Cada vez que confirmas un pago en la app del banco, introduces un código recibido por SMS o usas tu huella, estás aplicando la autenticación reforzada de clientes, conocida por sus siglas en inglés, SCA. La exige la Directiva europea de servicios de pago (PSD2) y sus normas técnicas, y en España se aplica a través del Real Decreto-ley 19/2018. Entender cómo funciona te protege de una de las técnicas de fraude más frecuentes: conseguir que tú mismo confirmes una operación que no quieres hacer.
Qué es la autenticación reforzada
Consiste en verificar tu identidad usando al menos dos elementos independientes de tres categorías:
| Categoría | Qué es | Ejemplos |
|---|---|---|
| Conocimiento | Algo que solo tú sabes | Contraseña, PIN |
| Posesión | Algo que solo tú tienes | Tu móvil vinculado, una tarjeta de coordenadas, un dispositivo de firma |
| Inherencia | Algo que eres | Huella dactilar, reconocimiento facial |
La idea es que, si un estafador obtiene uno de esos elementos (por ejemplo, tu contraseña), no le baste para operar. Para que funcione, los elementos deben ser independientes: que se vulnere uno no debe comprometer la fiabilidad de los demás. Por eso los bancos han ido sustituyendo las tarjetas de coordenadas por la confirmación en la app del móvil, que combina la posesión del dispositivo con un PIN o un dato biométrico.
Las reglas técnicas detalladas están en un reglamento delegado europeo elaborado a partir de normas de la Autoridad Bancaria Europea (EBA), que se aplica directamente en todos los Estados miembros.
Cuándo es obligatoria
- Al acceder a tu cuenta de pago en línea.
- Al iniciar una operación de pago electrónico, como una transferencia o una compra online con tarjeta.
- Al realizar a distancia cualquier acción que pueda implicar riesgo de fraude, como dar de alta un nuevo beneficiario o cambiar el teléfono asociado.
En los pagos a distancia, además, la autenticación debe estar vinculada dinámicamente al importe y al beneficiario concretos. Por eso muchos mensajes de confirmación indican la cantidad y el comercio o destinatario: lo que confirmas es esa operación.
Las excepciones
Las normas técnicas europeas permiten no aplicar SCA en algunos casos, siempre a criterio del proveedor y con límites. Entre otras:
- Pagos sin contacto de importe reducido, con límites acumulados.
- Pagos online de bajo importe, también con límites acumulados.
- Transferencias a beneficiarios de confianza que tú mismo has registrado.
- Pagos recurrentes del mismo importe al mismo beneficiario, tras el primero.
- Operaciones que el proveedor considera de bajo riesgo según su análisis.
Que una excepción permita no pedirte el código no traslada el riesgo hacia ti: si el proveedor decide no aplicar autenticación reforzada, asume las consecuencias que la normativa le atribuye en caso de operación no autorizada.
Cómo usan la SCA los estafadores
Como la SCA es difícil de saltar técnicamente, los estafadores intentan que seas tú quien la complete. Los guiones más habituales:
- Un falso empleado del banco te llama y te pide un código «para cancelar una operación sospechosa»: en realidad estás autorizando un pago o el alta de un dispositivo.
- Te piden confirmar en la app una notificación «de verificación» que en realidad es un pago.
- Te piden el código para «darte de alta» en una plataforma de inversión o para «verificar tu identidad».
- Te piden instalar un programa de acceso remoto para ver la pantalla mientras confirmas operaciones.
Regla de oro: lee siempre el texto completo del mensaje antes de introducir un código. Tu banco nunca te pedirá por teléfono que le facilites un código de confirmación.
Qué consecuencias legales tiene
Si tu banco no exigió autenticación reforzada cuando era obligatoria, la normativa establece que no deberías soportar las pérdidas, salvo que hayas actuado de forma fraudulenta. Por otro lado, el hecho de que una operación se autenticara con SCA no demuestra por sí solo que la autorizaras o que actuaras con negligencia grave: el banco debe acreditarlo. Puedes ver estos conceptos en la ley de servicios de pago explicada.
Qué hacer si diste un código o confirmaste algo que no debías
- Llama de inmediato a tu banco por el número oficial y bloquea accesos y tarjetas.
- Pregunta qué operaciones o cambios se hicieron con ese código.
- Pide por escrito el detalle de cada operación: hora, dispositivo y elementos de autenticación usados.
- Guarda el SMS o la notificación tal como la recibiste: su texto es importante.
- Presenta denuncia y comunica por escrito al banco las operaciones que no reconoces.
- Si sospechas que tu dispositivo está comprometido, llama al 017 de INCIBE.
Si quieres ayuda para preparar la reclamación, revisa nuestro servicio de revisión documental.
