Transferencias 3.0: QR interoperable y riesgo de adulteración

En Transferencias 3.0, el programa del Banco Central de la República Argentina (BCRA), cualquier billetera digital o app bancaria puede leer cualquier QR de pago, y el comercio cobra por transferencia inmediata e irrevocable. Esa interoperabilidad es la fortaleza del sistema y también su punto de atención en el checkout: si el QR que muestra la página del comercio está adulterado, cualquier billetera le paga al estafador, y el dinero no vuelve por el propio sistema.

Cómo funciona el QR interoperable

El programa fue aprobado por la Comunicación “A” 7153 del BCRA y empezó a regir el 7 de diciembre de 2020. Luego, la Comunicación “A” 7175 reemplazó a la norma original y ordenó la implementación en fases, con fecha límite el 29 de noviembre de 2021. En 2022, la Comunicación “A” 7463 sumó medidas para mitigar, prevenir y gestionar el fraude en las transferencias.

El corazón del programa es el pago con transferencia (PCT). Según el BCRA:

• Cualquier billetera lee cualquier QR. La marca del código no importa; quien paga usa la billetera o el banco que prefiera, con cuenta bancaria (CBU) o de proveedor de servicios de pago (CVU).
• La acreditación es inmediata. Las transferencias inmediatas se acreditan en un máximo de 15 segundos, todos los días, las 24 horas.
• El pago es irrevocable. Una vez que el comercio cobra, no hay reversión por el sistema.
• El costo es bajo. El comprador no paga comisión; el comercio paga entre 6 y 8 por mil, más IVA.

Una decisión del BCRA de agosto de 2021 también exigió a las entidades financieras ofrecer a sus clientes comerciales un QR que identifique la cuenta de destino, para que quien paga no tenga que cargar a mano el CBU, el CVU o el alias. Las reglas operativas contemplan QR estáticos (con monto abierto o cerrado) y dinámicos, generados para cada cobro.

La adopción creció rápido. En febrero de 2023, el BCRA informó que uno de cada cuatro pagos con transferencia ya se iniciaba con la lectura de un QR, con un promedio de 253.056 operaciones diarias en la primera quincena de enero de ese año, frente a 46.828 en el mismo período de 2022.

Por qué la interoperabilidad cambia el riesgo

En los sistemas cerrados, un QR falso solo sirve con la misma billetera. En Transferencias 3.0, las reglas exigen lo contrario: el comercio debe abrir sus códigos a la lectura de todo el ecosistema, y las billeteras no pueden negarse a leerlos. Es excelente para consumidores y comercios, y también significa que un QR adulterado lo acepta cualquier app.

A eso se suman la irrevocabilidad y la acreditación en segundos. Cuando quien paga advierte que algo salió mal, el dinero ya está en la cuenta de destino. La devolución, cuando existe, depende de quien recibió el dinero, y en una estafa ese es el delincuente.

Dónde ocurre la adulteración en el checkout

En una tienda online, el QR de Transferencias 3.0 aparece en una página que carga la plataforma, la plantilla, los plugins y scripts de terceros. Si alguno de esos componentes se ve comprometido, puede:

• cambiar el QR dinámico por otro, generado para una cuenta puente, por el mismo monto;
• reemplazar el alias o el CVU que se muestran como alternativa al QR por un identificador parecido;
• modificar el monto que se muestra en un cobro.

El cliente escanea, paga y ve la confirmación en su propia billetera. El comercio no cobra. Para el cliente, el responsable es quien le mostró el código: el comercio.

Conviene aclarar qué queda fuera del alcance de la página: los QR impresos en el mostrador y los mensajes falsos enviados por fuera de la tienda son otro tipo de fraude, con otras defensas.

Lista de control para el comercio

1. Prefiera el QR dinámico con monto cerrado para cada pedido, en lugar de un QR estático de monto abierto para todos.
2. Muestre el nombre del titular de la cuenta que el cliente verá en su billetera y pídale que lo verifique antes de confirmar.
3. Libere los pedidos solo con la acreditación confirmada en su cuenta, nunca con comprobantes o capturas de pantalla enviados por el cliente.
4. Reduzca los scripts de terceros en la página de pago y mantenga actualizados la plataforma, la plantilla y los plugins.
5. Monitoree la página en producción, con atención a reclamos del tipo “pagué y el pedido no aparece”.
6. Verifique, en el navegador del cliente, que el QR, el alias o CVU y el monto mostrados sean los que usted emitió, y bloquee cualquier diferencia antes de la lectura.

Cómo protege Proteside el QR interoperable

Proteside funciona en su página de pago y verifica, en el navegador del comprador, que el QR, el alias o CVU y el monto mostrados sean exactamente los que emitió su comercio, y bloquea cualquier cambio antes del escaneo o de la confirmación. Conozca la protección para pagos con Transferencias 3.0 y pruébela gratis durante 14 días.