BCU endurece la seguridad digital: qué cambia para los usuarios, según experta en ciberseguridad

Entrar a la aplicación del banco, cambiar el teléfono asociado a una cuenta o realizar determinadas operaciones digitales tiene desde este mes nuevas exigencias de seguridad en Uruguay.

El 1.º de octubre comenzaron a regir disposiciones de la Circular 2.497 del Banco Central del Uruguay, que amplían los controles que deben aplicar distintas instituciones financieras sobre sus canales electrónicos. La regulación alcanza, entre otras, a instituciones de intermediación financiera, empresas de servicios financieros, entidades otorgantes de crédito, casas de cambio y empresas de transferencia de fondos.

El cambio tiene una consecuencia visible para el usuario, con más instancias de autenticación, pero también otra menos evidente. Los sistemas deberán incorporar más información sobre cómo, desde dónde y con qué dispositivo opera una persona para detectar posibles fraudes.

Para Marcela Mercapidez, CEO de Sabyk, la relevancia de la nueva normativa está precisamente en ampliar la mirada sobre el fraude digital y actuar antes de que se concrete una transferencia o un pago.

Uno de los cambios más perceptibles será la extensión de la autenticación de doble factor.

Este mecanismo combina dos elementos de categorías diferentes. Puede tratarse de una contraseña junto a un código recibido en un dispositivo, o de una credencial acompañada de una característica biométrica como la huella digital.

Su objetivo es reducir el valor de una contraseña robada. Si un atacante obtiene esa credencial mediante phishing, una filtración o ingeniería social, todavía tendrá que superar una segunda barrera.

El doble factor ya formaba parte de distintas operaciones sensibles. La nueva normativa amplía su utilización al acceso a canales digitales y al acceso, modificación o actualización de determinada información sensible.

Mercapidez señala que este punto es especialmente relevante porque un atacante puede ingresar a una cuenta utilizando información legítima obtenida previamente.

Desde esa perspectiva, el desafío pasa por proteger más etapas del recorrido del usuario y detectar señales de riesgo incluso cuando la contraseña introducida sea correcta.

La Circular 2.497 profundiza además las obligaciones sobre los sistemas de monitoreo.

Las instituciones deberán poder identificar transacciones inusuales o alejadas de los patrones habituales, considerar la geolocalización desde la que se realiza una operación, advertir el uso de dispositivos desconocidos e identificar patrones sospechosos entre transacciones rechazadas.

Eso permite que una operación aparentemente normal pueda recibir un tratamiento diferente según su contexto.
Una transferencia podría tener un monto habitual para el cliente, pero resultar sospechosa si fue iniciada desde un dispositivo nunca utilizado o desde un país inesperado. Una sucesión de operaciones rechazadas también puede convertirse en una señal.

Para Mercapidez, este análisis cobra especial importancia cuando las credenciales ya fueron comprometidas.

El BCU exige además que las instituciones definan criterios para medir la eficacia de estos sistemas y los evalúen al menos una vez al año. Si los controles presentan desvíos frente a los objetivos establecidos, deberán aplicarse medidas correctivas.

Otro cambio importante ocurre cuando alguien intenta modificar información especialmente sensible.
Los sistemas deberán contemplar cambios o intentos de cambios sobre claves, PIN, dirección, teléfono, correo electrónico y medios utilizados para recibir comunicaciones, entre otros datos.

Para el usuario, esto puede traducirse en más alertas ante movimientos que hasta ahora podían pasar inadvertidos.
Mercapidez destaca que este tipo de mecanismo tiene una función sencilla pero relevante. Puede permitir que el titular detecte rápidamente que alguien intenta tomar control de su cuenta.

El enfoque coincide con una preocupación que el sistema financiero uruguayo viene siguiendo desde hace varios años. El propio BCU ya había establecido requisitos sobre el registro de operaciones electrónicas y la detección de irregularidades, mientras el crecimiento del fraude digital aumentó el peso de estos controles.

Las nuevas exigencias también plantean un problema práctico. Las instituciones alcanzadas por la normativa tienen niveles de desarrollo tecnológico diferentes.

Algunas ya cuentan con buena parte de estos sistemas. Otras deberán invertir en infraestructura, incorporar nuevas herramientas o modificar procesos internos para alcanzar el nivel requerido.

A eso se suma un segundo desafío que el usuario percibirá directamente. Cada instancia adicional de autenticación aumenta la protección, aunque también puede volver más compleja la experiencia.

Mercapidez considera que ambos aspectos deben resolverse en conjunto.

Ese equilibrio será probablemente una de las pruebas más importantes de la nueva regulación.

Para los usuarios, el resultado debería aparecer gradualmente en forma de más verificaciones, alertas y controles cuando exista una operación fuera de lo habitual. Para las instituciones, implica avanzar hacia sistemas que evalúen en conjunto credenciales, dispositivos, ubicación y comportamiento.

La contraseña seguirá siendo una pieza de la seguridad digital. Con las nuevas exigencias del BCU, conocerla será cada vez menos suficiente para convencer al sistema de que quien opera una cuenta es realmente su titular.