CNBV habilita SMS para autenticar operaciones bancarias

La CNBV reformó los artículos 319 Bis 2, 319 Bis 3 y 319 Bis 5 de las disposiciones aplicables a instituciones de crédito en materia de operaciones por medios electrónicos, y fijó en un transitorio único que las nuevas reglas sobre envío de factores de autenticación y uso de SMS entren en vigor el 2 de septiembre de 2026. El cambio alcanza a la banca en México y ordena un ajuste en los esquemas de verificación de operaciones digitales.

¿Qué cambia con la reforma de la CNBV?

La resolución habilita el envío de códigos de seguridad por SMS para autenticar determinadas operaciones bancarias, según la propia CNBV y la cobertura de Expansión, mientras mantiene la exigencia de esquemas reforzados para operaciones de mayor riesgo. Revista Flow añadió que el objetivo es facilitar el uso de banca digital sin relajar los controles donde el riesgo es más alto.

Ese giro regulatorio también fue resumido por Zero Trust Consulting como una ampliación del canal de autenticación bancaria, con impacto en la experiencia de usuario y en los modelos de riesgo de entidades que operan con aplicaciones móviles y agentes no presenciales. La publicación de la CNBV en el Diario Oficial de la Federación fija además el momento exacto de aplicación: 2 de septiembre de 2026.

¿Qué otras obligaciones pesan sobre las entidades financieras?

Las instituciones no solo deben adaptar sus factores de autenticación, también enfrentan requerimientos continuos de identificación y verificación de clientes bajo la LFPIORPI, según Truora, que describe un estándar de KYC que se extiende antes, durante y no solo al inicio de la relación con el cliente.

En paralelo, empresas tecnológicas enfocadas en el sector financiero sostienen que cumplir con los marcos regulatorios de la CNBV en ciberseguridad y protección de datos exige evidencia inmutable de protección de la información y continuidad operacional, en línea con controles técnicos como ISO 27001, de acuerdo con E-dea. El caso de Scram2k sobre un grupo financiero mexicano ilustra ese nivel de presión regulatoria: tras una auditoría de la CNBV que detectó 47 vulnerabilidades críticas sin remediar, la entidad implementó un SOC 24/7, sumó una plataforma de gestión de vulnerabilidades basada en Fortinet y logró remediarlas en 90 días, además de automatizar reportes regulatorios.

¿Cómo reaccionó el sistema financiero ante el riesgo de fraude?

Banco de México publicó el 5 de septiembre de 2026 que nunca solicita información personal ni financiera por llamadas, mensajes, correos o redes sociales, y reiteró medidas de prevención ante intentos de fraude que usan su imagen. Expansión reportó luego que Banamex también recordó que no pedirá instalar aplicaciones mediante enlaces enviados por SMS o correos electrónicos sospechosos.

Ese conjunto de advertencias convive con la reforma de autenticación y con una agenda más amplia de digitalización financiera. Ámbito señaló que la CURP Digital se perfila como mecanismo de confianza para acreditar identidad de forma remota y que la CNBV, junto con Hacienda y Banco de México, tendría funciones específicas en la regulación y operación de pagos y servicios financieros dentro de ese esquema. Pagoralia, además, indicó que las cuentas N2 Bis podrán recibir abonos mensuales de hasta 15,000 UDIS, con un máximo de 3,000 UDIS en efectivo, lo que empuja el resto de los fondos hacia canales digitales supervisados por la CNBV.