Conoce qué es y por qué es necesaria la SCA.
La Autenticación Reforzada de Clientes, también conocida como "Strong Customer Authentication" o "SCA" por sus siglas en inglés, supone la aplicación de nuevas medidas de seguridad que harán que los pagos con tarjeta sean aún más seguros, ya que será la forma en la que vamos a identificarte cuando ordenes pagos en comercios presenciales o por internet.
Para las compras online realizadas con tarjetas, SCA, comenzaron a aplicarse:
Estas nuevas medidas de seguridad se han introducido a través de la nueva Directiva de Servicios de Pago, también conocida como PSD2, una norma de obligado cumplimiento para todos los proveedores de servicios de pago (como los bancos) que estemos dentro del Espacio Económico Europeo.
Han sido diseñadas para darte aún más confianza y protección al pagar. Unos pequeños cambios que harán tus compras más seguras.
Que no cunda el pánico, ¡claro que eran seguros! Pero debido a la evolución de la tecnología, cada vez son más los pagos que se hacen a través de nuevos dispositivos. Han surgido nuevos tipos de servicios de pago y la Unión Europea ha visto necesario introducir nuevas medidas de seguridad en los pagos para reforzar la confianza de los consumidores en un mercado que cada vez se apoya más en las nuevas tecnologías.
Estas nuevas medidas de seguridad se han introducido a través de la nueva Directiva de Servicios de Pago, también conocida como PSD2, una norma que tenemos que cumplir todos los proveedores de servicios de pago (como los bancos) que estemos dentro del Espacio Económico Europeo.
Actualmente la autenticación de los clientes en los comercios online seguros se hacía pidiéndole al cliente la introducción del número de la tarjeta, la fecha de caducidad, su CVV, y la clave de un solo uso OTP que se manda al móvil por sms.
A partir del momento en que se solicite la Autenticación Reforzada de Clientes (SCA), cuando un cliente compre en tu comercio virtual, le pediremos que introduzca el número de la tarjeta y la fecha de caducidad, pero además, el banco emisor de la tarjeta que use para comprar le pedirá 2 de los siguientes 3 tipos de factores de autenticación:
Como banco emisor, a los clientes titulares de nuestras tarjetas vamos a pedirles los factores de autenticación que les resulten más cómodos y fáciles de usar ajustándonos a sus preferencias en cuanto al uso de la tecnología y a la forma en la que se relacionan con nosotros.
Todo ello deberá efectuarse a través de un protocolo seguro, por lo que los comercios que no lo sean, deberán migrar a 3DSecure. Para migrar a este tipo de protocolo la Entidad financiera que ofrece la Pasarela de Pagos online es la que fijará los pasos necesarios para actualizarla.
La autenticación reforzada supone que los titulares de tarjetas tendrán que identificarse ante la entidad emisora de su tarjeta utilizando al menos dos factores de autenticación cuando realicen determinados pagos electrónicos. Así, la entidad emisora pedirá al titular 2 de los siguientes 3 tipos de factores de autenticación o elementos identificativos de seguridad:
En este ámbito el cambio no ha sido muy grande ya que la operatoria con tarjetas con chip (factor de posesión) y PIN (factor de conocimiento) estaban ampliamente implantadas. El titular de la tarjeta lo que sí ha notado es que al comprar el terminal le suele pedir que introduzca su PIN con más frecuencia, incluso aunque se trate de importes inferiores.
No, habrá muchos pagos en los que no te pediremos SCA. La normativa quiere generar seguridad pero también comodidad en función del tipo de orden u operación de pago.
Por un lado, hay varios tipos de pagos que, por su propia naturaleza, la PSD2 las excluye del requisito de solicitar autenticación reforzada. Se trata, por ejemplo, de las ventas por correo o por teléfono, o los pagos periódicos por determinadas suscripciones a productos o servicios (por ejemplo, plataformas de contenido multimedia donde ves tus series favoritas).
Además, dependiendo de si el pago supone poco riesgo, la PSD2 nos permite eximir del requisito de autenticación reforzada.
No, cuando realices cualquier pago con tarjeta siempre estarás protegido, ya que si no te solicitamos el PIN en compras presenciales o los 2 factores de autenticación, es porque el tipo de operación presenta menor riesgo y el legislador ha considerado oportuno que no hará falta exigirlo.
No, hay que tener en cuenta que existen una serie de excepciones y exenciones legales que permiten no tener que pedir los dos factores de autenticación siempre, lo que beneficia la experiencia del usuario sin reducir la seguridad del pago.
Así, hay varios tipos de pagos que, por su propia naturaleza, la PSD2 los exceptúa del requisito de solicitar autenticación reforzada:
Además, legalmente se prevén una serie de exenciones en las cuales se permite que los bancos emisores de tarjetas no apliquen la Autenticación Reforzada de Clientes (SCA) por considerarse operaciones de menor riesgo. Estas exenciones son:
Con carácter general, antes de solicitar SCA al cliente, los bancos emisores intentaremos aplicar una exención o una excepción de las descritas anteriormente, por lo que la experiencia de compra en muchos casos será idéntica a la actual.
La PSD2 no obliga directamente a los comercios, sino a los proveedores de servicios de pago, pero no es posible pedir a los titulares de las tarjetas los dos factores de autenticación que se requieren para aplicar correctamente SCA, o bien decidir no pedírselos en los casos permitidos legalmente, sin la adaptación técnica de los terminales y pasarelas de pago de los comercios, siendo responsabilidad de las entidades Adquirentes hacer que sus comercios implementen las adaptaciones necesarias para poder cumplir con la norma, en los casos en que dicha actualización dependa del comercio, ya que habrá otros, en los que la actualización la podrá realizar el Adquirente.
Las entidades Emisoras pueden ser sancionadas con cuantiosas multas en caso de que no cumplan con los requerimientos de SCA por lo que podrán denegar la autorización de las operaciones de pago, en caso de que no puedan aplicar SCA, o no puedan estar seguras de que se trata de un pago no sujeto o exento de SCA, lo que tendría consecuencias directas para el comercio, que perdería ventas y clientes.
No, las COF se consideran operaciones de comercio electrónico y requerirían SCA salvo en los casos en los que se les pueda aplicar una excepción.
Una operación COF es una transacción en la que el comercio está haciendo uso de los datos del titular de la tarjeta (PAN o PAN tokenizado y fecha de caducidad), de los cuales el titular ha dado autorización explícita al comercio para almacenarlos y para utilizarlos en esta transacción y posteriores.
Gracias a la tokenización la numeración real de tu tarjeta no se empleará en el pago, si no que se sustituye por otro código numérico que será el utilizado en la transacción de pago.
