Se introducen modificaciones a la Recopilación de Normas de Regulación y Control del Sistema Financiero (“RNRCSF”) con la finalidad de proteger a los usuarios financieros de fraudes electrónicos:

• El pasado 2.1.25 el BCU publicó la Circular N°2472, modificativa de los artículos 364 y 364.1 de la RNRCSF, que introduce nuevas obligaciones a los emisores de instrumentos electrónicos y otorgantes de créditos y empresas administradoras de crédito, relacionadas con nuevas medidas de seguridad que deberán adoptarse cuando un usuario de servicios financieros realice pagos por transferencia desde su cuenta a terceros o a cuentas propias en otras instituciones financieras o solicite créditos en forma no presencial.
• Estas modificaciones entrarán en vigencia a partir del próximo 1 de marzo de 2025.
• De acuerdo con la nueva redacción del artículo 364 de la RNRCSF, a partir del 1 de marzo, las solicitudes de préstamos que fueran realizadas en forma no presencial o las transferencias o pagos a terceros realizados desde una cuenta bancaria deberán prever- para la autorización de tales operaciones - las siguientes medidas de seguridad, como mínimo:
  • Requerir al usuario un doble factor de autenticación; y
  • Establecer medidas de monitoreo y control que permitan detectar hechos irregulares vinculados con el uso del instrumento o el sistema en el que opera, incluyendo los cambios e intentos de cambios de clave, número de identificación personal, dirección, teléfono y correo electrónico de contacto, medios establecidos para recibir comunicaciones, entre otros.

  Ello, de forma adicional a la obligación que recae sobre todos los emisores de instrumentos electrónicos, en tanto establecer medidas que permitan garantizar razonablemente la seguridad del sistema en que opera el instrumento, que incluyan metodologías de autenticación asociadas a los riesgos de los distintos tipos de transacciones y niveles de acceso para asegurar que las operaciones realizadas en el mismo sean las efectuadas por las personas autorizadas.

• El doble factor de autenticación (2FA) ampliamente utilizado en la región y el mundo en materia de pagos digitales, y ya vigente para los pagos por transferencia, pero no para la solicitud de créditos digitales, debe combinar al menos dos factores de categorías distintas (conocimiento, posesión e inherencia). Siendo el factor de conocimiento algo que el usuario sabe, como una contraseña o un PIN; el factor de posesión algo que el usuario tiene, como un smartphone o un token de seguridad y el factor de inherencia algo que el usuario es, como una huella dactilar, la imagen de su retina o de su iris.
• Por último, la modificación introducida en el artículo 364.1 de la misma Recopilación, incorpora como novedad la admisión como “mecanismo de autenticación reforzada” en suplantación del doble factor de autenticación, y exclusivamente en materia de otorgamiento de créditos digitales, el uso de la firma electrónica avanzada - brindada por prestadores de particular confianza en el marco de la Ley Número 18.600.
• La nueva normativa cumple así con una de las finalidades de la Superintendencia de Servicios Financieros del BCU, correspondiente a la continua mejora en las medidas de seguridad de instrumentos electrónicos, contemplando los riesgos de estos, así como la eficiencia del sistema financiero y de pagos.