En Chile, la NCG 538 de la Comisión para el Mercado Financiero lleva esta pregunta directamente al proceso de incorporación digital: establece el uso obligatorio de Autenticación Reforzada de Clientes (ARC) para la incorporación del cliente en las plataformas digitales del emisor, además de otros procesos relacionados con datos personales, claves y dispositivos de confianza. Esto cambia la manera en que las entidades deberían pensar el onboarding.
Durante años, muchas organizaciones estructuraron el onboarding de forma lineal: datos → validación → creación de cuenta → acceso. Pero cada uno de esos pasos puede ser un punto de ataque — datos robados, suplantación, dispositivos tomados, cambios de información después del registro. Verificar identidad al inicio es necesario, pero no basta: la identidad debe seguir siendo confiable durante todo el ciclo de vida del cliente.
La norma contempla como caso de uso obligatorio de ARC la incorporación del cliente en las plataformas digitales del emisor, además de la incorporación y modificación de datos personales. La propia CMF ha precisado que esta exigencia aplica a todos los emisores alcanzados por la norma, no solamente a los bancos, y que la incorporación de clientes a plataformas digitales, cuando implica incorporación o modificación de datos personales, debe realizarse mediante ARC. Esto significa que la autenticación reforzada debe estar integrada en el diseño del journey desde el inicio, no agregada como control al final.
Verificar responde: ¿la persona realmente es quien dice ser? Autenticar responde: ¿la persona que intenta esta acción es el usuario autorizado? Ambas capas trabajan juntas — una en el onboarding, otra cada vez que el cliente accede, modifica información o realiza una operación.
La NCG 538 introduce el concepto de dispositivo de confianza: un dispositivo electrónico reconocido por el usuario ante el emisor, que debe haber pasado por un proceso de enrolamiento mediante ARC. Esto convierte al dispositivo en una pieza clave de la autenticación, pero también obliga a las entidades a controlar cómo se registra, reemplaza y elimina, y qué pasa si alguien intenta registrar uno que no le corresponde al cliente.
Para el usuario, cambiar un dato puede parecer una acción administrativa. Para el fraude, es otra cosa: si un atacante entra a una cuenta y modifica información relevante, puede usar ese cambio para mantener el control o preparar una operación posterior. Por eso la NCG 538 exige ARC también en la incorporación y modificación de datos personales — porque no todos los pasos del journey tienen el mismo nivel de riesgo, y el onboarding, el cambio de datos, el enrolamiento de dispositivos y las transacciones críticas necesitan controles a la altura de ese riesgo.
Un journey robusto puede pensarse en seis capas: identificación (recolectar la información del usuario), verificación (comprobar que la identidad presentada corresponde a una persona legítima), autenticación (usar factores independientes para aumentar la confianza), vinculación del dispositivo (registrar de forma segura los dispositivos del journey), monitoreo (identificar patrones que puedan indicar fraude) y trazabilidad (mantener registros de cada evento). La NCG 538 contempla precisamente requisitos de trazabilidad, protección de datos de autenticación y monitoreo de patrones transaccionales.
Agregar controles de seguridad es sencillo en papel; el verdadero desafío aparece cuando tienen que funcionar para miles o millones de usuarios. Pedir demasiadas verificaciones en momentos de bajo riesgo genera fricción, y pedir muy pocas en momentos críticos aumenta la exposición al fraude. Por eso el objetivo no es autenticar más por autenticar más, sino construir journeys donde los controles respondan al momento, al riesgo y a la acción que el usuario intenta realizar.
La NCG 538 amplía la conversación sobre onboarding: ya no se trata solo de que una persona pueda abrir una cuenta rápido, sino de construir una identidad digital que se mantenga protegida mientras el usuario se registra, accede, cambia sus datos, vincula un dispositivo, realiza operaciones y sigue usando el servicio. El onboarding deja de ser una etapa de adquisición y se convierte en la primera capa de confianza de toda la relación digital con el cliente.