Desde octubre del 2008, los bancos y tiendas en línea han comenzado a adoptar el sistema 3DSecure para los pagos en línea.

¿Que significa 3DSecure?

3DSecure es llamado "Verified by Visa" en Visa, y "SecureCode" en Mastercard.

Este sistema evita los fraudes de tipo CNP (Card No Present), es decir los pagos fraudulentos con tarjeta de crédito sin presencia real de la tarjeta (por ejemplo, número de tarjetas robadas).

El objetivo es:

• disminuir las estafas a las tiendas en línea
• dar seguridad a los clientes en sus pagos

Por qué le criptograma visual no es suficiente

Por lo general un pago en línea con tarjeta de crédito/debito necesita:

• El numero de la tarjeta de crédito/debito
• La fecha de caducidad
• El criptograma visual

El criptograma visual, son los 3 números que aparecen en la parte posterior de la tarjeta que normalmente se nos pide ingresar cuando hacemos una compra por Internet.

Como lo puede suponer, esta información puede ser obtenida fácilmente en la tarjeta y ser utilizada luego para hacer un pago en línea sin contar con la tarjeta y de este modo cometer un fraude.

Con 3DSecure, se nos solicitará información suplementaria para validar el pago. Si alguien obtiene la información contenida en nuestra tarjeta de crédito/debito o incluso si nos la roba, no podrá efectuar ninguna compra en las tiendas en línea que utilizan 3DSecure, ya que éste no conocerá la información suplementaria que le será solicitado.

Pagos en 3DSecure

Para que un pago sea en modo 3DSecure, es necesario que nuestra tarjeta sea 3DSecure y que la tienda en línea soporte 3DSecure.

• Casi la totalidad de tarjetas de crédito/debito recientemente fabricadas son 3DSecure.
• Para las antiguas tarjeta, dependiendo de los bancos, el paso a 3DSecure será automático, o se nos hará firmar una cláusula adicional al contrato. En cualquier caso, esto no requiere ningún cambio de tarjeta ni modificación de la tarjeta existente.
• El paso a 3DSecure no debería costarnos nada.

Con una tarjeta 3DSecure, podremos continuar comprando en modo no 3DSecure en las tiendas en línea que no soporten 3DSecure, sin embargo estas compras no serán protegidas por 3DSecure.

Si su tarjeta no es 3DSecure, podrá continuar comprando en algunas tiendas 3DSecure que continúen aceptando los pagos con tarjetas que no son 3DSecure (estas son libres de aceptar o no los pagos con tarjetas no 3DSecure)

Cómo se realizan lo pagos en 3DSecure

En la práctica, continuaremos realizando nuestras compras en Internet como de costumbre. Ingresaremos nuestro numero de tarjeta, fecha de caducidad y el criptograma, pero después de haber ingresado esta información, seremos redirigidos hacia el sitio Web de nuestro banco que nos solicitará una información suplementaria.

Una vez ingresada esta información, regresaremos a la tienda en línea que nos confirmará el pago.

Lo que hace el servidor del banco es confirmar a la tienda en línea que somos los propietarios de la tarjeta.

En qué consiste la autenticación

Al realizar un pago 3DSecure, cuando seamos redirigidos al sitio Web de nuestro banco, éste nos solicitará información que se supone únicamente nosotros sabemos, para probar que somos el propietario de la tarjeta.

Cada banco es libre de elegir el medio de autenticación.

Este puede ser:

• una clásica contraseña (que puede cambiar)
• una tarjeta de coordenadas que nuestro banco ha debido entregarnos (se nos solicitará ingresar el número correspondiente a una columna y fila).
• un sistema de dispositivo electrónico (se nos pedirá ingresar un código que cambia)
• nuestra fecha de nacimiento
• u otros

Es lamentable que algunos bancos se contenten con solicitar la fecha de nacimiento, ya que esta información es fácil de encontrar. Si su banco es uno de estos, le sugiero que le demande adoptar un sistema de autenticación más riguroso.

La cuestión legal

Cuando realizamos una compra por Internet normal (sin 3DSecure), en ningún momento nuestra identidad es comprobada (código PIN o firma). Esto quiere decir que podemos rechazar el pago para que nuestro banco nos reembolse.
La responsabilidad es la del banco de la tienda en línea, ante el cual nuestro banco reclamará la suma de dinero.

En una compra en modo 3DSecure, si la autenticación se lleva a cabo, hay una transferencia de responsabilidad a nuestro banco. (Puesto que éste ha confirmado que efectivamente era uno que estaba realizando el pago, el banco ya no puede negarse y debe transferir el dinero al banco de la tienda en línea)

Y claro está que nuestro banco transferirá esta responsabilidad hacia uno: ya no podremos presentar un reclamo por un pago 3DSecure y solicitar el reembolso.
Es por esto que es importante que nuestro banco adopte un método de autenticación riguroso

Si la autenticación falla y el banco de la tienda en línea reclama el cobro del monto, nuestro banco puede negarse a hacerlo. Si a pesar de todo acepta, podemos protestar por ese cobro y hacernos reembolsar (ya que no se ha probado que ha sido uno quien realizo el pago).

3DSecure: ¿es bueno o malo?

En la teoría, es muy bueno:

• Reduce las estafas a las tiendas en línea
• Reduce las estafas a los usuarios
• La adopción masiva de 3DSecure por parte de las tiendas en línea hará que el fraude en línea sea cada vez más difícil.
• Las tiendas en línea que utilicen 3DSecure ya no tendrán que recurrir a empresas intermediarias para realizar esta operación
• En ningún momento la tienda en línea puede obtener información suplementaria del usuario. El usuario ingresa esta información únicamente en el sitio Web del banco.

En la práctica, los sistemas que utilizan una autenticación baja ponen al usuario en una mala posición en caso de fraude.

El artículo original fue escrito por sebsauvage, contribuidor de CommentCaMarche