La forma de comprar ha cambiado. Millones de personas compran en todo el mundo cada minuto. Pagar cualquier cosa con tarjeta o móvil, es normal. Ahora más que nunca, la seguridad es fundamental.
Por eso entra en vigor la normativa europea de pagos, que pone en marcha la Autenticación Reforzada de Clientes, un sistema de seguridad para tus clientes basado en 3 pilares:
Como su pin
Como su móvil o tarjeta
Como su huella o reconocimiento facial
La economía digital crece, y la forma de comprar también: teléfonos móviles, ordenadores, tablets e incluso asistentes de voz, se utilizan cada día para comprar. Debido al volumen creciente de estas compras, necesitamos verificar que el titular de la tarjeta realmente es quien dice ser. La Directiva de Servicios de Pago 2 (PSD2) tiene como objetivo, entre otras cuestiones, mejorar la seguridad en transacciones presenciales y los pagos online través de la Autenticación Reforzada de Clientes.
En primer lugar, revisar tus TPV, tanto físicos como virtuales. Si todos tus TPV son seguros (3DS), es decir, los TPV físicos aceptan chip y PIN y los TPV virtuales procesan todas las transacciones como "comercio electrónico seguro", no te preocupes, no tienes que hacer nada.
Si todos o alguno de tus TPV no son seguros, debes ponerte en contacto con nosotros sin demora y te ofreceremos soluciones que te permitan continuar operando con la mejor experiencia de pago de tus clientes.
1. Introducción
"PSD2" es el acrónimo utilizado para denominar a la segunda Directiva (UE) 2015/2366, de 25 de noviembre, de servicios de pago.
Esta directiva es la regulación europea que recoge el marco normativo que aplica a los pagos electrónicos en Europa.
La PSD2 regula la ejecución de pagos electrónicos en todos los países de la Unión Europea, así como los derechos y obligaciones de los usuarios de servicios de pago frente a sus "proveedores de servicios de pago" (bancos, entidades de dinero electrónico, etc) así como las relaciones entre dichos proveedores.
Además, esta directiva trata de adaptar la normativa a los cambios experimentados en el panorama de los pagos y regular la aparición de nuevos servicios de pagos electrónicos. En este sentido, los tres objetivos principales de la PSD2 son:
1. Aumentar la protección de los consumidores y la transparencia.
2. Promover la competencia y la innovación.
3. Aumentar la seguridad de los pagos electrónicos.
La PSD2 entró en vigor en enero de 2016 y resulta de aplicación desde enero de 2018. Sin embargo, algunas de sus disposiciones, como las relativas a la autenticación reforzada de clientes, entrarán en vigor el 14 de septiembre de 2019.
2. Aspectos clave de la psd2
1.Requisitos de seguridad más estrictos en los pagos electrónicos (autenticación reforzada del cliente).
La PSD2 ha hecho de la seguridad en los pagos electrónicos uno de sus ejes vertebradores. La norma prescribe la aplicación obligatoria de medidas y procedimientos de seguridad específicos en las operaciones de pago electrónicas, y en especial, en las que tienen lugar a distancia. Estas medidas y procedimientos se articulan en torno al concepto de “autenticación reforzada del cliente” ("SCA", por sus siglas en inglés). En lo relativo a la seguridad en las operaciones de pago, la PSD2 se centra especialmente en las transacciones de carácter remoto realizadas a través de Internet. Este énfasis es una consecuencia directa del notable incremento que dichas transacciones,especialmente las realizadas por dispositivos móviles, han experimentado en los últimos años, impulsadas por el auge del comercio electrónico. El requisito de realizar autenticación reforzada del cliente cuando se inicia una transacción de pago electrónico, consiste en la obligación de los proveedores de servicios de pago (PSPs) que emiten instrumentos de pago, de autenticar la identidad del ordenante, basándose en el uso de dos elementos de seguridad independientes (factores de autenticación) cada vez que éste realice un pago en un comercio físico o electrónico.La autenticación reforzada del cliente se basa en el uso combinado de dos de los siguientes tipos de factores de autenticación:
Algo que solamente el ordenante conoce,por ejemplo, el PIN de su tarjeta.
Algo que solamente el ordenante posee,por ejemplo, una tarjeta, un teléfono.
Algo que ordenante es, por ejemplo, un rasgo biométrico como la huella digital, el iris.
De esta manera, el PSP emisor del instrumento de pago puede estar seguro de que el ordenante es quien dice ser. No obstante lo anterior, existen una serie de exenciones y excepciones legales que permiten no tener que pedir los dos factores de autenticación siempre, lo que beneficia la experiencia del usuario sin reducir la seguridad del pago. Por un lado, hay varios tipos de pagos que, por su propia naturaleza, la PSD2 los excluye del requisito de solicitar autenticación reforzada.
Se trata de: pagos iniciados por correo postal o por teléfono; pagos de productos o servicios cuando exista un acuerdo entre el comercio y el titular que permita al comercio realizar los cargos sin que el titular tenga que realizar una acción anterior que lo desencadene (por ejemplo, pago de suscripciones, de suministros etc.), y los pagos con tarjetas prepago anónimas.
Además, el requisito de SCA solo aplica cuando tanto el PSP del ordenante, como el PSP del comercio están en el Espacio Económico Europeo (EEE) por lo que los pagos con tarjetas emitidas fuera del EEE no están sometidos a SCA.
Por otro lado, se prevén una serie de situaciones en las cuales se permite que los PSPs emisores de instrumentos de pago no apliquen
SCA, por considerarse de menor riesgo. Estas situaciones son:
Los nuevos requisitos de SCA, ligados a los supuestos de exenciones y excepciones a su aplicación, suponen un cambio en la forma en que los usuarios de servicios de pago van a realizan sus compras.
Así, en los pagos presenciales con tarjeta física, el uso de tarjetas EMV chip y la introducción del PIN, será suficiente para cumplir los requisitos de autenticación reforzada, al existir un factor de posesión (la tarjeta EMV) y un factor de conocimiento (el PIN), pero es posible que el usuario de servicios de pago note que se le solicita el PIN con mayor frecuencia, incluso en pagos de bajo importe, ya que a partir de ahora, además del importe de la operación, se tendrá en cuenta para solicitar o no el PIN, el número de pagos que se realicen con un mismo instrumento de pago, o la suma de sus importes hasta un límite.
En los pagos por Internet, el cambio en la forma de pago se notará un poco más, pues los ordenantes ya no podrán realizar pagos online introduciendo únicamente la información impresa de sus tarjetas (número de tarjeta, fecha de caducidad y código de seguridad). En su lugar, tendrán que, por ejemplo, verificar su identidad introduciendo durante el proceso de pago un código adicional que recibirán en su móvil o mediante la aplicación bancaria que esté conectada a su teléfono y que requiera una contraseña o huella dactilar para aprobar una transacción, o con el mismo PIN de la tarjeta utilizado en la operativa presencial.
No obstante lo anterior, cabe destacar, que si bien la autenticación reforzada de clientes entrará en vigor el 14 de septiembre de 2019, existe una moratoria para la aplicación de SCA en los pagos por internet, por lo que de momento en este tipo de operaciones los usuarios de servicios de pago no notarán cambios.
2. Nuevos servicios de pago basados en el acceso a las cuentas por terceros.
Otra de las novedades fundamentales de la PSD2, es la obligación para los bancos de permitir el acceso a las cuentas de sus clientes a terceros proveedores de servicios de pago para que estos puedan prestar determinados servicios de pago. Los servicios basados en el acceso a las cuentas bancarias por terceros, se conocen como servicios de "Open Banking"
El objetivo de esta nueva obligación es, según la PSD2, fomentar la competencia y la innovación. Así, la PSD2 obliga fundamentalmente a los bancos, a conceder a terceros ("Proveedores de Servicios de Pago Terceros" o "TPP") acceso a las cuentas de sus clientes, para que puedan prestar dos tipos de servicios: iniciación de pagos e información sobre cuentas.
3. Se refuerzan los derechos de los consumidores
La PSD2 incluye una serie de disposiciones que otorgan una mayor protección a los consumidores. En este sentido, la PSD2 aumenta los requisitos de información precontractual que los proveedores de servicios de pago deben proporcionar a los usuarios finales, especialmente en relación con las comisiones aplicables.
Además, la PSD2 también impide que los comercios minoristas europeos pidan a los consumidores europeos gastos adicionales en función del medio de pago utilizado en la transacción (el llamado "recargo", que en España ya estaba prohibido para las tarjetas de los consumidores) o que los comercios minoristas cobren cantidades a las que el cliente no ha dado su consentimiento específico.
Asimismo, la PSD2 reduce la responsabilidad del usuario en pagos no autorizados. Salvo en caso de fraude o negligencia grave, el importe máximo que un usuario de servicios de pago podría verse obligado a desembolsar de realizarse una operación de pago no autorizada desciende de 150 a 50€.
Por último, se prohíben los métodos de fijación de precios no transparentes y se prevé la creación de una figura competente a nivel nacional para manejar las quejas de los servicios de pago de particulares y de las asociaciones de consumidores.
La Autenticación Reforzada de Clientes, también conocida como “Strong Customer Authentication” o “SCA” por sus siglas en inglés, supone la aplicación de nuevas medidas de seguridad que harán que los pagos con tarjeta sean aún más seguros, ya que será la forma en la que las entidades Emisoras van a identificar a los titulares de las tarjetas cuando ordenen pagos en comercios presenciales o por internet.
Estas nuevas medidas de seguridad se han introducido a través de la nueva Directiva de Servicios de Pago, también conocida como PSD2, una norma que tenemos que cumplir todos los proveedores de servicios de pago (como los bancos) que estemos dentro del Espacio Económico Europeo.
La autenticación reforzada supone que los titulares de tarjetas tendrán que identificarse ante la entidad Emisora de su tarjeta utilizando al menos dos factores de autenticación cuando realicen determinados pagos electrónicos. Así, la entidad Emisora pedirá al titular 2 de los siguientes 3 tipos de factores de autenticación:
Estos nuevos requisitos tienen menor impacto en los pagos con tarjeta presenciales, gracias a las tarjetas con chip y PIN. En estos casos, ya se cumplen los requisitos de autenticación reforzada ya que existe un factor de posesión (la tarjeta) y un factor de conocimiento (el código PIN), y lo único que va a notar el titular cuando compre es que el terminal le va a pedir que introduzca su PIN con más frecuencia, incluso aunque se trate de importes inferiores a 20€.
En los pagos en comercio electrónico el impacto será mayor, pues los titulares de tarjetas ya no podrán realizar pagos online utilizando la información impresa de sus tarjetas (número de tarjeta, fecha de caducidad y código de seguridad). En su lugar, la entidad Emisora le pedirá 2 de los 3 posibles tipos de factores de autenticación mencionados anteriormente, que en la mayoría de los casos, será una clave OTP que recibirá en su móvil por SMS y algo más, que dependerá del perfil más o menos tecnológico del titular.
Todo ello deberá efectuarse a través de un protocolo seguro, por lo que los comercios que no lo sean, deberán migrar a 3DSecure.
No, existen una serie de exenciones y excepciones legales que permiten no tener que pedir los dos factores de autenticación siempre, lo que beneficia la experiencia del usuario sin reducir la seguridad del pago.
Por un lado, hay varios tipos de pagos que, por su propia naturaleza, la PSD2 los excluye del requisito de solicitar autenticación reforzada. Se trata, de pagos iniciados por correo postal o por teléfono, los pagos de productos o servicios cuando exista un acuerdo entre el comercio y el titular que permita al comercio realizar los cargos sin que el titular tenga que realizar una acción anterior que lo desencadene (por ejemplo, pago de suscripciones, de suministros etc.), y los pagos con tarjetas prepago anónimas.
Además el requisito de SCA solo aplica cuando el emisor y el adquirente están en alguno de los países del Espacio Económico Europeo (EEE), por lo que los pagos con tarjetas emitidas fuera del EEE no están sometidos a SCA.
Por otro lado se prevén una serie de situaciones bajo las cuales es posible que los Emisores decidan no aplicar SCA.
Estas situaciones son:
La PSD2 no obliga directamente a los comercios, sino a los proveedores de servicios de pago, pero no es posible pedir a los titulares de las tarjetas los dos factores de autenticación que se requieren para aplicar correctamente SCA, o bien decidir no pedírselos en los casos permitidos legalmente, sin la adaptación técnica de los terminales y pasarelas de pago de los comercios, siendo responsabilidad de las entidades Adquirentes hacer que sus comercios implementen las adaptaciones necesarias para poder cumplir con la norma, en los casos en que dicha actualización dependa del comercio, ya que habrá otros, en los que la actualización la podrá realizar el Adquirente.
Las entidades Emisoras pueden ser sancionadas con cuantiosas multas en caso de que no cumplan con los requerimientos de SCA por lo que podrán denegar la autorización de las operaciones de pago, en caso de que no puedan aplicar SCA, o no puedan estar seguras de que se trata de un pago no sujeto o exento de SCA, lo que tendría consecuencias directas para
el comercio, que perdería ventas y clientes.
En primer lugar, revisar tus TPV, tanto físicos como virtuales. Si todos tus TPV son seguros (3DS), es decir, los TPV físicos aceptan chip y PIN y los TPV virtuales procesan todas las transacciones como "comercio electrónico seguro", no te preocupes, no tienes que hacer nada.
Si todos o alguno de tus TPV no son seguros, debes ponerte en contacto con nosotros sin demora en […], donde te ofreceremos soluciones que te permitan continuar operando con la mejor experiencia de pago de tus clientes.
La autenticación reforzada de clientes será obligatoria a partir del 14 de septiembre de 2019, no obstante lo anterior, un reciente comunicado de la Autoridad Bancaria Europea faculta a las autoridades nacionales, en nuestro caso, el Banco de España, para acordar una prórroga en relación a los pagos por internet. Este aplazamiento podría dar margen a comercios y proveedores de servicios de pago (bancos) para implementar los cambios necesarios, pero en cualquier caso, lo más conveniente es empezar a realizarlos cuanto antes. Te mantendremos informado de cualquier novedad al respecto.
El colectivo de las trabajadoras de la antigua fábrica de alfombras de Can Morató recibieron ayer los reconocimientos Clara Hammerl del Ayuntamiento de Pollença, en el transcurso del acto institucional de entrega de estas distinciones, concedidas, en honor a su nombre, a mujeres o a colectivos de mujeres nacidas, que vivan o hayan trabajado en Pollença, para dar visibilidad a su contribución a la mejora de la sociedad en todos los ámbitos (laboral, social, artístico, deportivo ...).En el mismo acto, también se entregó el obsequio conmemorativo de la distinción a Colonya, como depositaria de este reconocimiento simbólico a todas las mujeres trabajadoras de la Fábrica de Can Morató, especialmente a las que ya no están, que tendrá un lugar de honor en la nueva sede institucional de la entidad.Nuestra más cordial enhorabuena a estas mujeres trabajadoras, pioneras en el ámbito laboral femenino y fundamentales en el trabajo exquisito que se realizaba en la antigua fábrica de alfombras de Can Morató.Colonya felicita también al Ayuntamiento de Pollença para esta iniciativa del reconocimientos Clara Hammerl que ponen en valor y visibilizan la aportación de las mujeres en nuestra sociedad.https://sompollenca.com/video/2021/06/06/un-viatge-a-traves-de-la-vida-de-can-morato/https://sompollenca.com/municipi/2021/08/09/reconeixements-clara-hammerl-per-a-les-treballadores-de-can-morato/
Ver más
En los últimos meses ha surgido un nuevo método de estafa llamado vishing, donde los ciberdelincuentes intentan engañar a sus víctimas con llamadas telefónicas o mensajes de voz en los que pretenden suplantar la identidad bancaria, con la finalidad de robar información sensible, personal o bancaria, y los credenciales del usuario, a través de la mentira y la manipulación. ¿Cómo funciona el Vishing?El procedimiento más común es el envío de correos electrónicos que solicitan que se llame a un número de teléfono que tiene un contestador automático en el cual se le pregunta al usuario información confidencial.Otras veces, la llamada telefónica complementa un ataque previo por Phishing. Es decir, el ciberdelincuente obtiene la información confidencial mediante un correo electrónico o una web fraudulenta (phishing), pero necesita alguna información adicional que se exija cuando se tiene activado el Doble Factor de autenticación. En este caso, se necesita un código SMS u otro tipo de clave para poder validar las operaciones, transferencias o compras fraudulentas. De esta manera, los ciberciminales llaman por teléfono al cliente identificándose como personal de la entidad y, después de darle confianza y alarmarlo de alguna manera mediante argumentos de urgencia o de riesgo, le pregunta la clave que necesitan.¿Qué debo hacer en caso de Vishing?Te recomendamos seguir estas sencillas instrucciones:Sospecha si recibes una llamada de un servicio conocido que no esperes y, sobre todo, de aquellas comunicaciones que soliciten realizar una acción de manera urgente, como facilitar información sensible.No des información personal ni reveles tus credenciales bancarias. Tu entidad nunca te preguntará información confidencial por e-mail, SMS o cualquier otro canal poco seguro, en este caso, una llamada telefónica.Verifica la identidad de la persona que se ha puesto en contacto contigo. Si el remitente proporciona un número para devolver la llamada, puede ser parte de la estafa, así que no lo utilices. En lugar de eso, busca el número de teléfono público oficial de la empresa o institución que se supone que te está contactando y llámales por tu cuenta o acude personalmente a su oficina.Cuelga si sospechas. En el momento en que sospeches de que se trata de una llamada telefónica fraudulenta, no sientas la obligación de tener que mantener la conversación. Simplemente cuelga y bloquea el número de teléfono.Utiliza una aplicación de identificación de llamada: las innombrables alternativas de voz sobre IP posibilitan la creación de nombres falsos de forma muy sencilla. Esperamos haber aclarado vuestras dudas con respecto a este nuevo método de estafa. Recordad, la seguridad de los sistemas de información es responsabilidad de cada uno de nosotros. Si tenéis cualquier duda, podéis contactar con nosotros y os ayudaremos encantados.
Ver más
Tanto si eres arrendador como inquilino, la pregunta es la misma: ¿quién paga el seguro de la vivienda alquilada?La respuesta es sencilla: ambos. Cada uno con su propio seguro para cubrir diferentes cosas. Pero antes hay que tener en cuenta varios conceptos para poder diferenciar el seguro de hogar como propietario y el seguro de hogar para inquilinos.-Continente: Se refiere al inmueble, a la estructura del edificio y los materiales que lo construyen, como las paredes, tejados, suelo, etc. También entrarían en esta categoría los elementos de suministros, como las tuberías del gas, electricidad, etc. Corresponde al propietario hacerse cargo de esta parte.-Contenido: Engloba todo lo que se encuentra en el interior de la vivienda, como los muebles, objetos personales, aparatos electrónicos, etc. En este caso, es el inquilino el que debe contar con un seguro para el contenido del inmueble y, así, proteger todas sus pertenencias dentro del hogar en caso de robo.-Responsabilidad Civil: Se trata de la cobertura que cubre las reparaciones e indemnizaciones producidas en la casa y que afecten a un tercero. Dependerá de la situación y, sobre todo, de la culpabilidad. Si se debe a un error del inquilino, será su seguro el que se haga cargo. En cambio, si se trata de averías que producen humedades que afectan al vecino, por ejemplo, será el propietario el que deba reparar el daño. En definitiva, lo más recomendable es que tanto propietario como inquilino cuenten con su propio seguro para que ambos estén protegidos. En Colonya Caixa Pollença te ofrecemos un seguro a medidaA diferencia de otros seguros, no es obligatorio contratar un seguro de hogar, pero no tener uno puede suponer una imprudencia. Por eso es aconsejable contar con un seguro que se haga cargo de cualquier imprevisto y cubra todas tus pertenencias. En Colonya te ofrecemos seguros personalizados, tanto para propietarios como para inquilinos, ya que cada persona es distinta y tiene diferentes necesidades. De esta manera tendrás un seguro que se amolde a tu presupuesto, tu estilo de vida y a tu hogar. Además cuentas con doble atención por si la necesitas (de la compañía aseguradora y de Colonya Seguros) y puedes realizar una aportación solidaria de un 5% de la prima neta del primer año de contratación de las pólizas de seguros a nuestra fundación.Ya sabes, infórmate en nuestra web o acércate a cualquiera de nuestras oficinas para poder ofrecerte el seguro que realmente necesitas.*Esta entrada del blog se ha basado en el artículo que podéis ver aquí.
Ver más
Con el crecimiento de las nuevas tecnologías, los teléfonos móviles y sus aplicaciones bancarias, el miedo a un posible robo cibernético ha ido incrementando en los últimos años. Esto se ha hecho más evidente con la posibilidad de poder pagar tus compras con una tarjeta contactless o desde tu teléfono móvil con tan solo acercarlo al terminal TPV del negocio. En este artículo intentaremos desmentir algunas de las falsas historias y leyendas urbanas que han surgido con respecto a este nuevo método de pago.1. Pueden robarme sin darme cuenta.Seguro que alguna vez hemos escuchado alguna historia sobre alguien a quien le han robado, aprovechando una aglomeración de personas, con un TPV desde el cual activaron sus tarjetas contactless o las tarjetas guardadas en el smartphone y pudieron extraerles su dinero sin que se diera cuenta. Hay varias razones para no creerse esas historias:- Para que un TPV pueda leer las tarjetas contactless o captar la señal de una wallet (apps de pago con tarjeta a través del teléfono), tendría que estar a una distancia no superior a 4 centímetros. En definitiva, el ladrón tendría que estar prácticamente encima tuya, rozando el acoso físico, lo cual sería muy sospechoso.- Además de tu tarjeta contactless, normalmente tenemos otras de este estilo en la cartera, ya sea la del abono transporte, de acceso a la oficina, al gimnasio o incluso de otro banco. Cuando varias de estas tarjetas están juntas es imposible que puedan leer solo la señal de una de ellas, por lo tanto no se podría realizar el pago.- Los wallets no permiten iniciar el pago sin que se haya desbloqueado el teléfono móvil. Esta medida de seguridad obliga a realizar la autenticación en el propio teléfono, lo que permite que no sea necesario introducir el PIN de la tarjeta en el TPV, evitando que alguien nos pueda espiar y aumentando la seguridad.- Cada TPV está asociado a un establecimiento o comercio y su dueño es el responsable de su uso. En el caso de que se produzca algún pago fraudulento sería sencillo identificar al propietario del terminal.2. Pueden entrar en mi smartphone y quedarse con mis datos.También es común escuchar a gente decir que pueden introducir un virus en tu móvil o que alguien puede hackearlo para acceder a tus tarjetas y clonarlas para usarlas libremente. Pero, en realidad, en los wallet no se guarda ningún número de tarjeta, tan solo un token que hace referencia a dicha tarjeta. El almacenamiento de la información se hace en el elemento seguro del móvil, cuya seguridad es difícilmente franqueable.Solo la marca de la tarjeta (Mastercard) y el banco saben la correspondencia entre ese token y la tarjeta física real. Cuando se realiza un pago online, solo viaja ese token junto a una clave de uso único por pago. Además, todos los wallets tienen sistemas de seguridad transparentes para comprobar que el teléfono no ha sido manipulado, que la aplicación ha sido descargada de tu tienda correspondiente y que es la versión certificada por el propio banco.3. Van a saber todos mis movimientos y van a usar mis datos.Muchos usuarios se piensan que la información que se utiliza para realizar las compras es utilizada para recabar información y ofrecer publicidad personalizada. En Colonya, somos conscientes de que la información privada y la confidencialidad de nuestros clientes es algo sagrado y jamás compartimos ningún tipo de información sobre sus compras.Esperamos que este artículo haya servido para que los que tenían dudas recuperen la confianza y utilicen este nuevo método de pago. De todas formas, si en algún momento tienes alguna duda o quieres saber más información, no dudes en ponerte en contacto con nosotros. Te ayudaremos para que tus compras no solo sean más cómodas, también más seguras.*Esta entrada del blog se ha basado en el artículo que podéis ver aquí.
Ver más