NCG 538 y transferencias: cómo autenticar las operaciones que más importan

Una transferencia puede tardar segundos.

Para un usuario, eso es una ventaja; para un defraudador, también puede ser una oportunidad, sobre todo una vez que logra controlar una cuenta. Por eso la NCG 538 exige Autenticación Reforzada de Clientes (ARC) para la gestión y realización de transferencias electrónicas de fondos, obligatoria desde el 1 de agosto de 2026.

¿Por qué una transferencia necesita autenticación reforzada?

Iniciar sesión y autorizar una transferencia no representan el mismo nivel de riesgo. Por eso importa distinguir entre autenticación de acceso (¿quién está entrando?) y autenticación de operación (¿quién está autorizando esta acción?) la segunda pesa más cuando hay dinero de por medio.

¿Qué dice la norma?

La ARC es obligatoria para transferencias electrónicas de fondos, con excepción de las transferencias entre cuentas del mismo RUT en la misma institución. La exigencia no se limita al momento de enviar el dinero: también aplica a la información de destinatarios y a la contratación de pagos recurrentes, porque una transferencia puede empezar a construirse mucho antes de que el dinero salga de la cuenta.

El fraude puede ocurrir antes del clic final

Un atacante con acceso a una cuenta no necesita transferir dinero de inmediato: primero podría registrar un dispositivo, modificar información, agregar un destinatario o configurar un pago recurrente, y solo después transferir. Si únicamente se protege ese último paso, todo lo anterior queda expuesto — la seguridad de una transferencia empieza antes de la transferencia.

No todos los factores son iguales

La norma define tres categorías: conocimiento (contraseña, PIN), posesión (smartphone, token, OTP) e inherencia (huella, rostro, voz, datos conductuales). La ARC exige al menos dos factores independientes de categorías distintas, la vulneración de uno no debería comprometer al otro.

Autenticar no significa dejar de monitorear

La NCG 538 también exige monitoreo continuo de patrones de transacciones. Incluso una autenticación válida puede convivir con señales de riesgo: un cambio de comportamiento, un nuevo destinatario, un cambio de dispositivo. La autenticación responde quién autoriza; el monitoreo responde si la operación tiene sentido.

La trazabilidad es parte del control

No basta con que una operación haya sido aprobada, hay que poder reconstruir qué ocurrió. La norma exige registros auditables de transacciones y eventos de autenticación, incluyendo intentos fallidos, para armar la historia completa: qué pasó, cuándo, cómo y con qué resultado. Esto es clave para los equipos de fraude, seguridad, auditoría y compliance.

Qué revisar en el journey de transferencias

• Antes: ¿cómo se autentica al usuario, se enrolan dispositivos y se agregan destinatarios o pagos recurrentes?
• Durante: ¿qué factores se usan, son independientes, cómo se protege el código de autenticación?
• Después: ¿se monitorean patrones anómalos? ¿existe trazabilidad completa?
• Ante un incidente: ¿la entidad puede reconstruir el journey y distinguir una autenticación exitosa de una operación legítima?

Del control de acceso al control de la operación

Proteger una cuenta no es proteger solo el login: la protección debe acompañar al usuario en cada acción con consecuencias financieras, identidad → acceso → dispositivo → destinatario → autenticación → transferencia → monitoreo → trazabilidad. La operación dura segundos, pero el riesgo empieza antes. La pregunta no es solo quién hizo clic, también qué ocurrió antes de ese clic.