¿Qué es una Contraseña de Un Solo Uso (OTP) en la Autenticación de Pagos?

Una contraseña de un solo uso, o OTP, es un código corto y temporal utilizado dentro de un único paso de autenticación, como durante la verificación de pagos. Normalmente, recibir una OTP demuestra que el usuario tiene acceso al método registrado para la autenticación, como su teléfono o correo electrónico.

Un OTP por sí solo no verifica la titularidad de la cuenta, pero conecta el proceso a un dispositivo o servicio actual. Estos códigos permanecen disponibles por una breve duración o hasta que se utilizan para la autenticación, después de lo cual el sistema los reconoce como no válidos. El corto periodo de validez reduce la posibilidad de que un código se introduzca más de una vez. Mientras los códigos son válidos, pueden ser utilizados dentro de este periodo si alguien más los intercepta. Como resultado, la seguridad del OTP depende de cómo se integre en el proceso de autenticación general.

Una contraseña estática sigue siendo válida para inicios de sesión repetidos hasta que decides actualizarla o restablecerla. En comparación, una OTP está destinada a un solo uso, generalmente volviéndose inactiva una vez introducida o cuando su breve período de validez ha finalizado. Cuando las OTP de sesiones anteriores ya han sido introducidas o han caducado, el sistema simplemente las reconoce como inactivas.

El uso de OTP como método principal aborda escenarios específicos, pero es importante señalar que no están diseñados para manejar todas las situaciones, como cuando se introduce un código a través de diferentes sitios o plataformas mientras aún está dentro de su ventana de tiempo. Un atacante que obtiene un código válido mientras aún está activo puede intentar usarlo inmediatamente.

La generación de OTP y la entrega de OTP son conceptos separados. HOTP y TOTP definen cómo se generan los códigos, mientras que SMS, correo electrónico y voz describen los canales a través de los cuales se puede entregar un código.

Las aplicaciones de autenticación pueden generar códigos TOTP en el propio dispositivo, haciendo que el código esté disponible localmente en lugar de depender de un mensaje separado o comunicación de red para cada uso. También existe la autenticación push, que permite a los usuarios aprobar el acceso a través de una solicitud en lugar de introducir un código.

En un EMV 3-D Secure (3DS) flujo, el sistema a veces puede solicitar una confirmación adicional a la persona que realiza la compra. El Servidor de Control de Acceso (ACS) del emisor podría revisar la transacción y decidir si se necesitan pasos adicionales para verificar la identidad del usuario.

Una opción es una OTP, que se envía normalmente al titular de la tarjeta a través de un canal registrado como un mensaje de texto o correo electrónico. El individuo introduce este código temporal en un cuadro de verificación que aparece durante el pago. Otros enfoques, como recibir una solicitud en una aplicación bancaria, también pueden utilizarse para esta parte del proceso.

Una vez que la autenticación requerida se marca como exitosa, la transacción continúa con la siguiente etapa del procesamiento de pagos.

A primera vista, OTP, MFA y SCA se refieren a diferentes características del proceso de autenticación. A continuación, un resumen rápido:

• OTP: un código de un solo uso que ayuda a verificar la identidad durante una interacción específica. Su clasificación puede depender de la tecnología involucrada y de cómo el código llega al usuario.
• MFA: autenticación multifactor, lo que significa que el proceso utiliza más de un tipo de verificación, como algo que sabes, algo que tienes o alguien que eres.
• SCA: Autenticación Reforzada de Clientes. Esto es un requisito bajo las normas de pago europeas, que generalmente exige dos (o más) elementos de verificación separados, normalmente elegidos entre factores de conocimiento, posesión e inherencia.

Cuando se aplica por sí sola, una OTP generalmente proporciona una capa de autenticación y normalmente se combinaría con otros factores para alinearse con los requisitos de MFA o SCA. Sin embargo, una OTP puede actuar como un elemento en una configuración multifactor y, en algunos casos, la forma en que accedes a tu OTP podría necesitar un segundo paso de verificación.
Para los pagos electrónicos remotos sujetos a SCA, a menudo existen requisitos adicionales, como vincular el código de autenticación a detalles como el importe del pago y quién recibe el pago.

Al evaluar las opciones de OTP para autenticación de pagos, las empresas suelen revisar una combinación de áreas prácticas. La seguridad suele recibir atención, junto con la facilidad con la que los códigos llegan a los usuarios, si la solución se adapta a los sistemas actuales y cómo se siente para las personas que realmente la utilizan.
Cada método de entrega necesita algo diferente: los SMS y la voz dependen de las telecomunicaciones, mientras que los códigos basados en aplicaciones funcionan en dispositivos registrados sin el operador telefónico, pero requieren una configuración única.
Algunas cosas que las empresas podrían hacer son:

• Monitorear las tasas de éxito de los pasos de autenticación, separando los datos por ubicación y canal.
• Mantener registros de la frecuencia con la que los códigos caducan, cuántos intentos de reintento realizan los usuarios y cómo progresan los diversos intentos de autenticación.
• Planifica y documenta qué alternativas están disponibles en caso de que la opción principal no funcione para alguien.
• Evalúa factores como el posible phishing y cómo funciona cada enfoque durante las situaciones de recuperación de cuenta.
• Verifica cómo cada forma de manejar la autenticación se alinea con los requisitos de 3DS, MFA o SCA cuando estos aplican.

Para obtener una perspectiva útil, los equipos a menudo consideran la experiencia de autenticación completa, no solo la entrega del código OTP como una parte individual, sino como un eslabón en el proceso de pago general del usuario.