Aprobación del Reglamento (Acuerdo SUGEF 5-26) para controles mínimos que previenen y mitigan estafas informáticas en usuarios financieros

La Superintendencia General de Entidades Financieras (SUGEF) aprobó, mediante la Resolución SGF-RES-0036-2026, el “Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros”, identificado como Acuerdo SUGEF 5-26. El Reglamento fue publicado en el Diario Oficial La Gaceta y rige a partir de su publicación.

El Reglamento establece obligaciones para las entidades supervisadas por la SUGEF. Aplica a casos de estafas informáticas que impliquen la sustracción de dinero, la afectación del patrimonio asociado a cuentas de fondos, o la custodia inadecuada de fondos depositados en cuentas administradas por las entidades supervisadas. Define términos relevantes (por ejemplo: canales digitales, ciberhigiene digital, estafas informáticas, token, URL, user agent, usuario financiero) para la correcta aplicación de sus disposiciones.

Las entidades deben contar con una estrategia aprobada por su Órgano de Dirección para minimizar riesgos de estafas informáticas. Esa estrategia se apoya en una evaluación de riesgos realizada con unidades de negocio y funciones de control, alineada con las políticas de seguridad de la entidad, y sujeta a revisiones y actualizaciones periódicas según lo defina el Órgano de Dirección. Debe actualizarse también cuando la entidad ponga en servicio nuevos canales digitales, lance nuevos productos o realice cambios en los existentes. Como parte de la evaluación, las entidades deben establecer mecanismos de análisis estadístico para identificar nuevas tipologías de estafas y compilar, al menos, por caso: monto defraudado; factores de autenticación usados; tipología; canal; descripción; rango de edad; día de la semana y franja horaria; fecha de reporte; y fecha de resolución. Esa información deberá mantenerse a disposición de la SUGEF y remitirse en la forma, periodicidad y formato que ésta disponga.

Las entidades deben implementar un programa permanente de educación en ciberhigiene digital para los usuarios financieros. El programa debe incluir, como mínimo, riesgos del uso de canales digitales, tipologías de estafas, prácticas delictivas usadas por estafadores, protección de credenciales, orientación sobre descargas de aplicaciones oficiales, detección de URLs fraudulentas y ataques como SIM swapping, recomendaciones sobre antimalware y riesgos de redes públicas. Las entidades pueden desarrollar campañas propias de concientización, considerando sus canales (propios o tercerizados), tamaño, enfoque de negocio y complejidad.

Cuando un usuario financiero presente un reclamo por operaciones no autorizadas o por uso de su cuenta por terceros, debe hacerlo dentro del plazo que establece la Ley 10889 y acompañar copia de la denuncia ante el Organismo de Investigación Judicial (OIJ). Las entidades deben disponer de un formulario para el reclamo y mantener disponibilidad continua de canales (telefónicos, tecnológicos, autogestión y atención presencial opcional) que cumplan con los controles mínimos del Reglamento. Al recibir y registrar el reclamo, la entidad debe proporcionar un número o código de recepción que incluya fecha y hora, bloquear de forma inmediata la funcionalidad para realizar transacciones electrónicas y comunicar al usuario el bloqueo por el medio previamente acordado. Si, después de presentado el reclamo, se registran nuevas transacciones no autorizadas, la entidad será responsable por esas transacciones y sus consecuencias económicas.

Las entidades deben investigar y resolver si el reclamo procede, demostrando que aplicaron las disposiciones del Reglamento y que sus sistemas no han sido vulnerados, basándose en los controles mínimos del artículo 12. La investigación y resolución se regirán por los plazos y demás disposiciones de la Ley 10889. Las entidades podrán rechazar reclamos cuando cuenten con elementos probatorios específicos y suficientes que permitan determinar, entre otras causales, autofraude, dolo, o que la transferencia fue entre cuentas del mismo titular. Cuando se deniegue un reclamo, la entidad debe comunicar la resolución incluyendo las evidencias (por ejemplo análisis forense o bitácora) y remitir copia de esa información al OIJ y a la SUGEF. La SUGEF emitirá un protocolo para las resoluciones denegatorias y validará, mediante acto razonado y en el plazo establecido en la Ley 10889, si la decisión de la entidad está debidamente respaldada.

Las entidades deben definir e implementar un protocolo de emergencia para atender a víctimas o usuarios en riesgo inmediato; ese protocolo debe alinearse con los controles mínimos del Reglamento, ser previamente autorizado por la SUGEF y actualizarse al menos una vez al año. La entidad debe remitir la solicitud de autorización a la SUGEF completa (de lo contrario no será aceptada), publicar el protocolo en su sitio web con un resumen visual de cambios respecto a versiones anteriores y capacitar periódicamente a su personal para asegurar aplicación eficaz y consistente.

El Reglamento exige controles preventivos, detectivos y correctivos para proteger cuentas de fondos e información. El análisis integral y multifactorial de transacciones atípicas debe incluir patrones transaccionales, dispositivos y user agent, sistema operativo, navegadores, formas de autenticación, redes de conexión, historial de dispositivos, uso de un mismo dispositivo en varias cuentas, y registro de dispositivos previamente usados para estafas. Las entidades deben incorporar parámetros para aprobar o denegar transacciones y, frente a transacciones atípicas, requerir confirmación del usuario antes de hacerlas efectivas.

Las entidades deben implementar mecanismos de autenticación robustos basados en tecnologías que incorporen dobles factores de autenticación para acceso a canales digitales, ejecución de transacciones de riesgo y autogestión (creación de usuarios, cambio de token, cambio de claves, bloqueo de cuentas, recuperación de credenciales). Deben evitar tecnologías de autenticación basadas en información transferible a un tercero que permitan suplantación. Deben también aplicar medidas como certificación de autenticidad de sitios web y aplicaciones, elementos que permitan corroborar comunicados, políticas de contraseñas robustas, cierre automático de sesiones por inactividad y límites diferenciados para cantidad y monto de transferencias a terceros mediante canales digitales.

Las entidades deben enviar notificaciones a los usuarios en menos de un minuto cuando se realicen transacciones en sus cuentas de fondos y al ocurrir eventos relevantes (inicio de sesión, cambios de contraseñas, cambios en mecanismos de seguridad, actualización de teléfono o correo, aumento de límites, nuevos dispositivos detectados, etc.). Las notificaciones pueden enviarse por correo electrónico, SMS o notificaciones push, y deben conservar evidencia verificable de fecha, hora, medio y contenido mínimo. Cuando se requiera confirmación o validación por parte del usuario, la entidad debe verificar su identidad. El Reglamento prohíbe el uso de enlaces acortados en correos electrónicos dirigidos a usuarios financieros.

Las entidades deben tener políticas y procedimientos para bloqueos preventivos de fondos cuando se presuma que una transferencia está vinculada a una estafa informática. Deben habilitar mecanismos de autogestión en canales digitales y centros de atención telefónica para que el usuario pueda bloquear temporalmente productos y servicios, especialmente la funcionalidad de transacciones electrónicas. Cada entidad debe incluir en sus políticas internas criterios y umbrales para devolver montos sustraídos sin un análisis detallado cuando el monto sea menor al límite que la entidad defina, con base en un análisis de costo-beneficio.

Las entidades supervisadas deberán reportar a la SUGEF y al OIJ, por protocolos seguros y conforme a la normativa de protección de datos personales, las cuentas y nombres de sus titulares cuando exista una resolución judicial firme que determine que dichas cuentas fueron utilizadas para recibir fondos provenientes de estafas informáticas. La SUGEF comunicará esa información a las entidades supervisadas exclusivamente para fines regulatorios y de supervisión, para que adopten medidas de monitoreo y debida diligencia.

El Reglamento rige a partir de su publicación en el Diario Oficial La Gaceta. La fuente oficial de esta decisión es la Resolución de Superintendencia General de Entidades Financieras SGF-RES-0036-2026, publicada en La Gaceta (documento disponible en el sitio de la Imprenta Nacional).