La evolución del fraude bancario está obligando a las entidades financieras a revisar sus modelos de seguridad. La ingeniería social, la suplantación de identidad y las transferencias fraudulentas autorizadas por los propios clientes han evidenciado las limitaciones de los mecanismos tradicionales de autenticación. Eugenio Egido, Director Corporativo de Servicios Financieros de Entelgy, analiza las implicaciones de PSD3 y del futuro Reglamento de Servicios de Pago (PSR) para la banca europea.
Por Eugenio Egido, Director Corporativo de Servicios Financieros de Entelgy
Durante los últimos años, las entidades financieras europeas han realizado un esfuerzo considerable para reforzar la seguridad de sus operaciones digitales. La implantación de PSD2 y de la autenticación reforzada del cliente (Strong Customer Authentication, SCA) supuso un avance importante en la protección de los pagos. Sin embargo, la evolución de las técnicas utilizadas por los ciberdelincuentes ha puesto de manifiesto las limitaciones de unos mecanismos diseñados principalmente para verificar la identidad de quien realiza una operación.
Una parte importante del fraude actual se apoya en la manipulación de las personas. Mediante técnicas de ingeniería social y suplantación de identidad, los delincuentes consiguen que los propios clientes autoricen transferencias hacia cuentas fraudulentas, utilizando correctamente los sistemas de autenticación de sus bancos.
Esta situación plantea una cuestión relevante para el futuro de los servicios financieros: ¿hasta qué punto podemos considerar segura una operación únicamente porque ha sido autorizada correctamente? Las propuestas de PSD3 y del futuro Reglamento de Servicios de Pago (PSR) responden a esta realidad con nuevas medidas preventivas y una revisión de determinadas responsabilidades de las entidades.
El fraude en pagos autorizados y las limitaciones de PSD2
PSD2 contribuyó a reducir diferentes modalidades de fraude mediante la autenticación reforzada, pero su eficacia es limitada cuando el propio cliente es manipulado para realizar una operación.
Pensemos en una persona que recibe una llamada aparentemente procedente de su banco. El interlocutor le advierte de una supuesta incidencia de seguridad y le solicita que transfiera sus ahorros a otra cuenta. El cliente sigue las instrucciones y valida la operación mediante los mecanismos establecidos. Desde el punto de vista técnico, la transferencia ha sido correctamente autorizada, aunque el dinero termina en manos de los delincuentes.
Este fenómeno, conocido como Authorised Push Payment Fraud (APP Fraud), representa uno de los desafíos actuales para la industria financiera. La prevención requiere analizar las circunstancias de cada operación e identificar señales que puedan advertir de un posible engaño.
El nuevo marco regulatorio europeo pretende reforzar estos mecanismos de protección y ampliar las obligaciones de los proveedores de servicios de pago ante determinadas modalidades de fraude.
La verificación del beneficiario como medida preventiva
Uno de los avances más concretos en la seguridad de las transferencias es la verificación del beneficiario, conocida como Verification of Payee (VoP). Este mecanismo, introducido mediante el Reglamento europeo sobre transferencias inmediatas, permite comprobar la correspondencia entre el nombre del destinatario y la cuenta bancaria a la que se pretende enviar el dinero.
Su utilidad resulta especialmente evidente en fraudes relacionados con la manipulación de facturas, el cambio fraudulento de cuentas de proveedores o la suplantación de directivos.
Imaginemos una empresa que recibe una factura de 50.000 euros cuyo IBAN ha sido modificado por un ciberdelincuente. La verificación del beneficiario permite advertir de una posible discrepancia antes de autorizar la transferencia, reduciendo el riesgo de que el dinero llegue a una cuenta fraudulenta.
Considero que esta medida también pone de manifiesto la importancia de la experiencia del usuario en la seguridad bancaria. Las advertencias deben ser comprensibles y facilitar decisiones informadas, especialmente cuando el cliente está siendo presionado para completar una operación.
Más responsabilidad ante los fraudes por suplantación
Las propuestas de PSD3 y PSR también contemplan nuevas medidas de protección frente a determinados fraudes por suplantación de identidad, conocidos como spoofing.
En estos ataques, los delincuentes se hacen pasar por empleados de entidades financieras u otros interlocutores de confianza, utilizando llamadas, mensajes o comunicaciones aparentemente legítimas para conseguir que sus víctimas realicen transferencias.
El futuro marco regulatorio plantea reforzar las responsabilidades de los proveedores de servicios de pago, incluyendo posibles obligaciones de reembolso en determinados supuestos de suplantación, sujetas a las condiciones y excepciones que establezca el texto definitivo.
Para la banca, esta evolución tendrá consecuencias operativas. Los sistemas de detección, los procedimientos de atención al cliente y los mecanismos de respuesta ante incidentes deberán funcionar de manera coordinada. Será necesario reforzar la protección sin introducir controles que dificulten innecesariamente las operaciones legítimas.
Inteligencia artificial y monitorización avanzada del fraude
La prevención del fraude bancario exige analizar un volumen creciente de información y detectar comportamientos anómalos con rapidez. En este ámbito, la inteligencia artificial y los modelos de machine learning ofrecen capacidades para evaluar patrones transaccionales, identificar desviaciones y estimar el riesgo de determinadas operaciones.
Estas tecnologías pueden complementarse con biometría conductual, análisis de dispositivos y evaluación de relaciones entre cuentas, incorporando nuevas señales a los sistemas de monitorización.
Sin embargo, su implantación plantea desafíos que van más allá de la tecnología. La calidad de los datos, la integración con las plataformas existentes y la capacidad para interpretar las alertas condicionan su eficacia. Un sistema excesivamente restrictivo puede generar falsos positivos, bloquear operaciones legítimas y perjudicar la experiencia del cliente.
Desde mi perspectiva, uno de los principales retos para las entidades financieras será incorporar estas capacidades a infraestructuras que llevan años evolucionando y que deben garantizar la continuidad de operaciones críticas.
En Entelgy contamos con experiencia en modernización de aplicaciones, automatización de procesos, integración tecnológica e inteligencia artificial. Estas capacidades nos permiten acompañar a las entidades financieras en la evolución de sus sistemas, conectando las plataformas existentes con nuevas funcionalidades de análisis y monitorización, siempre desde una perspectiva orientada a las necesidades operativas del negocio.
Protección del cliente y eficiencia operativa
El nuevo entorno regulatorio también está impulsando una mayor atención a los mecanismos de autoprotección. Los límites configurables de transferencias, las alertas en tiempo real y las opciones de bloqueo preventivo permiten adaptar determinadas medidas de seguridad a las características de cada cliente.
Estas funcionalidades resultan especialmente útiles para personas con menor familiaridad con los canales digitales o más expuestas a determinadas técnicas de ingeniería social. Su eficacia depende de que sean accesibles y fáciles de utilizar.
Para las entidades, el desafío consiste en integrar estos mecanismos en procesos operativos eficientes. La prevención del fraude requiere coordinación entre las áreas de tecnología, riesgos, cumplimiento y atención al cliente, así como procedimientos que permitan responder con rapidez ante situaciones sospechosas.
La automatización y el análisis avanzado de datos pueden contribuir a mejorar esta coordinación, reducir intervenciones manuales y facilitar la trazabilidad de las operaciones.
PSD3 y la competitividad de la banca europea
La adaptación al nuevo marco europeo de pagos supondrá un esfuerzo adicional para las entidades financieras, que ya afrontan importantes necesidades de modernización tecnológica y cumplimiento normativo.
Creo que esta evolución debe aprovecharse para revisar los sistemas de prevención del fraude desde una perspectiva más amplia. La capacidad para relacionar información procedente de distintos canales, detectar comportamientos anómalos y coordinar los procedimientos de respuesta puede mejorar tanto la protección del cliente como la eficiencia de las operaciones.
Desde nuestra experiencia en Entelgy, sabemos que incorporar nuevas funcionalidades a los sistemas bancarios exige considerar las particularidades de cada infraestructura, la integración de aplicaciones y las necesidades de continuidad del negocio. La inteligencia artificial y la automatización ofrecen posibilidades de mejora, pero su valor depende de cómo se incorporen a los procesos existentes y de los resultados que permitan obtener.
La experiencia acumulada desde PSD2 ha demostrado que la autenticación, por sí sola, no permite responder a todas las modalidades de fraude. PSD3 y PSR forman parte de una evolución regulatoria que exigirá reforzar las capacidades preventivas de las entidades y revisar sus modelos de gestión del riesgo.
Para la banca, la prioridad será integrar estos cambios de forma eficaz, manteniendo el equilibrio entre seguridad, eficiencia y experiencia del cliente. La capacidad para conseguirlo tendrá una influencia directa en la confianza que ciudadanos y empresas depositan en los servicios financieros digitales.
Eugenio Egido, Director Corporativo de Servicios Financieros de Entelgy
