplicaciones móviles.
• Modificación de credenciales o datos personales del usuario.
• Adición de nuevos destinatarios frecuentes o beneficiarios de pagos.
• Movimientos de fondos o contratación de productos financieros.
• Operaciones inusuales o atípicas en relación con el comportamiento del usuario.

La normativa también contempla algunos casos específicos donde la aplicación de autenticación reforzada no será obligatoria:

• Pagos de bajo monto, definidos como operaciones menores a $20.000 y con un acumulado diario inferior a $80.000.
• Pagos recurrentes, que ya han sido validados por el cliente en instancias previas.
• Transacciones en terminales desatendidos, como máquinas expendedoras o parquímetros.
• Transferencias entre cuentas del mismo titular.

Además de las exigencias sobre autenticación, la CMF también propone un conjunto de requisitos técnicos para los emisores de medios de pago:

• Uso de sistemas de cifrado robustos para proteger la integridad y confidencialidad de las transacciones.
• Implementación de registros trazables que permitan auditar operaciones.
• Monitoreo constante de patrones de comportamiento, para detectar actividades inusuales.
• Control riguroso sobre los dispositivos de autenticación, como celulares o tokens.

Cabe destacar que el proyecto propone que los factores de autenticación no deben depender del mismo canal, para minimizar el riesgo de vulneraciones simultáneas.

Finalmente, la iniciativa incluye cómo deben actuar las instituciones frente a intentos sospechosos de acceso. Entre las medidas obligatorias, se exige:

• Caducidad automática de los códigos de autenticación en caso de múltiples intentos fallidos.
• Bloqueo temporal o permanente si se detectan comportamientos anómalos.
• Validación rigurosa de los dispositivos confiables, que deberán ser previamente registrados por el cliente a través de un proceso que acredite su propiedad y uso exclusivo.

Estas acciones buscan prevenir accesos no autorizados, incluso si un tercero logra obtener datos del cliente mediante técnicas de ingeniería social o malware.

Otro punto clave del proyecto es que las entidades financieras serán responsables por los perjuicios causados a los usuarios si no cumplen con las exigencias establecidas en la norma. Esto representa un cambio significativo, ya que traslada el peso de la prueba al emisor del medio de pago.

Una vez finalizado el período de consulta el 5 de mayo, se analizarán los comentarios recibidos y la CMF emitirá una versión definitiva de la norma, junto con un cronograma de implementación gradual.