Qué cambia con PSD3 y el reglamento PSR: fraude de suplantación, reembolsos y transparencia

La evolución del marco regulatorio de pagos en la Unión Europea afronta una nueva etapa con el paquete normativo que sustituye a PSD2. A diferencia de la reforma de 2015, Bruselas ha optado en esta ocasión por dividir la legislación en dos piezas complementarias: la Directiva de Servicios de Pago (PSD3) y el Reglamento de Servicios de Pago (PSR, por sus siglas en inglés). La distinción formal no es un detalle menor; mientras que la directiva exige transposición nacional para regular la autorización y supervisión de entidades de pago, el reglamento se aplica de forma uniforme y directa en todos los estados miembros, cerrando brechas de interpretación local en materia de operativa y protección del consumidor.

Este cambio responde a la necesidad de actualizar las defensas del ecosistema financiero ante patrones de fraude que PSD2 no resolvió plenamente, clarificar las responsabilidades entre proveedores y comercio, y elevar la transparencia en costes de procesamiento.

La batalla contra el fraude de suplantación y la ingeniería social

Bajo el marco de PSD2, la autenticación reforzada mitigó de forma drástica el fraude por pérdida o robo de credenciales en operaciones con tarjeta. Sin embargo, los atacantes desplazaron sus tácticas hacia la manipulación psicológica del usuario. En el fraude de suplantación (spoofing), el estafador se hace pasar por un empleado de la entidad bancaria o una autoridad pública y convence a la víctima para que autorice voluntariamente una transferencia o valide un cargo.

Dado que en estos incidentes existe un consentimiento expreso y se supera la autenticación en dos factores, la normativa previa solía atribuir la pérdida al pagador bajo el criterio de negligencia grave. El reglamento PSR redefine este equilibrio de responsabilidad:

• Responsabilidad del proveedor de servicios de pago: Si un usuario es víctima de un engaño en el que el atacante suplanta la identidad formal de la entidad (mediante manipulación de identificadores telefónicos o correos oficiales), el banco o entidad emisora está obligado a reembolsar el importe íntegro al cliente, salvo que demuestre fraude intencionado del propio usuario.
• Verificación obligatoria de beneficiario: Se extiende a las transferencias de crédito habituales el mecanismo de cotejo previo entre el código IBAN y el nombre del titular de la cuenta de destino. Si la entidad no avisa de una discrepancia entre ambos datos y la operación resulta fraudulenta, el proveedor asume las pérdidas económicas.
• Colaboración contra el delito: Los operadores de telecomunicaciones y plataformas digitales adquieren mayores obligaciones de cooperación para mitigar la suplantación de números y dominios.

Para profundizar en cómo interactúan estas defensas técnicas con las transacciones online cotidianas, conviene revisar el funcionamiento de la autenticación reforzada (SCA) y 3D Secure.

Novedades en autenticación reforzada y comercio electrónico

El reglamento PSR no busca incrementar la fricción técnica para el usuario legítimo en el checkout, sino perfeccionar las excepciones existentes para optimizar la conversión en ventas digitales. Entre los ajustes previstos destacan:

• Exenciones más precisas: Se definen con mayor nitidez los supuestos en los que el análisis de riesgos de la entidad adquiriente o emisora permite omitir el segundo factor sin asumir riesgos desproporcionados de fraude.
• Operaciones iniciadas por el beneficiario (MIT): Se aclara el tratamiento normativo de los cargos recurrentes o variables no presenciales, reduciendo los bloqueos indebidos de suscripciones tras el cobro inicial autenticado.
• Accesibilidad e inclusión: La autenticación ya no puede depender exclusivamente de aplicaciones móviles para teléfonos inteligentes. Los emisores deben habilitar métodos alternativos verificables (como contraseñas de un solo uso recibidas por canales seguros o mecanismos físicos) para evitar la exclusión de usuarios que no disponen de biometría o dispositivos compatibles.

Transparencia de costes y bloqueo de fondos

Otro de los pilares del reglamento se centra en las prácticas de cobro opacas que perjudican tanto al consumidor como a las empresas que operan con cobros transfronterizos o autorizaciones diferidas.

Por un lado, las operaciones que conllevan cambio de divisa exigirán un desglose transparente del margen aplicado sobre el tipo de cambio oficial de referencia del Banco Central Europeo antes de confirmar el pago. Por otro lado, en transacciones donde no se conoce el importe final en el momento de la retención inicial —como gasolineras, alquileres de vehículos o reservas hoteleras—, se limitará la cantidad y la duración de los bloqueos de saldo. Las entidades emisoras deberán liberar los fondos retenidos que excedan el importe final cobrado de forma inmediata en cuanto reciban la confirmación del comercio.

Conclusión y preparación técnica

El avance de PSD3 y el reglamento PSR consolida un ecosistema donde la seguridad ya no se delega de forma asimétrica en el comprador. Para las plataformas de cobro y los negocios digitales, este marco exige mantener pasarelas con arquitecturas actualizadas, capaces de gestionar alertas de riesgo avanzadas, conciliar discrepancias de identidad en transferencias instantáneas y procesar mandatos recurrentes sin fricción indebida.

Revisar periódicamente el estado de la normativa de pagos y adaptar las integraciones técnicas permite a los comercios minimizar disputas, reducir contracargos y garantizar una experiencia de compra conforme a los estándares comunitarios.