Banca y finanzas.
Conocer al cliente, prevenir el fraude y probar cada operación.
Pocos sectores firman tanto como la banca. Apertura de cuentas, préstamos, tarjetas, garantías, autorizaciones de débito, operaciones de empresas que requieren dos firmas, y cada día millones de transferencias que el cliente autoriza desde su teléfono. En ese universo conviven dos herramientas que a menudo se confunden: la autenticación multifactor y la firma electrónica. Distinguirlas es el primer paso para usar bien cada una.
Autenticarse no es firmar
La autenticación multifactor, a veces abreviada AMF o MFA, sirve para comprobar que quien entra a un servicio es quien dice ser. Combina al menos dos factores de categorías distintas:
- Algo que se sabe. Una contraseña, un PIN.
- Algo que se tiene. Un teléfono registrado, una tarjeta, una llave física.
- Algo que se es. Una huella, el rostro.
La firma, en cambio, vincula a una persona con un contenido determinado: este contrato, esta operación, este monto. La autenticación responde "¿quién está del otro lado?". La firma responde "¿qué aceptó exactamente esa persona?". Una sesión bien autenticada no prueba, por sí sola, qué se aprobó dentro de ella.
| Autenticación multifactor | Firma electrónica | |
|---|---|---|
| Pregunta | ¿Quién accede? | ¿Qué aceptó y cuándo? |
| Objeto | Una sesión o un acceso. | Un documento o una operación concreta. |
| Duración | Lo que dura la sesión. | Lo que deba conservarse la prueba. |
| Prueba | Registros del sistema. | Un objeto verificable por terceros. |
Donde se encuentran: firmar la operación
Entre las dos hay un punto intermedio muy usado en banca: la autenticación vinculada a la operación. El código o la confirmación que el cliente produce no sirve para cualquier cosa, sino sólo para esa transferencia, por ese monto y a ese destinatario. Si alguien cambia el destinatario, el código deja de valer. La normativa europea de servicios de pago llama a esto vinculación dinámica, como parte de la autenticación reforzada de clientes, y es un buen ejemplo de un principio general: cuanto más se acerca la autenticación al contenido, más se parece a una firma.
Las firmas típicas de un banco
| Operación | Qué conviene |
|---|---|
| Apertura de cuenta a distancia | Identidad comprobada con un nivel acorde a las reglas de conocimiento del cliente, y firma del contrato con su evidencia. |
| Préstamos y garantías | Firma de alto nivel, sello de tiempo y conservación de largo plazo. |
| Transferencias y pagos | Autenticación vinculada a la operación. |
| Operaciones de empresas | Firmas conjuntas según los poderes registrados, con verificación de facultades en cada caso. |
| Consentimientos | Aceptaciones separadas y registradas, cada una con su texto exacto. |
Identidad, fraude y regulación
Los bancos operan bajo obligaciones de conocer a su cliente y prevenir el lavado de activos. El Grupo de Acción Financiera Internacional, que fija los estándares globales en esa materia, publicó en 2020 una guía sobre identidad digital que acepta los medios digitales para identificar clientes, siempre que el nivel de confianza sea adecuado al riesgo. La idea es la misma que recorre esta serie: proporcionalidad y evidencia.
El fraude bancario más dañino de los últimos años no rompe la autenticación: engaña al cliente legítimo para que autorice él mismo una operación. Ahí la firma de la operación, con un texto claro que muestre a quién y cuánto se paga, y una pausa ante lo inusual, ayudan más que agregar factores.
- ¿Qué operaciones se autentican y cuáles se firman?
- ¿La confirmación de una operación está vinculada a su monto y destinatario?
- ¿Las firmas conjuntas se verifican contra poderes actualizados?
- ¿Los contratos firmados a distancia admiten validación a largo plazo?
La autenticación multifactor comprueba quién accede; la firma prueba qué se aceptó. En banca conviven ambas, y se acercan cuando la confirmación queda vinculada a la operación concreta. Cada operación merece la herramienta proporcional a su riesgo, y una evidencia que pueda mostrarse a un tercero.