CNBV flexibiliza autenticación con SMS en México

La Comisión Nacional Bancaria y de Valores puso en vigor el 2 de septiembre de 2026 una modificación regulatoria que permite usar códigos enviados por SMS como factor de autenticación de categoría 3 para determinados servicios financieros digitales operados por comisionistas de base tecnológica. La resolución, publicada en el Diario Oficial de la Federación el 1 de septiembre, también habilita el uso de correo electrónico y mensajería instantánea cifrada para el envío de códigos de seguridad.

¿Qué cambió en la autenticación bancaria?

La nueva redacción de la CNBV flexibiliza el envío de códigos de seguridad para operaciones realizadas por comisionistas de base tecnológica y admite SMS, correo electrónico y mensajería instantánea cifrada como canales válidos. El ajuste se aplica a un esquema de autenticación de categoría 3 y entró en vigor al día siguiente de su publicación oficial.

El cambio fue leído por una pieza de inteligencia de ciberseguridad como una apuesta por una tecnología con riesgos conocidos de vulnerabilidad. Ese análisis sostiene que, si se usa SMS como factor de autenticación, las instituciones deben compensar con controles adicionales en monitoreo de fraude, protección del canal móvil y gestión de identidad.

¿Qué obliga a hacer a bancos y comisionistas?

Las nuevas reglas obligan a que el cliente pueda cambiar su factor de autenticación de categoría 2 y también el medio de contacto para recibir el factor de categoría 3, incluido el SMS, mediante una opción explícita en la página o aplicación del comisionista. Ese flujo debe redirigir hacia la infraestructura tecnológica del banco.

La disposición apunta a que el usuario tenga control sobre esos ajustes desde la interfaz del comisionista, pero sin mover la lógica de autenticación fuera del entorno tecnológico del banco. En los hechos, la CNBV mantiene el esquema bajo supervisión bancaria, aunque abre la puerta a canales que ya habían sido cuestionados por su exposición a ataques sobre el canal móvil.

¿Cómo se cruza esto con otras reglas de supervisión?

La flexibilización de autenticación llega al mismo tiempo que la CNBV y Banxico empujan otras reglas para pagos, interoperabilidad y prevención de lavado, con exigencias que elevan la carga de compliance para bancos y fintech. En paralelo, consultoras de KYC recuerdan que las instituciones financieras deben identificar y verificar la identidad de los clientes antes y durante toda la relación comercial.

Ese marco regulatorio también incluye propuestas conjuntas sobre redes de medios de disposición, con reglas para agregadores de pagos, participantes de pagos con tarjeta e instituciones de fondos de pago electrónico. Entre las obligaciones mencionadas están liquidar a comercios el mismo día, mantener cuentas segregadas para fondos de comercios y evitar retenciones condicionadas a la contratación de otros servicios.

¿Qué señales deja el frente sancionatorio?

La CNBV viene mostrando una postura activa en materia sancionatoria. El 9 de septiembre de 2026 se informó que impuso 26 multas a Banco Base y Banco Mifel por incumplimientos en prevención de lavado de dinero, con sanciones que en conjunto superan los 18 millones de pesos.

Además, Hacienda aclaró el mismo día que no existen pruebas contundentes de actividades ilícitas por parte de Vector Casa de Bolsa, CIBanco e Intercam, y que las multas históricas por más de 185 millones de pesos impuestas por la CNBV entre el 25 y el 30 de junio de 2026 derivan de incumplimientos administrativos y no de vínculos probados con lavado de dinero. A eso se suma que la Suprema Corte confirmó el 11 de septiembre la validez de una multa de alrededor de 2 millones de pesos contra Financiera Independencia, ratificando una sanción regulatoria de 2024.