En esta noticia
Las billeteras virtuales dejaron de ser una herramienta reservada para los usuarios más tecnológicos y se convirtieron en una pieza habitual de las finanzas de los argentinos. Dado su nivel de adopción, la seguridad dejó de ser solamente una cuestión técnica. Para quien elige dónde guardar dinero o desde qué aplicación hacer una transferencia, también debería ser un criterio de consumo.
¿Pero qué tan protegidas están las billeteras que utilizan los argentinos? Mariano Juárez, COO (Chief Operating Officer o director de Operaciones) de la empresa de ciberseguridad SparkFound, considera que el ecosistema local tiene un nivel de seguridad razonable y que las principales plataformas ya incorporan buena parte de los mecanismos necesarios.
“En términos regulatorios, el ecosistema argentino tiene un nivel de cumplimiento razonable, especialmente entre las billeteras de mayor escala”, explica. Según el especialista, “actualmente es habitual encontrar autenticación reforzada o biométrica, notificaciones de movimientos, mecanismos de bloqueo, validación de identidad y canales para realizar reclamos”.
Sin embargo, Juárez marca una diferencia importante entre que una herramienta exista y que funcione bien en la práctica. “No existe un informe público que mida individualmente a todas las billeteras según estas seis prácticas”, advierte. Por eso, “no sería correcto asignar un porcentaje general de cumplimiento”.
La situación, según el COO de SparkFound, puede resumirse así: “Existe una base regulatoria sólida, pero una implementación desigual en aspectos como la facilidad para bloquear una cuenta, la claridad del canal de atención, los tiempos de respuesta y la aplicación del doble factor en todas las operaciones sensibles”.
Billeteras: los controles que hay que mirar
Uno de los mecanismos fundamentales es la autenticación de doble factor, que agrega una segunda instancia de verificación además de la contraseña. Puede consistir en un código, una validación biométrica u otro mecanismo asociado al dispositivo.
“El BCRA también incorporó requisitos como el doble factor de autenticación y medidas específicas para prevenir y gestionar el fraude”, señala Juárez. En otras palabras, una billetera que utiliza solamente usuario y contraseña para operaciones sensibles queda por debajo del nivel de protección que hoy se espera de estos servicios.
Las alertas de movimientos son otro elemento central. Una notificación inmediata ante una transferencia, una compra o la vinculación de una cuenta permite detectar rápidamente una operación que el usuario no reconoce.
También resulta importante que exista un mecanismo de bloqueo sencillo e inmediato. Si alguien sospecha que su cuenta fue comprometida o perdió el teléfono, no debería tener que atravesar un laberinto de menús o esperar horas para impedir nuevas operaciones.
El cuarto elemento es el reclamo. Una billetera segura no solo tiene que intentar evitar el fraude, sino también ofrecer una vía clara para denunciarlo y obtener una respuesta.
En este punto, Juárez advierte que todavía hay margen de mejora. “Existe un buen nivel de cumplimiento formal, principalmente entre los actores más grandes, pero todavía hay diferencias en la experiencia y en la efectividad real de esos controles”, sostiene.
Sergio Oroña, CEO de SparkFound, plantea la misma idea desde el lado de los usuarios: “El usuario no tiene por qué convertirse en experto en ciberseguridad para operar tranquilo. Lo que sí puede hacer es exigir que su billetera cumpla con lo que la normativa ya pide: doble factor, alertas, trazabilidad y un canal de reclamo real”.
¿Argentina está bien parada frente a otros países?
A nivel internacional, Juárez ubica a las billeteras virtuales utilizadas en la Argentina en un nivel “intermedio a avanzado” desde el punto de vista regulatorio y tecnológico.
“El país cuenta con requisitos de doble factor, monitoreo de operaciones, trazabilidad, registro de prestadores, gestión de fraude e interoperabilidad. Estos controles están alineados con principios aplicados internacionalmente”, explica.
El experto menciona como referencia a Europa, donde la normativa PSD2 exige autenticación reforzada para determinadas operaciones mediante al menos dos elementos independientes: algo que el usuario sabe, algo que posee o algo que es.
Pero existe una diferencia entre seguridad y ausencia de fraude. “No existe un ranking internacional oficial que permita afirmar que las billeteras argentinas son más o menos seguras que las de otros países”, aclara Juárez.
Y agrega un punto especialmente relevante: “Seguridad regulatoria no significa ausencia de fraude”. Según explica, incluso en Europa los mecanismos de autenticación reforzada redujeron determinados tipos de fraude, pero los delincuentes comenzaron a concentrarse en la ingeniería social y en la manipulación del propio usuario.
Por eso, su diagnóstico es que el ecosistema argentino resulta “competitivo y razonablemente maduro en sus controles básicos”, aunque todavía existe “margen para mejorar la transparencia sobre incidentes, los tiempos de respuesta y la protección frente a fraudes de ingeniería social”.
Las claves de las billeteras más seguras
Desde Sparkfound detallan las siguientes buenas prácticas de seguridad que el usuario debería poder exigirle a su billetera virtual:
- Autenticación multifactor (doble factor) en operaciones de alto riesgo. El BCRA actualizó sus normas de gestión de riesgos tecnológicos incorporando la autenticación con doble factor como requisito para billeteras digitales, junto con medidas específicas de mitigación de fraude y gestión de consentimiento del cliente. Una billetera que solo pide usuario y contraseña para transferir dinero está por debajo del estándar que exige el propio regulador.
- Alertas en tiempo real ante cada movimiento. Poder ver, al instante, cualquier transferencia, compra o vinculación de cuenta permite detectar un fraude en minutos y no cuando ya es tarde.
- Bloqueo inmediato desde la aplicación. Frente a una sospecha de fraude, el usuario debe poder visualizar y modificar sus parámetros de seguridad de manera sencilla e inmediata, tal como establece el propio BCRA en su normativa sobre esquemas de transferencias inmediatas.
- Un canal de reclamo claro, con responsabilidad definida. La normativa del BCRA establece que la atención al cliente por reclamos de fraude debe recaer en el proveedor de la cuenta afectada, y no derivar al usuario entre distintas entidades sin resolución.
- Habilitación y registro verificables. Toda billetera digital debe estar inscripta en el Registro de Billeteras Digitales Interoperables del BCRA; si además opera con criptoactivos, debe figurar en el Registro de Proveedores de Servicios de Activos Virtuales (PSAV) de la Comisión Nacional de Valores (CNV). Un usuario puede y debería verificar esta inscripción antes de operar.
- Verificación reforzada de identidad frente a intentos de suplantación. El phishing sigue siendo el vector de fraude más usado en el país: representó el 31% de los incidentes reportados al CERT.ar durante 2024, y WhatsApp fue el canal más utilizado para ejecutarlo, según relevamientos recientes sobre fraude digital en Argentina. Mecanismos de verificación de identidad más robustos (más allá del usuario y contraseña) reducen la efectividad de estos intentos de suplantación.
El usuario también es parte de la seguridad
El problema es que los sistemas más sofisticados pueden quedar neutralizados cuando el delincuente consigue convencer a la víctima de que haga algo que, en condiciones normales, nunca haría.
“La mayoría de los engaños actuales no busca vulnerar directamente la plataforma, sino convencer a la persona para que entregue una clave, un código de validación o autorice voluntariamente una operación”, explica Juárez.
El phishing es uno de los mecanismos más utilizados. Según los datos citados por SparkFound, representó el 31% de los incidentes reportados al CERT.ar durante 2024, mientras que WhatsApp aparece como uno de los canales más utilizados para estos engaños.
Frente a esto, el especialista recomienda activar siempre el doble factor y la biometría cuando estén disponibles y utilizar una contraseña diferente para cada billetera. También remarca una regla básica: no entregar códigos recibidos por SMS, WhatsApp, correo electrónico o notificaciones, aunque la persona que los solicite diga pertenecer a la entidad.
“Es más seguro abrir directamente la aplicación oficial” que ingresar desde un enlace recibido por mensaje, señala. También recomienda revisar cuidadosamente el nombre del destinatario y el monto antes de confirmar una transferencia.
A estas medidas se suman otras de sentido común: mantener actualizado el sistema operativo y la aplicación, evitar operar desde redes Wi-Fi públicas y activar todas las alertas de movimientos.
Si el teléfono se pierde o es robado, la reacción debe ser inmediata. “Bloquear la cuenta y comunicarse con la entidad ante la pérdida o el robo del teléfono” forma parte de las recomendaciones del especialista.
Por último, antes de depositar dinero, conviene verificar que la billetera esté inscripta en el registro oficial correspondiente. Las billeteras digitales interoperables deben figurar en el registro del BCRA y, si además ofrecen servicios vinculados con criptoactivos, corresponde comprobar su inscripción como Proveedor de Servicios de Activos Virtuales (PSAV) ante la Comisión Nacional de Valores (CNV).
El mensaje final de los especialistas es que la seguridad no depende de una sola contraseña ni de una única función de una aplicación. Se trata de una combinación entre controles tecnológicos, regulación y comportamiento del usuario.
“Las entidades bancarias y las billeteras virtuales deben saber que esto no se resuelve solo con tecnología: se resuelve con un equipo que logre trabajar en detectar antes los ataques, en la prevención 24/7 todos los días del año”, resume Oroña.
Y para el usuario, la regla es más simple: elegir una plataforma que ofrezca mecanismos sólidos de protección, activarlos y desconfiar de cualquier persona que intente conseguir las claves o códigos que permiten acceder al dinero.
