¿Más dinero, más problemas? Pagos sin contacto: ¿significa menos

¿Más dinero, más problemas?
Pagos sin contacto: ¿significa menos contacto más problemas?
More money, more problems?
Contactless payments: does less contact mean more problems?
Jorge Capell
Commercial Dispute Resolution, 20 february 2014
Los llamados pagos contactless, ya sea con tecnología NFC o con cualquier otra similar,
permiten al consumidor realizar todo tipo de compras con el teléfono móvil o con tarjetas
contactless, sin llevar dinero físico encima. En los pagos por importe superior a 20 euros,
es necesario marcar el PIN, de forma similar a como se hace un pago ordinario con
tarjeta con chip. Pero para pagos inferiores a 20 euros basta con acercar el móvil o la
tarjeta a una distancia mínima de unos 10 cm. del lector y voilà, pago realizado. Esto
agiliza enormemente los pagos pequeños, evitando tener que usar monedas, y facilitando
que compras menores, como una revista, un bocadillo o incluso un café con leche en la
Plaza Mayor (http://www.youtube.com/watch?v=u0upZ1pw6zc) se puedan realizar en
décimas de segundo, sin esperar colas.
Este tipo de pagos están ya empezando a popularizarse en el Reino Unido y se estima
que 2014 sea el año de su explosión definitiva en el resto de países europeos , en los que
hasta ahora la tecnología contactless únicamente se ha extendido de forma amplia en su
uso para tarjetas de transporte público y de acceso a edificios.
Estamos, por tanto, ante un avance tecnológico muy interesante, que los comerciantes
agradecen al permitirles hacer más ventas en menos tiempo, y que hace también la
experiencia de compra más agradable para los clientes, al no tener que llevar dinero en
metálico o incluso poder hacerlo con el móvil, sin tener que llevar una cartera.
Pero sabiendo como sabemos que los amantes de lo ajeno están siempre dispuestos a
aprovechar en su beneficio cualquier novedad tecnológica, no podemos dejar de
preguntarnos si la operativa contactless nace suficientemente
segura o puede generar
problemas y litigiosidad a los usuarios y a las entidades financieras. En el año 2012
hubo, solo en España, más de 500.000 operaciones fraudulentas con tarjetas, lo que da
idea de que no estamos ante un problema menor.
Para transacciones superiores a 20 euros el usuario debe pulsar su código PIN, lo que se
entiende que dota ya de una mayor seguridad a esas operaciones. Está igualmente
previsto que algunas operaciones aleatoriamente requieran el PIN y que el sistema alerte
de operaciones anormales por su frecuencia o importe. También que cualquier usuario
que lo desee pueda solicitar que sus operaciones por importe inferior a 20 euros también
deban incluir el uso del PIN como medida de seguridad adicional. Sin embargo, dado que
con esto se elimina buena parte de la rapidez de la transacción, no es probable que la
1
mayoría de usuarios se decante por solicitar este plus de seguridad en las operaciones
pequeñas.
La Comisión Europea está trabajando para que los usuarios tengan más seguridad en sus
transacciones con tarjeta o móvil y va a aprobar una nueva directiva de servicios de
pago (DSP2) con la que se limitan a 50 euros las posibles pérdidas de los consumidores
en operaciones no autorizadas con sus tarjetas.
Pero a pesar de todas estas medidas no podemos dejar de preguntarnos si sería posible
un escenario en el cual una red de delincuentes pueda utilizar un lector contactless en
reuniones masivas de personas (eventos deportivos, espectáculos, hora punta en los
transportes). Simplemente con llevar el lector oculto en una mochila e irla acercando a
los bolsillos de los asistentes se podrían generar cientos de transacciones irregulares en
poco tiempo. Si el importe de esas transacciones es pequeño, el precio de un café, por
ejemplo, y los delincuentes son hábiles para que el nombre del comercio sea
suficientemente genérico, es perfectamente posible que la operación pase inadvertida en
los extractos mensuales de usuarios, que si cuentan con esta tecnología en sus bolsillos
probablemente hagan numerosas operaciones de pequeña cuantía cada mes y no reparen
en un cargo irregular de un simple café.
Incluso
si
el
usuario
detecta
que
no
ha
realizado
esa
concreta
operación
es
perfectamente posible que piense que por ese importe no le compensa hacer nada y lo
deje estar.
Sería únicamente si el importe fuera mayor o el número de transacciones irregulares se
repitiera cuando el usuario terminaría reparando en la operación y reclamando a su
entidad bancaria. Si el fraude está bien organizado, el lector estará vinculado a un
supuesto comercio en un país lejano, y el dinero de las transacciones estará en poco
tiempo dispersado e ilocalizable.
En esos casos nos encontraríamos además con reclamaciones en las cuales hay menos
elementos probatorios “tradicionales”. El cliente no habrá sufrido un robo violent o ni
habrá presentado una denuncia ante la policía. No habrá un recibo firmado por nadie.
Tendría la siempre difícil prueba de un hecho negativo: yo no he comprado ese café.
En la prehistoria de los fraudes con tarjetas los delincuentes sustraían las tarjetas y las
usaban en comercios imitando la firma del cliente. Solían ser compras de alto valor,
repetidas hasta que el cliente bloqueaba la tarjeta. En esos casos en ocasiones era el
comercio el que tenía que acabar asumiendo la culpa, al no haber comprobado bien las
firmas.
Posteriormente se fue extendiendo otro fraude más difícil de controlar, el de las tarjetas
clonadas. Los delincuentes se hacían con los datos de la cuenta asociada a una tarjeta y
los pasaban a otra en la que figuraban ellos como titulares, con lo que no era posible
detectar la estafa hasta que el titular de la cuenta apreciaba los cargos irregulares e
informaba al banco. Este tipo de situaciones se fueron extendiendo también con la
generalización de las compras por internet, en las que bastaba a los delincuentes con
2
disponer de los datos numéricos de la tarjeta, sin necesidad de haberla tenido
físicamente en su poder. En la mayoría de esos casos eran las entidades financieras las
que terminaban por tener que asumir la mayor parte de las pérdidas derivadas de las
transacciones fraudulentas, cuando se comprobaba que el cliente no tenía culpa de la
situación. Es principalmente para dar mayor seguridad frente a fraudes de este tipo para
lo que la Comisión Europea planea fijar un máximo de 50 euros a cargo del cliente.
Pero no hay duda de que la tecnología contactless va a abrir un territorio nuevo en toda
esta materia. Y no hay duda de que se van a producir operaciones fraudulentas, algunas
de importes muy bajos. Es por ello muy importante que, ahora que todavía estamos a
tiempo, tanto las entidades financieras como las compañías de telefonía y las grandes
operadoras de tarjetas, que son los tres principales grupos de actores en este gran
negocio en ciernes, expriman a sus departamentos de seguridad para que se adopten
todas las medidas oportunas para minimizar los fraudes. Una fórmula sencilla podría ser
que al realizarse una transacción se deba generar un mensaje al correo electrónico del
cliente informándole de la operación, de forma que pueda ver con rapidez si algún aviso
de compra no se corresponde con una operación que haya realizado conscientemente.
Otra podría ser reducir la distancia operativa, que el lector y el dispositivo no baste con
que estén cerca sino que deban tocarse físicamente. Con esta medida, u otras similares,
tal vez se perdería un poco el elemento contactless pero a cambio se reduciría el
elemento fearful, en beneficio de todos.
3