Para quién es: para cualquiera que compre por internet con tarjeta y quiera reducir lo que puede perder si sus datos acaban en malas manos. Qué consigues: entender las tres capas que ya tienes a tu alcance (la autenticación que exige la ley, una tarjeta distinta para comprar online y el pago con el móvil) y qué dice la normativa española si, aun así, te cuelan un cargo.
El resumen cabe en una frase del Banco de España: para usar tu tarjeta de forma fraudulenta «no se necesita tener la tarjeta físicamente, basta con su numeración, su fecha de caducidad y su CCV», según su Portal del Cliente Bancario. Todo lo que sigue consiste en que esos tres datos sirvan de poco: que el banco pida algo más, que lo expuesto no sea tu tarjeta principal y que, cuando sea posible, el comercio ni siquiera los vea.
Paso 1: entiende la autenticación reforzada (y no la desactives)
La autenticación reforzada es la confirmación extra que te pide el banco al pagar online. La ley española, en el artículo 68 del Real Decreto-ley 19/2018 de servicios de pago, obliga a aplicarla cuando inicias un pago electrónico, y en su artículo 3 la define como el uso de al menos dos de tres elementos independientes: algo que sabes (un PIN), algo que tienes (el móvil) y algo que eres (tu huella o tu cara).
En pagos remotos hay un requisito adicional que es el que de verdad te protege: el código tiene que estar ligado al importe y al beneficiario. El Reglamento Delegado (UE) 2018/389, aplicable desde el 14 de septiembre de 2019, exige que se te informe de cuánto pagas y a quién, y que cualquier cambio en esos datos invalide el código.
El protocolo técnico que hace posible esta confirmación en las compras con tarjeta es EMV 3-D Secure. Según EMVCo, el organismo que mantiene el estándar, sirve para que comercio y banco intercambien datos de la operación, del medio de pago y del dispositivo para autenticar al cliente y frenar el fraude en compras sin tarjeta presente.
¿Por qué a veces no te piden nada? Porque el mismo reglamento permite excepciones. En compras online, el banco puede no pedir autenticación si la operación no pasa de 30 euros y no se acumulan más de 100 euros o cinco operaciones desde la última vez que te la pidió. En pagos sin contacto en tienda, los límites son 50 euros por operación y 150 euros o cinco pagos acumulados.
Paso 2: si no te la pidieron y hubo fraude, la ley juega a tu favor
Esto es lo que más gente desconoce. El artículo 46 del mismo Real Decreto-ley dice que, si tu banco no exigió autenticación reforzada, solo cargas con las consecuencias de un pago no autorizado si actuaste de forma fraudulenta.
En el resto de casos, la regla general es que como mucho soportas 50 euros de las operaciones no autorizadas hechas antes de avisar al banco, salvo fraude o negligencia grave por tu parte. Y quedas exento por completo cuando la operación se hizo a distancia usando solo los datos impresos en la tarjeta, siempre que no hubiera negligencia grave y avisaras sin demora.
La consecuencia práctica es clara: ante un cargo que no reconoces, avisa al banco de inmediato y bloquea la tarjeta. El Banco de España recuerda que, desde que lo comunicas, el banco responde de cualquier operación posterior que no hayas hecho tú.
Paso 3: compra online con una tarjeta que no sea la principal
La segunda capa no es tecnológica, es de sentido común financiero. En una de sus recomendaciones contra el fraude por internet, el Banco de España propone mantener la cuenta del día a día con un saldo ajustado, no permitir descubiertos, revisar los límites de tus tarjetas y plantearte una tarjeta de prepago para el comercio electrónico, porque así limitas el importe de un posible fraude.
Las tarjetas virtuales llevan esa idea un paso más allá. Se crean desde la app o la web del banco y usan una numeración distinta de la de tu tarjeta física. Una entidad española, según explica Finantres en un repaso de su producto, las ofrece en dos modalidades: de un solo uso, para una compra concreta, y de uso frecuente con límite mensual, pensada para suscripciones. Si se filtra su número, el daño queda acotado a ese límite.
El CVV dinámico ataca el tercer dato de la lista del Banco de España. En lugar de un código fijo impreso en el plástico, el código de seguridad cambia cada cierto tiempo, en algunos casos cada pocos minutos, y solo se ve en la app del banco tras identificarte. Un número de tarjeta robado con un CVV caducado sirve de bastante menos.
No todos los bancos ofrecen estas opciones ni con las mismas condiciones, así que revisa la app de tu entidad.
Paso 4: paga con el móvil cuando puedas
La tercera capa es la tokenización: sustituir el número real de la tarjeta por otro que solo vale para un dispositivo. EMVCo la define como el reemplazo de los datos valiosos de la tarjeta por tokens de pago.
Apple lo explica con detalle en su página de seguridad y privacidad de Apple Pay: al añadir una tarjeta, el banco genera un número de cuenta de dispositivo que se guarda en un chip aislado del sistema, el Secure Element, y en cada compra se envía junto a un código de seguridad dinámico exclusivo de esa transacción. Ni Apple ni el dispositivo envían el número de tu tarjeta al comercio. Google dice lo mismo de su cartera: en la web de Google Wallet indica que, al pagar con un Android, Google Pay no comparte el número real de la tarjeta con el comercio.
Si quieres profundizar, aquí se explica cómo funcionan Apple Pay, Google Pay y Samsung Pay y por qué son seguros.
Paso 5: lo que ninguna capa arregla
Todo lo anterior protege tus datos, pero no te protege de ti mismo. Si alguien te convence de aprobar en la app del banco una operación que no es tuya, la autenticación reforzada habrá funcionado exactamente como se diseñó: la habrás autorizado tú. Por eso el código ligado al importe y al beneficiario es tan importante. Lee siempre la cantidad y el comercio antes de confirmar.
El Banco de España lo resume en un consejo: tu banco nunca se dirigirá a ti para pedirte tus claves. Y entra en la web del banco tecleando la dirección o, mejor, desde su app. Las credenciales resistentes al engaño, como las passkeys, las claves de acceso que van a jubilar tus contraseñas, y algo de prudencia con los riesgos reales de la wifi pública completan el cuadro.
Mi lectura es que la autenticación reforzada ha cambiado el tipo de fraude más que su volumen: ya no basta con robar datos, hay que engañar a la persona para que confirme. Por eso creo que la combinación más sensata para casi todo el mundo es sencilla: móvil para pagar cuando la tienda lo admita, tarjeta virtual o de prepago para el resto, y la costumbre de leer cada notificación del banco antes de pulsar «aceptar».