La nueva normativa amplía el uso del doble factor de autenticación, suma controles para detectar operaciones sospechosas y obliga a las instituciones a avisar a sus clientes ante intentos de modificar determinados datos
Desde este 1° de octubre entraron a regir nuevas medidas del Banco Central del Uruguay (BCU) para reforzar la seguridad de las operaciones realizadas a través de medios electrónicos.
Esto alcanza a bancos y cooperativas de intermediación financiera, administradoras de crédito y entidades otorgantes de crédito, empresas de servicios financieros y casas de cambio, empresas de transferencia de fondos y plataformas de préstamos entre personas.
Uno de los principales cambios está relacionado con el doble factor de autenticación, una medida que busca agregar una segunda instancia de verificación de identidad del cliente.
Hasta ahora, esta exigencia estaba vigente para las transferencias o pagos a terceros realizados desde una cuenta bancaria y para las solicitudes de préstamos realizadas de forma no presencial. Con la nueva normativa, se extiende a otras operaciones, según explicó la Cámara Uruguay Fintech.
A partir de octubre, las instituciones deberán aplicar autenticación reforzada, como mínimo, para:
La normativa establece que esta autenticación debe utilizar al menos dos factores diferentes. También admite como factor de posesión los dispositivos habituales que utilice el cliente, siempre que cumplan con los requisitos establecidos. Además, las passkeys podrán utilizarse como mecanismo de autenticación reforzada si cumplen con las condiciones previstas.
Cuándo podrá no utilizarse el doble factor
La circular contempla algunas situaciones en las que las instituciones podrán optar por no aplicar el doble factor de autenticación.
Los casos son:
La nueva normativa también establece obligaciones relacionadas con los sistemas de monitoreo y control que utilizan las instituciones.
Estos sistemas deberán contemplar elementos que permitan identificar transacciones inusuales o que se aparten del comportamiento habitual del cliente, verificar la geolocalización desde donde se realizan las operaciones, alertar sobre el uso de dispositivos desconocidos y detectar patrones sospechosos en las transacciones rechazadas.
Además, las instituciones deberán evaluar periódicamente la eficacia de sus sistemas de monitoreo y tomar medidas correctivas cuando detecten que no están funcionando de acuerdo con los objetivos establecidos.
Otro de los cambios previstos por el BCU es la obligación de notificar al usuario por medios electrónicos cada vez que se intente modificar determinados datos.
Esto incluye claves y número de identificación personal, dirección, teléfono, correo electrónico de contacto, medios y parámetros para recibir comunicaciones y notificaciones, así como otros parámetros operativos o de seguridad.
Las nuevas disposiciones comenzaron a regir este 1° de octubre de 2026 según la circular oficial.
