Què canvia amb la PSD3 i el reglament PSR: frau de suplantació, reemborsaments i transparència

L'evolució del marc regulador de pagaments a la Unió Europea comença una nova etapa amb el paquet normatiu que substitueix la PSD2. A diferència de la reforma de 2015, Brussel·les ha optat aquesta vegada per dividir la legislació en dues peces complementàries: la Directiva de Serveis de Pagament (PSD3) i el Reglament de Serveis de Pagament (PSR, per les seves sigles en anglès). Aquesta distinció formal és rellevant: mentre que la directiva exigeix transposició nacional per regular l'autorització i supervisió d'entitats de pagament, el reglament s'aplica de manera uniforme i directa a tots els estats membres, eliminant divergències d'interpretació local en matèria operativa i de protecció del consumidor.

Aquest canvi respon a la necessitat d'actualitzar les defenses de l'ecosistema financer davant de tipologies de frau que la PSD2 no va resoldre del tot, clarificar les responsabilitats entre proveïdors i comerços, i augmentar la transparència en els costos de processament.

La lluita contra el frau de suplantació i l'enginyeria social

Sota el marc de la PSD2, l'autenticació reforçada va reduir dràsticament el frau derivat de la pèrdua o robatori de credencials en operacions amb targeta. No obstant això, els atacants van desplaçar les seves tàctiques cap a la manipulació psicològica de l'usuari. En el frau de suplantació (spoofing), l'estafador es fa passar per un empleat de l'entitat bancària o una autoritat pública i convenç la víctima perquè autoritzi voluntàriament una transferència o validi un càrrec.

Com que en aquests incidents hi ha un consentiment exprés i se supera l'autenticació en dos factors, la normativa prèvia solia atribuir la pèrdua al pagador sota el criteri de negligència greu. El reglament PSR redefineix aquest equilibri de responsabilitat:

• Responsabilitat del proveïdor de serveis de pagament: Si un usuari és víctima d'un engany en què l'atacant suplanta la identitat formal de l'entitat (mitjançant la manipulació d'identificadors telefònics o correus oficials), el banc o entitat emissora està obligat a reemborsar l'import íntegre al client, llevat que demostri un frau intencionat del mateix usuari.
• Verificació obligatòria de beneficiari: S'estén a les transferències de crèdit habituals el mecanisme de comprovació prèvia entre el codi IBAN i el nom del titular del compte de destinació. Si l'entitat no avisa d'una discrepància entre ambdues dades i l'operació resulta fraudulenta, el proveïdor assumeix les pèrdues econòmiques.
• Col·laboració contra el frau: Els operadors de telecomunicacions i les plataformes digitals assumeixen més obligacions de cooperació per mitigar la suplantació de números i dominis.

Per comprendre millor com interactuen aquestes defenses tècniques amb les transaccions en línia habituals, convé revisar el funcionament de l'autenticació reforçada (SCA) i 3D Secure.

Novetats en autenticació reforçada i comerç electrònic

El reglament PSR no pretén incrementar la fricció tècnica per a l'usuari legítim en el checkout, sinó perfeccionar les excepcions existents per afavorir la conversió en vendes digitals. Entre els ajustos previstos destaquen:

• Exempcions més precises: Es defineixen amb més claredat els casos en què l'anàlisi de riscos de l'entitat adquirent o emissora permet ometre el segon factor sense assumir riscos desproporcionats de frau.
• Operacions iniciades pel beneficiari (MIT): S'aclareix el tractament normatiu dels càrrecs recurrents o variables no presencials, evitant bloquejos indeguts de subscripcions després del primer cobrament autenticat.
• Accessibilitat i inclusió: L'autenticació ja no pot dependre exclusivament d'aplicacions per a telèfons intel·ligents. Els emissors han d'oferir mètodes alternatius verificables (com contrasenyes d'un sol ús rebudes per canals segurs o dispositius físics) per evitar l'exclusió d'usuaris que no disposen de biometria o dispositius compatibles.

Transparència de costos i bloqueig de fons

Un altre dels eixos del reglament se centra en les pràctiques de cobrament opaques que afecten tant els consumidors com les empreses que gestionen pagaments transfronterers o autoritzacions diferides.

D'una banda, les operacions amb canvi de divisa exigiran un desglossament transparent del marge aplicat sobre el tipus de canvi oficial de referència del Banc Central Europeu abans de confirmar el pagament. D'altra banda, en transaccions on no es coneix l'import final en el moment de la retenció inicial —com benzineres, lloguers de vehicles o reserves d'hotel—, es limitarà la quantitat i la durada dels bloquejos de saldo. Les entitats emissores hauran d'alliberar els fons retinguts que superin l'import final cobrat de manera immediata tan bon punt rebin la confirmació del comerç.

Conclusió i preparació tècnica

L'avanç de la PSD3 i el reglament PSR consolida un ecosistema on la seguretat ja no es transfereix de forma asimètrica al comprador. Per a les plataformes de cobrament i els negocis digitals, aquest marc exigeix disposar de passarel·les amb arquitectures actualitzades, preparades per gestionar alertes de risc avançades, conciliar discrepàncies d'identitat en transferències immediates i processar mandats recurrents sense fricció innecessària.

Seguir de prop l'evolució de la normativa de pagaments i adaptar les integracions tècniques permet als comerços minimitzar reclamacions, reduir contracàrrecs i assegurar una experiència de compra alineada amb els estàndards comunitaris.