A partir del 1 de enero de 2021, los bancos emisores de tarjetas de pago en España deberán implementar sistemas de autenticación reforzada (SCA por sus siglas en inglés) tal como ha establecido la Directiva de Servicios de Pago (PSD2). Esta medida está destinada a brindar una mayor seguridad en los pagos online y se rige bajo el protocolo de autenticación 3D-Secure 2. 

Esto implica que todos los comercios que acepten pagos online con tarjeta deberán admitir el uso de  3DS2. ¿Qué tan preparadas están las empresas españolas para asumir este cambio?

 

La llegada del 3D Secure 2

El protocolo de autenticación 3D Secure 2 nació con la finalidad de reducir el fraude e incrementar la seguridad en los pagos online. Esta versión mejora el antiguo protocolo 3DS1, ya que en el momento de la transacción permite un mayor intercambio de información con el emisor de la tarjeta, acelerando de este modo la autenticación a la par que aumenta la seguridad. Este intercambio de información  incluye una base de análisis de riesgos inteligentes y dinámicos, que evaluará el riesgo de la transacción para que el comprador sólo verifique su identidad en aquellas transacciones que se consideren de mayor riesgo. 

De esta manera, si el emisor considera que el riesgo de la transacción es bajo, será una autenticación “frictionless” es decir, no se requerirá ninguna verificación adicional por parte del comprador.  

En caso de que el emisor determine  que el riesgo de la transacción es alto, será necesaria la verificación adicional. 

Por otro lado, la PSD2 introduce la necesidad de aplicar sistemas de autenticación reforzada de clientes (SCA) a los pagos en línea. Es decir, para que una transacción se complete con éxito, será necesario que el usuario se identifique mediante una combinación de dos de los siguientes factores de autenticación:     

• Conocimiento: algo que solo el usuario conozca (contraseña,  PIN, pregunta de seguridad, etc.)
• Posesión: algo que el usuario posee (como un móvil, un smartwatch)
• Inherencia: algo que el usuario es ( una huella digital, reconocimiento facial o de  vozs)

 

Con todo esto, la adaptación del protocolo 3DS2 supone prácticamente un requisito indispensable para cumplir con la normativa PSD2 y que afecta a toda una cadena en el ecosistema de pagos, como:

• Entidades emisoras de tarjetas
• Proveedores de servicios de pagos
• Proveedores de monederos digitales (ewallets)
• Proveedores de tecnología de pagos
• Cualquier empresa que permita pagos online

 

Efectos del 3DS2 en España

Según el Estudio Anual de eCommerce de IAB Spain, actualmente el 85% de pagos online en España se realiza es a través de tarjeta, debido a su alta tasa de efectividad en cuanto a experiencia de usuario. Los pagos no securizados, aquellos en los que el cliente no debe aportar información adicional más allá de los datos de la tarjeta, tienen una aceptación por encima del 90% y habilitan servicios como el “one click”, en donde no es necesario la autenticación del pago por parte del usuario.

Este gran porcentaje de aceptación hace de contrapeso a las problemáticas inherentes de las tarjetas: fraudes, devoluciones, coste, etc. Si bien estos problemas son significativos, la experiencia de usuario positiva de los pagos one-click tiene más peso en las cifras de negocio de los usuarios de este medio.

 

Sin embargo, este escenario está cambiando y hay motivos para la alarma.

 

Desde el 31 de diciembre de 2020, todas las entidades que gestionan pagos online necesitarán tener 3D Secure 2 para cumplir con la normativa PSD2 – SCA. Esto incluye cualquier tipo de método de pago, y por supuesto, las tarjetas. 

Un estudio de Amazon ha revelado cómo se está implantando en los diferentes países la normativa. Ante esto, Marc Nieto, Advisor of Payments & Fraud de Adigital, comenta: “Los datos en España son preocupantes desde el punto de vista de los comercios, porque la autenticación en las tarjetas de la 3DS 2.2 es bajo” 

Mientras que ese mismo estudio nos revela algo aún más preocupante, la tasa de abandono luego de que la página del banco haya cargado se eleva a un 88%.

Esta es solo una muestra del incierto panorama con el que nos encontramos en España.

En la actualidad, a escasos dos meses de la entrada en vigor de la norma, 70% de todos los intervinientes siguen en la fase inicial de pruebas, y de los cuales solo un 13% lo están haciendo con segundos factores de autenticación. Estas pruebas han revelado el peor de los escenarios.

A día de hoy, implementado el 3DS2, el abandono de los pagos (KOs) se sitúa alrededor del 60%, lo cual rompe completamente el equilibrio que existía entre experiencia de usuario positiva y las problemáticas asociadas a los pagos con tarjeta.

El Informe de Evaluación del Impacto Económico de la Autenticación Reforzada de Clientes (SCA), revela que en España el 59% de las transacciones podrían fracasar, un porcentaje que supondría unos 20.200 millones de euros de pérdidas en ventas. La tasa de fallos es la más alta entre los 12 países de la UE incluidos en el informe, y España representa casi una quinta parte de las ventas en riesgo.

Además, se menciona que solo el 7% de los bancos españoles que emiten tarjetas de pago están listos para implementar este nuevo sistema de autenticación, en comparación con el 65% de media en Europa.

Si consideramos que esta medida no abarca solo pagos a través de ecommerce, sino también otro tipo de pagos, como por suscripciones o pagos recurrentes. Estos últimos se verán también afectados ya que desaparecerá una de las principales ventajas que tenían las tarjetas. Los merchants podían automatizar los cobros recurrentes desde un inicio y así realizar estos cobros de forma periódica.

El panorama de cara al 1 de enero de 2021 es claramente preocupante, con métodos de pagos alternativos que aún no están preparados, la información sobre fraude y riesgos poco clara y cientos de empresas que aún están en fases iniciales de pruebas.

Alternativas a las tarjetas: iniciación de pagos

Pero no todo es completamente desalentador. La PSD2, además de los factores de autenticación, también ha permitido la creación de nuevos servicios de pagos como son la transferencia bancaria directa empleando la iniciación de pagos.

La iniciación de pagos es una de las actividades recogidas en la directiva PSD2, provista por empresas licenciadas como PISP (Proveedores de Servicios de Iniciación de Pagos). Es un método de pago alternativo a la tarjeta en el cual el usuario efectúa una transferencia bancaria directamente a la cuenta de la empresa en vez de usar su tarjeta de crédito.

Sabemos que hacer transferencias bancarias es un proceso engorroso, poco adaptado para pagar compras online, pero el atractivo de la iniciación de pagos es que automatiza todos los procesos manuales por lo que la operación no tiene ninguna complejidad para el cliente. 

 

Mientras que en España, los pagos mediante transferencia bancaria todavía tienen una presencia testimonial en el mercado (12%), en Países Bajos o Alemania son el método preferido, muy por encima de las tarjetas, con tasas de uso del 67% y 37% respectivamente.

Siguiendo la tendencia de los países del norte de Europa, es una cuestión de tiempo que los medios alternativos cobren protagonismo en detrimento de la tarjeta, entre ellos las transferencias bancarias directas. Este método ofrece ventajas significativas como menor coste, mayor velocidad, y menor vulnerabilidad al fraude por lo que si los proveedores son capaces de buscar fórmulas para aumentar su conveniencia, se acabará imponiendo sobre las tarjetas por sus propios méritos.