Sugef endurece controles para frenar estafas informáticas
Reglamento ya fue publicado en La Gaceta
Fecha de publicación:
Fecha de modificación:
La Superintendencia General de Entidades Financieras (SUGEF) endureció los controles que deberán aplicar las entidades financieras para prevenir y mitigar las estafas informáticas que afectan a sus clientes.
Las nuevas disposiciones forman parte del Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros, Acuerdo Sugef 5-26, que entró a regir con su publicación en el diario oficial La Gaceta.
La normativa alcanza los casos en que una estafa informática implique la sustracción de dinero o una afectación al patrimonio relacionado con cuentas de fondos, así como situaciones vinculadas con la inadecuada custodia del dinero depositado en estas.
Entre las principales medidas figura la obligación de las entidades de contar con una estrategia específica para minimizar este tipo de delitos cuando los usuarios utilizan aplicaciones móviles, sitios web y otros canales digitales.
Esta estrategia deberá partir de una evaluación de riesgos y actualizarse periódicamente, especialmente cuando se habiliten nuevos canales digitales, productos o servicios financieros, o se modifiquen los existentes.
Uno de los cambios más relevantes se relaciona con la identificación de los clientes. Las entidades deberán establecer mecanismos robustos para comprobar la identidad de una persona cuando ingrese a los canales digitales o realice transacciones y otras acciones que representen algún riesgo.
La misma exigencia se aplicará a gestiones como crear usuarios, cambiar el token o las contraseñas, bloquear cuentas y recuperar credenciales.
El reglamento establece que estos mecanismos deberán incorporar tecnologías basadas en doble factor de autenticación y evitar aquellas sustentadas en información que pueda ser transferida a terceros y facilite una suplantación de identidad.
Vigilarán hasta dispositivos y horarios
Las entidades también tendrán que fortalecer el monitoreo de las operaciones de sus clientes.
Para detectar posibles movimientos sospechosos, podrán considerar el historial de dispositivos utilizados, sistema operativo, horarios habituales de uso, navegadores, redes de conexión y mecanismos de autenticación empleados.
El análisis contempla incluso aspectos del comportamiento al utilizar los dispositivos, como la forma de teclear o el movimiento del mouse. También deberá valorarse si desde un mismo aparato se accede a cuentas pertenecientes a diferentes clientes o si ese dispositivo fue utilizado anteriormente para cometer estafas.
Cuando se detecte una transacción atípica, las entidades deberán contar con parámetros para aprobarla o denegarla y, antes de hacerla efectiva, solicitar al usuario una confirmación que permita comprobar su autenticidad.
Alertas en menos de un minuto
Otra de las obligaciones establece que las entidades deberán enviar una notificación al cliente en menos de un minuto cuando se realicen transacciones en sus cuentas.
También deberán generar alertas por inicios de sesión, cambios de contraseñas o mecanismos de seguridad, modificaciones del número telefónico o correo electrónico, aumentos en los límites para realizar transacciones y cuando se detecten nuevos dispositivos.
Las notificaciones podrán llegar mediante correo electrónico, mensajes de texto SMS o notificaciones push.
Bloqueos ante sospechas de estafa
El nuevo reglamento también obliga a las entidades a establecer procedimientos para realizar bloqueos preventivos de fondos de transferencias cuyo origen o destino se presuma relacionado con una estafa informática.
Además, deberán habilitar herramientas en sus plataformas digitales y centros de atención telefónica para que los propios clientes puedan bloquear temporalmente y de manera expedita sus productos y servicios financieros, principalmente la posibilidad de efectuar transacciones electrónicas desde sus cuentas.
La regulación también contempla contraseñas robustas, cierres automáticos de sesiones por inactividad y límites diferenciados para la cantidad y el monto de las transferencias efectuadas a terceros, tanto dentro como fuera del país.
Las nuevas disposiciones se enmarcan en la Ley 10889, aprobada para fortalecer la protección de los consumidores financieros frente a la sustracción de dinero mediante estafas informáticas y operaciones no autorizadas.