Entidades deberán aplicar doble factor de autenticación, alertar movimientos en menos de un minuto, bloquear productos ante reclamos y justificar con pruebas cualquier rechazo.
La Superintendencia General de Entidades Financieras (Sugef) aprobó un nuevo reglamento que obliga a las entidades financieras supervisadas a reforzar sus mecanismos de prevención y respuesta frente a estafas informáticas, con medidas que incluyen el uso de doble factor de autenticación, notificaciones de transacciones en menos de un minuto y controles para detectar operaciones que se aparten del comportamiento habitual de sus clientes.
El Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros, Acuerdo SUGEF 5-26, se publicó en el Alcance N.° 122 a La Gaceta del 11 de septiembre de 2026 y entró a regir ese mismo día. La Sugef emitió la normativa para desarrollar las obligaciones establecidas en la Ley 10.889, Ley de Protección a las personas consumidoras en la custodia de su dinero que administra cualquier entidad financiera, aprobada este año.
La regulación exige a cada entidad diseñar una estrategia específica para reducir el riesgo de estafas en sus canales digitales, basada en una evaluación de riesgos que deberá actualizar cuando habilite nuevos canales, productos o servicios, o modifique los existentes. Además, deberán recopilar información sobre los fraudes que conozcan, como los montos sustraídos, mecanismos de autenticación empleados, modalidad de la estafa, canal utilizado, rango de edad de la persona afectada, fecha y hora del hecho y tiempo que tomó resolver el reclamo.
Entre los cambios con mayor impacto para los usuarios figura la obligación de establecer mecanismos de autenticación robustos con doble factor para ingresar a los canales digitales, ejecutar operaciones de riesgo y realizar trámites de autogestión, como crear usuarios, cambiar claves o tokens, bloquear cuentas o recuperar credenciales. La Sugef también ordenó evitar sistemas de autenticación basados únicamente en información que pueda transferirse a terceros y facilitar una suplantación de identidad.
Las entidades también tendrán que analizar las transacciones de manera integral para detectar comportamientos atípicos. Para ello deberán considerar, entre otros elementos, los patrones habituales de cada usuario, destinatarios frecuentes, montos, horarios, dispositivos utilizados, sistema operativo, navegador, redes de conexión, formas de autenticación e incluso características de comportamiento como la forma de teclear o mover el mouse.
Cuando una operación resulte atípica, la entidad deberá solicitar una confirmación adicional de identidad antes de ejecutarla. El reglamento también obliga a establecer parámetros para aprobar o denegar transacciones y políticas para efectuar bloqueos preventivos de fondos cuando exista sospecha de que una transferencia tiene origen o destino relacionado con una estafa informática.
Otro cambio establece que las entidades deberán notificar a sus clientes en menos de un minuto cuando se produzcan transacciones en sus cuentas. La obligación también se aplicará a eventos como inicios de sesión, cambios de contraseña o mecanismos de seguridad, modificaciones del número telefónico o correo electrónico, aumentos de límites de transferencia y detección de nuevos dispositivos.
Esas alertas podrán llegar por correo electrónico, mensajes SMS, notificaciones push u otros medios autorizados por el usuario. Las entidades deberán conservar evidencia de la fecha, hora, medio y contenido mínimo de cada comunicación y no podrán utilizar enlaces acortados en los correos electrónicos relacionados con esas notificaciones.
Qué ocurrirá cuando un cliente denuncie una estafa
Cuando una persona rechace haber autorizado una transacción relacionada con una estafa informática o un rebajo no autorizado, podrá presentar un reclamo ante su entidad financiera mediante un formulario y deberá adjuntar una copia de la denuncia interpuesta ante el Organismo de Investigación Judicial (OIJ). Los bancos y demás entidades tendrán que mantener canales telefónicos, tecnológicos y de autogestión para recibir esos reclamos, además de conservar la posibilidad de presentarlos de manera presencial.
Al recibir la reclamación, la entidad deberá entregar un código de seguimiento con la fecha y hora de recepción y bloquear inmediatamente la posibilidad de realizar transacciones electrónicas con el producto afectado. Al mismo tiempo, tendrá que ofrecer una alternativa para que la persona pueda continuar efectuando sus operaciones.
Si después de presentado el reclamo ocurren nuevas transacciones no autorizadas, la entidad financiera deberá asumir la responsabilidad por esos movimientos y sus consecuencias económicas.
La institución deberá investigar cada caso y demostrar primero que cumplió con los controles exigidos por la regulación y que sus sistemas informáticos no sufrieron una vulneración. Solo después podrá analizar la conducta del usuario en los hechos investigados.
El reglamento limita las razones por las cuales una entidad podrá rechazar un reclamo. Para hacerlo deberá contar con pruebas específicas y suficientes que acrediten un autofraude, una conducta dolosa o una transferencia realizada entre cuentas del mismo titular, además de demostrar que cumplió con las medidas de prevención y seguridad exigidas.
Cuando rechace un reclamo, la entidad deberá entregar al cliente las evidencias que respaldan su decisión y remitir esa documentación tanto al OIJ como a la Sugef. La Superintendencia tendrá que revisar la resolución y determinar si la decisión se encuentra debidamente sustentada.
Solo los reclamos que superen ese límite y que la entidad decida rechazar deberán trasladarse a la Sugef para su validación. Entre la documentación que deberán aportar figuran las bitácoras del doble factor de autenticación, registros de notificación del inicio de sesión y de la transacción, informes sobre eventuales incidentes de ciberseguridad y evidencia sobre el dispositivo desde el cual se realizó la operación.
Las entidades también deberán habilitar mecanismos para que los propios usuarios puedan bloquear temporalmente y de forma expedita sus productos y servicios financieros desde los canales digitales o centros de atención telefónica, particularmente cuando exista riesgo de que terceros realicen transacciones desde sus cuentas.
Además, tendrán que elaborar un protocolo de emergencia para atender a personas que comuniquen haber sido víctimas de una estafa informática o estar en riesgo inmediato de sufrirla. Ese protocolo requerirá autorización previa de la Sugef, deberá actualizarse al menos una vez al año y tendrá que permanecer publicado en el sitio web de cada institución.
La normativa incorpora también obligaciones permanentes de educación en ciberseguridad. Las entidades deberán informar a sus usuarios sobre modalidades de fraude, protección de contraseñas y correos electrónicos, suplantación de tarjetas SIM, direcciones web fraudulentas, llamadas y correos falsos, aplicaciones maliciosas, redes públicas y otros mecanismos que los delincuentes utilizan para obtener credenciales o información financiera.
La Sugef justificó la regulación en la responsabilidad objetiva que la Ley 10.889 impuso a las entidades financieras frente a daños derivados de sustracciones de dinero, afectaciones patrimoniales o custodia inadecuada de fondos provocadas por terceros no autorizados. La Superintendencia sostuvo además que los controles contra el fraude digital resultan necesarios tanto para proteger a los consumidores como para preservar la confianza y estabilidad del sistema financiero.