Autenticación reforzada inicia el 1 de julio: CMF permitirá excepciones

El próximo miércoles 1 de julio entrará en vigor la normativa de autenticación reforzada para pagos electrónicos y transferencias en Chile. Esta medida, aprobada por la Comisión para el Mercado Financiero (CMF) el año pasado, establece que los usuarios deberán validar su identidad mediante más de un factor de autenticación al autorizar transacciones.

La norma, publicada como Norma N°538 a mediados de 2025 y retrasada casi un año, afectará a bancos y entidades reguladas, quienes han debido adaptar sus plataformas y procesos antes de su implementación la próxima semana.

Sin embargo, la CMF introdujo una modificación a la NCG N°538 el pasado 1 de junio, permitiendo que ciertos grupos de clientes continúen utilizando tarjetas de coordenadas como método de autenticación. Esta medida busca evitar la exclusión de personas con dificultades para adoptar nuevos mecanismos tecnológicos.

Según la CMF, los criterios para incluir a estos grupos son: "ser adulto mayor; presentar una condición de salud deteriorada o discapacidad; tener dificultad para acceder a canales físicos de atención; o presentar incompatibilidad o falta de dispositivos de confianza -por ejemplo, un teléfono inteligente- con los mecanismos requeridos". Las entidades tendrán hasta el 1 de agosto para informar a la CMF si optan por establecer estos grupos.

Fernando Lagos, CEO de NIVEL4, comentó que esta medida es positiva y necesaria para garantizar mayores estándares de seguridad en el intercambio comercial y financiero. Lagos señaló que "la adopción y uso masivo de tecnologías deben ser compatibles con todos los usuarios en el sistema". Añadió que "al implementar una medida masiva se debe asegurar condiciones mínimas —cobertura—, entrega herramienta —dispositivos adecuados—y brindar capacitación a usuarios que, por diversas circunstancias no pueden usar una tecnología o estar en las condiciones para cambiar". Por lo tanto, está de acuerdo con las excepciones establecidas.

La CMF estableció que "se exigirá autenticación reforzada en pagos electrónicos", formalizando un cambio en los estándares de seguridad digitales en Chile. Sin embargo, las operaciones autenticadas con tarjetas de coordenadas no cumplirán con este requisito, lo que implicará un mayor riesgo para las entidades financieras ante posibles reclamaciones por operaciones desconocidas.

El CEO de NIVEL4 indicó que "permitir que ciertos usuarios continúen utilizando tarjetas de coordenadas implica asumir un riesgo superior respecto a los mecanismos de autenticación reforzada". Sin embargo, considera razonable asumir parte de esa responsabilidad para proteger la inclusión financiera de personas que podrían ser afectadas por una transición abrupta hacia nuevas tecnologías.

Esta actualización normativa busca reducir fraudes en canales digitales y fortalecer la protección financiera del usuario. La Norma N°538 establece estándares mínimos de seguridad, autenticación y registro que deben cumplir las entidades financieras. La autenticación reforzada debe basarse en al menos dos factores independientes como conocimiento (contraseñas), posesión (dispositivos) o inherencia (biometría).

Las transferencias electrónicas entre cuentas del mismo cliente dentro de una misma institución estarán exentas de autenticación reforzada. En cuanto a los pagos recurrentes, este mecanismo solo será exigido al registrar la instrucción inicial.

Fernando Lagos destacó que la autenticación reforzada dificulta significativamente los ataques basados en robo de credenciales. Al exigir factores independientes se agrega una capa adicional de seguridad que reduce las probabilidades de fraude incluso cuando una credencial ha sido comprometida. La autenticación multifactor obliga al atacante a comprometer más elementos, elevando la dificultad para ejecutar un fraude exitoso.

En resumen, esta nueva exigencia junto con los lineamientos establecidos en la Norma N°538 representan un cambio estructural en la validación de operaciones financieras digitales en Chile. Se establece un estándar uniforme para todo el sistema, aunque se contemplan excepciones para aquellos usuarios con barreras tecnológicas para adoptar nuevos mecanismos.