La importancia de los protocolos de seguridad 3D Secure para proteger pagos online

¿Qué son los protocolos 3D Secure y por qué son importantes?

Los protocolos de seguridad 3D Secure (3DS) son sistemas de autenticación para pagos online desarrollados por las principales redes de pago internacionales (Verified by Visa, Mastercard Identity Check, American Express SafeKey, entre otros) para fortalecer el nivel de seguridad de las transacciones online realizadas con tarjeta.

A nivel técnico, los protocolos 3DS toman su nombre debido al sistema subyacente, que se basa en 3 dominios relacionados con cada una de las partes involucradas:

• Dominio del adquirente (Acquirer Domain): la entidad que recibe el pago.
• Dominio del emisor (Issuer Domain): el banco emisor de la tarjeta con que se realiza el pago.
• Dominio de interoperabilidad (Interoperabilty Domain): el sistema en que se basan los sistemas 3DS.

las que interactúan de forma sinérgica actuando un verdadero proceso de autenticación de dos factores (2FA) del comprador antes la finalización del pago. El objetivo es naturalmente de seguridad, y, en particular, minimizar el riesgo del uso fraudulento de la tarjeta como ocurre en los fraudes de tarjeta no presente (CNP) o de robo de identidad e información financiera.

PSD2: la normativa que hace obligatorios los protocolos 3D Secure

A lo largo de los años, no hubo evoluciones relevantes en los protocolos 3DS hasta 2018, cuando la nueva Directiva de Servicios de Pago (PSD2) introdujo la Autenticación Reforzada de Clientes (SCA).  la que requiso modificaciones importantes en la estructura de los sistemas de autenticación 3D Secure con el objetivo de aumentar la seguridad de los pagos online.

¿Cómo funcionan los protocolos de seguridad 3DS?

Los primeros protocolos 3DS tenían muchas limitaciones, incluso el hecho de que utilizaban una ventana emergente con URL diferente, lo que conllevaba el riesgo de ataques de phishing por parte de quienes quisieran cometer un fraude online simulando dicha página de autenticación. Además, almacenar una contraseña diferente para cada tarjeta complicaba la experiencia del usuario que poseía varias tarjetas de crédito o débito. A esto se sumaba el hecho de que no era obligatorio aplicar 3DS como medida de seguridad, lo que aumentaba los riesgos para el consumidor.

Esta situación ha cambiado con la llegada de los protocolos 3DS2, que obligan a aplicar la autenticación reforzada del cliente a partir del 31 de diciembre de 2020, fecha de vencimiento de la prórroga concedida por la Autoridad Bancaria Europea (EBA). La nueva versión del protocolo de seguridad, si se gestiona correctamente, garantiza una mayor tasa de aprobación y una reducción de los abandonos del carrito de la compra, lo que se traduce en una experiencia sin fricciones para el comprador. Su adopción incluso ofrece la ventaja de trasladar la responsabilidad de la transacción del comerciante al emisor (liability shift) para todas las transacciones tramitadas a través del protocolo, de modo que es la empresa que emite la tarjeta (emisor) la que responde de cualquier fraude.

En última instancia, 3DS2 asegura el cumplimiento de los estándares SCA, reduciendo el número de fraudes y mejorando la experiencia del consumidor en webs y apps.

Con los nuevos protocolos 3DS2, el nombre de usuario y la contraseña ya no son suficientes alcanzar un alto nivel de seguridad del pago, por lo que se requiere autenticarse involucrando al menos dos de los siguientes factores:

Un elemento conocido solo por el consumidor (FACTOR DE CONOCIMIENTO)

• PIN
• Contraseña
• Preguntas de seguridad

Un objeto propiedad del consumidor (FACTOR DE POSESIÓN)

• Tarjeta
• Teléfono
• Token
• Dispositivo portátil

Un elemento que caracteriza al consumidor (FACTOR DE INHERENCIA)

• Huella dactilar
• Reconocimiento facial
• Reconocimiento de voz o escaneo del iris

Un elemento llamativo es la adopción de la biometría como método de identificación, una tecnología ya utilizada ampliamente en la mayoría de los smartphones y que ha mejorado la seguridad tanto del acceso al dispositivo como la de muchas acciones disponibles, como las compras en los app stores.

Al solicitar un elemento conocido únicamente por el titular de la tarjeta, la autenticación 3D Secure reduce de forma drástica el riesgo de uso fraudulento de las tarjetas por parte de terceros, y la obligación de introducir estos protocolos – impuesta por la UE – ha contribuido a hacer evidente su eficacia frente a los intentos de estafas.

Activación de los sistemas 3D Secure para el comerciante

La activación de los servicios 3D Secure de las redes de tarjetas es responsabilidad de los emisores, que habilitan las tarjetas de los adquirentes para esta funcionalidad. En cambio, el contacto de referencia del comerciante es la entidad adquirente, que, antes de la llegada de la PSD2, podía conceder al comerciante la desactivación de los protocolos, ya que en algunos casos afectan las tasas de conversión.

De hecho, el comerciante siempre ha tenido la opción de solicitar a la entidad adquirente que desactivara los protocolos, aceptando los pagos de sus clientes aun sin introducción del código de autenticación. Esto repercutía negativamente en la seguridad del pago, pero ofrecía una mayor probabilidad de que tuviese éxito, considerando que el cliente tenía un paso menos que dar. Los protocolos 3DS2, en cambio, han trasladado al emisor la decisión de aplicar o no la autenticación de dos o más factores para cada transacción, por lo que la entidad adquirente y el comerciante se convierten en sujetos “pasivos” en la aplicación del 3D Secure.

De todas formas, los protocolos 3DS2 aportan beneficios evidentes. Al exigir la introducción de datos adicionales en las solicitudes de pago, el emisor puede realizar un análisis más preciso del riesgo de fraude, reduciendo la probabilidad de que se solicite la autenticación de más factores.

Aunque existan excepciones y exenciones a la aplicación de la SCA, la gestión de los protocolos 3DS2 se convierte en algo esencial para el comerciante que vería rechazadas las solicitudes de pago al no cumplir con la normativa.

Verificación 3D: Beneficios y Desafíos para Comerciantes

Los protocolos 3DS2 brindan al comerciante la oportunidad de incluir campos opcionales en la solicitud de pago, para proporcionar un conjunto de datos adicional al emisor que contribuya a reducir la probabilidad de aplicación de la SCA a las transacciones. Esto puede suponer la revisión del recorrido del cliente en la web, la incorporación de campos útiles para la recopilación de datos y, por tanto, un aumento de la complejidad de la integración.

Un elemento clave para sacar el máximo partido de la PSD2 es conseguir que el mayor número posible de transacciones se beneficien de las excepciones y exenciones previstas, sin renunciar a altos niveles de seguridad. Guaranteed payments y Advice son dos de las soluciones de Fabrick que aprovechan precisamente estas oportunidades para garantizar un excelente servicio de prevención del fraude, reduciendo la fricción en la fase de pago y garantizando el reembolso de cualquier fraude no identificado.