Seguridad en compras en línea: Cómo funciona el protocolo 3D Secure 2

Las compras por internet forman parte de la vida diaria. Pagamos suscripciones, compramos productos y contratamos servicios desde páginas web y aplicaciones.

Sin embargo, el crecimiento de los pagos digitales también ha aumentado los intentos de fraude, robo de datos y compras no autorizadas.

Para reducir estos riesgos existe 3D Secure, un protocolo que añade una verificación adicional a determinadas transacciones con tarjeta.

¿Qué es 3D Secure?

3D Secure, también conocido como 3DS, es un sistema de autenticación utilizado para comprobar que la persona que realiza una compra es realmente el titular autorizado de la tarjeta.

Cuando un pago activa esta protección, el banco puede solicitar una confirmación adicional mediante:

• Una aplicación bancaria.
• Un código temporal.
• Huella digital.
• Reconocimiento facial.
• Contraseña bancaria.
• Llave de acceso o passkey.

El objetivo es evitar que alguien utilice una tarjeta robada o datos filtrados sin autorización.

¿Por qué se llama 3D Secure?

El nombre hace referencia a los tres dominios que participan en el proceso:

1. Banco emisor: la entidad que emitió la tarjeta.
2. Comercio o adquirente: la tienda y la pasarela que procesan la compra.
3. Red de interoperabilidad: la infraestructura que conecta al banco con el comercio.

Estos sistemas intercambian información en pocos segundos para evaluar la operación.

Cómo funciona 3D Secure

El proceso suele ser el siguiente:

1. El cliente introduce los datos de su tarjeta.
2. El comercio envía la información a la pasarela de pago.
3. El banco analiza el riesgo de la operación.
4. Si considera que la compra es segura, puede continuar sin interrupciones.
5. Si necesita más seguridad, solicita una verificación.
6. El cliente confirma la operación.
7. El banco decide si autoriza o rechaza el pago.

La autenticación y la autorización no son exactamente lo mismo.

La autenticación intenta confirmar la identidad del usuario. La autorización comprueba si la tarjeta tiene saldo, límite disponible y permiso para realizar la compra.

Por eso, un pago puede ser rechazado incluso después de completar correctamente la verificación.

Flujos principales

Flujo sin fricción

En algunas compras no aparece ningún código ni ventana adicional.

Esto puede suceder cuando el banco considera que la operación presenta un riesgo bajo.

El sistema analiza factores como:

• Dispositivo utilizado.
• Importe.
• Comercio.
• Ubicación aproximada.
• Historial de pagos.
• Comportamiento habitual.
• Datos enviados por la tienda.

Si todo parece normal, la autenticación puede completarse automáticamente.

Flujo con verificación

Cuando el banco detecta un riesgo mayor, solicita una confirmación adicional.

Por ejemplo:

• Aprobar el pago desde la aplicación bancaria.
• Introducir un código de un solo uso.
• Confirmar con huella digital.
• Utilizar reconocimiento facial.
• Introducir una clave bancaria.
• Confirmar mediante una passkey.

Este paso busca evitar que una persona con datos robados pueda completar la compra.

Métodos de verificación más utilizados

Aplicación bancaria

El usuario recibe una notificación con información sobre la compra.

Antes de aprobarla, debe revisar:

• Nombre del comercio.
• Importe.
• Moneda.
• Fecha.
• Datos básicos de la operación.

Nunca apruebes una solicitud que no hayas iniciado.

Código de un solo uso

El banco puede enviar un código temporal por SMS o por otro canal.

Este código debe mantenerse en privado.

Un banco legítimo no debería pedirte que lo compartas por teléfono, chat, correo o redes sociales.

Biometría

Algunas aplicaciones permiten confirmar la compra mediante huella digital o reconocimiento facial.

Este método suele ser más cómodo y evita escribir códigos manualmente.

Passkeys

Las passkeys permiten confirmar la identidad utilizando una credencial segura guardada en el dispositivo.

Normalmente se desbloquean mediante:

• Huella.
• Rostro.
• PIN.
• Contraseña del dispositivo.

Tienen mayor resistencia frente al phishing porque no se introducen manualmente en páginas falsas.

Ventajas de 3D Secure

Reduce compras no autorizadas

Añade una comprobación adicional antes de aprobar determinadas operaciones.

Mejora la detección de riesgo

El banco recibe más información sobre la compra y puede comparar la operación con el comportamiento habitual del cliente.

Protege a los comercios

Puede reducir disputas y contracargos relacionados con fraude, aunque la protección depende del tipo de transacción y de las reglas de la red de pagos.

Mejora la experiencia

Las versiones modernas permiten que muchas compras legítimas se completen sin pasos adicionales.

Solo se solicita una verificación cuando resulta necesaria.

¿Se puede evitar 3D Secure?

El usuario normalmente no decide cuándo se activa.

La aplicación depende de factores como:

• Banco.
• Comercio.
• País.
• Regulaciones.
• Tipo de tarjeta.
• Importe.
• Nivel de riesgo.
• Tipo de pago.
• Historial de la cuenta.

Algunas operaciones no muestran una verificación visible porque fueron aprobadas mediante el flujo sin fricción.

También existen casos especiales, como pagos recurrentes, comercios de confianza o determinadas transacciones de bajo riesgo.

Esto no significa que exista un método legítimo para evitar la seguridad.

Intentar manipular una pasarela, falsificar respuestas o saltarse verificaciones puede considerarse fraude.

Riesgos que todavía existen

3D Secure mejora la protección, pero no elimina todos los peligros.

Phishing

Los delincuentes pueden crear páginas falsas que imitan al banco o al comercio.

Estas páginas intentan obtener:

• Datos de tarjeta.
• Contraseñas.
• Códigos OTP.
• Acceso a la aplicación bancaria.
• Información personal.

Comprueba siempre el dominio antes de introducir información.

Robo de la línea móvil

En un ataque de intercambio de SIM, un delincuente intenta tomar control del número telefónico de la víctima.

De esta forma podría recibir códigos enviados por SMS.

Para reducir el riesgo:

• Configura un PIN con tu operador.
• Protege tu correo electrónico.
• Prefiere la aplicación bancaria.
• Utiliza biometría o passkeys cuando sea posible.
• Contacta a tu operador si pierdes señal sin explicación.

Malware

Un dispositivo infectado puede capturar información antes de que comience la autenticación.

Mantén actualizado:

• Sistema operativo.
• Navegador.
• Aplicaciones.
• Extensiones.
• Herramientas de seguridad.

Fatiga de notificaciones

Un atacante puede generar varias solicitudes esperando que el usuario apruebe una por error.

Nunca aceptes una operación que no reconozcas.

Ataques automatizados contra comercios

Algunos delincuentes utilizan bots para probar datos de tarjetas en tiendas con controles débiles.

Los comercios deben combinar 3D Secure con:

• Límites de intentos.
• Detección de bots.
• Validación en servidor.
• Reglas antifraude.
• Tokenización.
• Monitoreo.
• Bloqueo de patrones sospechosos.

3D Secure no debe ser la única medida de seguridad.

Cómo protegerte al pagar por internet

Antes de realizar una compra:

• Comprueba que estés en la página oficial.
• Revisa el nombre del dominio.
• Evita enlaces sospechosos.
• Confirma el importe y la moneda.
• Usa una contraseña única.
• Activa las alertas bancarias.
• Mantén el dispositivo actualizado.
• No compartas códigos.
• Revisa cada solicitud antes de aprobar.
• Comprueba tus movimientos regularmente.

HTTPS cifra la conexión, pero no garantiza que una página sea legítima. Un sitio fraudulento también puede tener certificado.

Qué hacer si recibes una solicitud desconocida

Si recibes una notificación de pago que no reconoces:

1. No la apruebes.
2. Cierra la página o la notificación.
3. Bloquea temporalmente la tarjeta.
4. Contacta al banco mediante su canal oficial.
5. Cambia las contraseñas relacionadas.
6. Revisa los dispositivos conectados.
7. Comprueba los movimientos.
8. Reporta cualquier cargo desconocido.

No utilices números telefónicos incluidos en mensajes sospechosos. Busca siempre el contacto oficial del banco.

¿3D Secure es suficiente?

No por sí solo.

La seguridad completa depende de varias capas:

• Autenticación.
• Cifrado.
• Tokenización.
• Análisis antifraude.
• Protección del dispositivo.
• Alertas.
• Seguridad del comercio.
• Controles del banco.
• Educación del usuario.

3D Secure reduce muchos riesgos, pero no puede proteger a una persona que entrega voluntariamente su código o aprueba una operación desconocida.

Conclusión

3D Secure es una de las principales tecnologías utilizadas para proteger pagos con tarjeta en internet.

En 2026, puede funcionar mediante aplicaciones bancarias, códigos temporales, biometría, análisis de riesgo y passkeys.

Su objetivo es confirmar que la persona que realiza la compra está autorizada para utilizar la tarjeta.

Para mantenerte protegido:

• Nunca compartas códigos.
• Revisa cada notificación.
• Utiliza aplicaciones oficiales.
• Activa alertas bancarias.
• Mantén tus dispositivos actualizados.
• Contacta al banco ante cualquier actividad sospechosa.

3D Secure añade una capa importante de protección, pero la atención del usuario sigue siendo fundamental para evitar fraudes.