La organización valoró avances del proyecto MK4 en simplificación de trámites y seguridad de la cadena de pagos, pero advirtió que reemplazar el estándar de dolo o culpa grave por culpa leve y presumir negligencia ante operaciones con autenticación reforzada, sin otras consideraciones, traslada hacia los usuarios riesgos que no están en su esfera de control.
La Organización de Consumidores y Usuarios de Chile, ODECU, manifestó su preocupación por algunos de los cambios a la Ley N° 20.009 incluidos en el proyecto de Reforma al Mercado de Capitales y Financiamiento de la Casa Propia, conocido como MK4, ingresado al Congreso el 9 de septiembre bajo el Boletín N° 18.643-05. La iniciativa se encuentra actualmente en su primer trámite constitucional. Hacienda
Entre sus modificaciones, el proyecto propone reemplazar en distintas disposiciones el actual estándar de dolo o culpa grave del usuario por uno de culpa leve. Además, incorpora un nuevo artículo 4 ter que presume culpa leve cuando una operación desconocida haya sido realizada mediante autenticación reforzada.
Para ODECU, perseguir el autofraude es necesario, pero ello no debiera traducirse en una reducción general de la protección para millones de personas que utilizan sistemas digitales cuyo diseño, seguridad y funcionamiento no controlan. “Quien deliberadamente intenta aprovecharse del sistema debe responder. Pero la existencia de fraude no puede convertirse en una razón para disminuir la protección de las víctimas reales”, señaló Stefan Larenas Riobó, presidente de ODECU.
Autenticar no significa consentir
Uno de los principales reparos de ODECU se relaciona con la presunción asociada a la autenticación reforzada. “Autenticar una operación no significa necesariamente consentirla. Una persona puede entregar una clave o confirmar una transacción después de haber sido engañada mediante phishing, vishing, suplantación o ingeniería social. El uso de un segundo factor no demuestra, por sí solo, que haya querido realizar esa operación”, explicó Larenas.
La organización advierte que estos fraudes tampoco pueden analizarse únicamente desde la conducta final del usuario. Los delincuentes pueden disponer previamente de información como nombre, teléfono, banco, productos contratados u otros datos obtenidos mediante filtraciones o brechas de ciberseguridad, incluso del mismo proveedor, lo que permite construir engaños mucho más convincentes.
“Si quien contacta a la víctima conoce antecedentes que razonablemente deberían estar protegidos, no basta con concluir que el cliente fue negligente porque entregó una clave. También corresponde preguntarse de dónde salió esa información y qué medidas adoptaron las instituciones para protegerla y prevenir fraudes”, agregó el presidente de ODECU.
Más exigencias de prueba para las instituciones
Para ODECU el proyecto también debiera aumentar la calidad de la evidencia exigida a los emisores. No debería bastar con demostrar que se utilizó una contraseña o un segundo factor. La institución debiera poder explicar cómo operó la autenticación, si existieron alertas, si la transacción se apartaba del comportamiento habitual del cliente y qué mecanismos de prevención fueron activados. “La seguridad digital es parte del servicio financiero. No puede descansar exclusivamente en cuánto cuidado tuvo una persona frente a técnicas de engaño cada vez más sofisticadas”, afirmó Larenas.
Aspectos que ODECU valora
La organización también reconoce avances dentro de la propuesta, como la estandarización de la declaración jurada, la posibilidad de realizar electrónicamente la denuncia y la extensión de obligaciones de seguridad a otros participantes de la cadena de pagos.
ODECU considera positivo que procesadores, subadquirentes, marcas de tarjetas y otros actores puedan asumir responsabilidad cuando hayan contribuido al fraude o a la imposibilidad de prevenirlo. El proyecto contempla expresamente el derecho del emisor a repetir contra otros participantes que hayan contribuido al fraude por acción u omisión.
“La persona afectada necesita una vía clara y sencilla. No corresponde exigirle que descubra si la falla ocurrió en el banco, en un procesador, en una fintech o en otro participante. Esa discusión debe resolverse entre quienes forman parte profesionalmente del sistema”, sostuvo Larenas.
Finalmente, ODECU llamó a que la discusión legislativa mantenga un equilibrio entre la persecución efectiva del autofraude, la responsabilidad de los proveedores y la protección de quienes son víctimas de fraudes financieros, evitando que los cambios terminen trasladando hacia los consumidores riesgos que corresponden al funcionamiento y seguridad del sistema de pagos.
