Reglamento SUGEF sobre controles mínimos para prevenir y mitigar estafas informáticas contra usuarios financieros

Este reglamento establece los controles mínimos que deben aplicar las entidades supervisadas por la SUGEF para prevenir y mitigar estafas informáticas que afecten a los usuarios financieros. También obliga a esas entidades a promover la educación en “ciberhigiene digital” entre sus usuarios y a coordinar reportes con la SUGEF y el Organismo de Investigación Judicial (OIJ). El reglamento rige desde su publicación en el Diario Oficial La Gaceta.

A las entidades supervisadas por la SUGEF y, por extensión, a las personas físicas o jurídicas que son usuarios financieros de esas entidades. El texto define “canales digitales”, “usuario financiero”, “estafa informática” y otros términos clave para aplicar las obligaciones.

Deben establecer y aprobar en su Órgano de Dirección una estrategia de mitigación de estafas informáticas basada en una evaluación de riesgos conjunta con unidades de negocio y controles. Esa evaluación debe actualizarse periódicamente según lo disponga el Órgano de Dirección y cuando la entidad ofrezca nuevos canales digitales, productos o haga cambios importantes. Deben identificar nuevas tipologías de estafas mediante análisis estadístico y compilar datos mínimos de cada caso (monto defraudado; factores de autenticación usados; tipología; canal; descripción; rango de edad; día y franja horaria; fecha de reporte; fecha de resolución). Esa información debe mantenerse disponible para la SUGEF y enviarse en la forma, periodicidad y formato que la SUGEF indique.

Las entidades deben tener un programa permanente de educación en ciberhigiene digital dirigido a los usuarios. El programa debe incluir, entre otros puntos, riesgos asociados al uso de canales digitales, tipologías de estafas, prácticas que usan los estafadores, protección de credenciales, recomendaciones sobre descargas de aplicaciones desde tiendas oficiales, reconocimiento de URLs y fraudes, y orientación sobre el SIM Swapping. Las entidades deben desarrollar sus propias campañas de concientización y pueden complementar las campañas gremiales.

Los usuarios que nieguen haber autorizado una operación o denuncien uso de su cuenta deben presentar reclamo ante la entidad en el plazo que establece la Ley 10889, usando un formulario que la entidad pondrá a disposición y acompañando copia de la denuncia ante el OIJ. Las entidades deben asegurar canales para presentar reclamos (telefónicos, tecnológicos, presencial) y registrar el momento y canal de presentación. Al registrar un reclamo deben entregar un número o código con fecha y hora; bloquear inmediatamente la funcionalidad para transacciones electrónicas del producto o servicio afectado y comunicar el bloqueo por el medio acordado. Si después del reclamo se registran operaciones no autorizadas, la entidad será responsable por ellas. Las entidades deben investigar y demostrar que cumplieron las disposiciones del reglamento y que sus sistemas no fueron vulnerados; la resolución y plazos se regirán por la Ley 10889. Las entidades pueden rechazar reclamos cuando existan pruebas suficientes de autofraude, dolo o que la transferencia fue entre cuentas del mismo titular. Las resoluciones denegatorias deben incluir evidencias (por ejemplo análisis forense, bitácora) y remitirse al OIJ y a la SUGEF para validación; la SUGEF emitirá un protocolo sobre la información y canales para esos envíos.

Las entidades deben contar con un protocolo de emergencia para atender usuarios en riesgo o víctimas de estafa; ese protocolo debe ser autorizado por la SUGEF, actualizarse al menos una vez al año, remitirse para autorización y publicarse en la web de la entidad con un resumen visual de cambios. Deben establecer políticas internas que fijen criterios y umbrales para devolver montos sin análisis detallado (umbral definido por cada entidad según análisis costo-beneficio). Deben implementar controles preventivos, detectivos y correctivos para identificar transacciones atípicas mediante análisis multifactorial (patrones transaccionales, dispositivos usados, user agent, navegadores, formas de autenticación, redes de conexión, comportamiento de uso, historial de dispositivos, uso de un dispositivo para múltiples cuentas, historial de dispositivos vinculados a fraudes). Deben incorporar parámetros para aprobar o denegar transacciones y, ante transacciones atípicas, solicitar confirmación al usuario antes de ejecutarlas.

Las entidades deben usar mecanismos de autenticación robustos (doble factor) para accesos, transacciones de riesgo y autogestión (creación de usuarios, cambios de token/clave, bloqueo, recuperación de credenciales). Deben evitar tecnologías de autenticación que dependan de información transferible a terceros. En canales digitales deben implementar: certificación de autenticidad de sitios y apps, elementos para que el usuario corrobore autenticidad de comunicados, política de contraseñas robustas, cierre automático de sesiones por inactividad, y límites diferenciales para cantidad y monto de transferencias locales e internacionales según opciones de configuración disponibles. Deben enviar notificaciones al usuario en menos de un minuto cuando se realicen transacciones o eventos relevantes (inicios de sesión, cambios de contraseña, actualización de teléfono/correo, nuevos dispositivos detectados, aumento de límites, etc.), por correo, SMS o push; también se pueden usar otros medios autorizados por el usuario previa explicación de implicaciones. Cuando las notificaciones requieren confirmación o validación, la entidad debe verificar la identidad del usuario y conservar evidencia verificable de fecha, hora, medio y contenido mínimo de las notificaciones. Las entidades no deben incluir enlaces acortados en correos electrónicos dirigidos a usuarios, conforme al reglamento.

Deben establecer políticas y procedimientos para bloqueos preventivos de fondos cuando se presuma que el origen o destino están vinculados a estafa informática. Deben habilitar en canales digitales y centros telefónicos mecanismos de autogestión que permitan a los usuarios bloquear temporalmente productos o servicios (especialmente la funcionalidad para realizar transacciones electrónicas) de forma expedita.

Cuando exista una resolución judicial firme que determine que cuentas fueron usadas para recibir fondos provenientes de estafas informáticas, las entidades deberán reportar a la SUGEF y al OIJ, mediante protocolos seguros y conforme a la normativa de protección de datos, las cuentas y nombres de titulares. La SUGEF comunicará esa información a las entidades para fines regulatorios y de supervisión, y esas entidades deberán adoptar medidas de monitoreo y debida diligencia.

El reglamento fija obligaciones generales y varios detalles operativos, pero deja a las entidades o a su Órgano de Dirección definir periodicidades, umbrales, criterios específicos y parámetros (por ejemplo la periodicidad exacta de actualizaciones de la evaluación de riesgos, los límites para devolución automática de montos, y los parámetros precisos para aprobar/denegar transacciones). La SUGEF emitirá protocolos y podrá definir información, formatos y canales para remisiones y autorizaciones (por ejemplo, autorización del protocolo de emergencia y protocolo para validar resoluciones denegatorias). Cuando el reglamento remite a la Ley 10889 para plazos y otras disposiciones, aplica lo dispuesto en esa ley.