La Comisión para el Mercado Financiero (CMF) anunció una nueva normativa destinada a aumentar la seguridad de los medios de pago.
La regulación se refiere a los emisores de tarjetas de pago y demás prestadores financieros, y su objetivo es “entregar lineamientos para la definición y uso de los distintos mecanismos mediante los cuales se realizan las transacciones electrónicas”.
¿En qué se traducirá la exigencia que regirá a partir del 1 de agosto de 2025? En una serie de resguardos adicionales que deberán implementar los operadores financieros para proteger a sus clientes y asegurar cualquier operación en línea.
El uso de claves de usuario más complejas y seguras será un estándar obligatorio. “Los emisores deberán establecer exigencias de actualización, longitud, complejidad, reutilización y previsibilidad de claves, de forma que los usuarios no eludan estas restricciones de manera contraproducente”, indica la norma.
Además, deberán establecer:
- Registros auditables y trazables de todas las transacciones y eventos de autenticación, incluyendo los intentos o peticiones fallidas, con sus respectivos códigos de error o información de depuración.
- Monitoreo continuo de patrones de transacciones para detectar posibles fraudes.
- Medidas de protección para el almacenamiento y transmisión de los respectivos códigos de autenticación.
Junto con estas medidas, se exigirá que cada proceso de autenticación de los clientes en operaciones electrónicas sea independiente de los demás, de modo que, si uno es vulnerado, no se comprometa la confiabilidad de las otras capas de seguridad.
También se requerirán mecanismos para detectar la clonación o manipulación por parte de terceros, y quedará prohibido el uso de procesos de autenticación mediante “mecanismos que incorporen conjuntos de datos impresos”.
Obligación de reforzar medidas de seguridad
El nuevo sistema de Autenticación Reforzada de Clientes (ARC) podrá ser utilizado por los emisores cuando lo estimen necesario —lo que deberán justificar en su marco de gestión de riesgos—, pero, además, estarán obligados a exigirlo en los siguientes casos:
- Transferencias electrónicas.
- Incorporación del cliente a las plataformas digitales del banco.
- Incorporación o modificación de datos personales.
- Modificación de claves de autenticación.
- Incorporación, reemplazo o eliminación de dispositivos de confianza.
