Luego de las nuevas normas de la Superintendencia de Banca, Seguros y Administradoras Privadas de Fondos de Pensiones (SBS) y sus aplazamientos, ahora las entidades financieras tienen plazo hasta el 1 de abril del 2026 para adecuar todas las tarjetas de crédito y débito al nuevo sistema de seguridad que exige el uso de una clave secreta (PIN) en las operaciones presenciales.
Esta medida —aplazada mediante la Resolución N.º 02220-2025, publicada el pasado 25 de junio— involucrará que los bancos reemplacen y renueven las tarjetas de crédito y débito, lo que ya pueden venir haciendo, dado que el plazo que tienen actualmente es una fecha máxima.
La nueva norma tiene como objetivo reforzar la validación de identidad del usuario y protegerlo ante eventuales fraudes. Por eso también, desde el pasado martes 1 de julio del 2025 las tarjetas que se vienen emitiendo deben cumplir con los nuevos requisitos.
¿Qué dice la nueva norma?
Ahora, con la nueva medida de la SBS, en el caso de operaciones presenciales (como en POS), se exigirá la combinación del chip o su versión digital y la clave secreta: en el caso de las nuevas tarjetas, estas ya deben estar habilitadas para este cambio, las antiguas deberán tenerlo al 1 de abril de 2026.
Asimismo, para compras en línea (operaciones no presenciales) será obligatorio un segundo factor como un código dinámico. Mientras, en billeteras móviles de terceros, se pedirá tokenización y otro factor adicional.
Como se sabe, las entidades ya vienen emitiendo tarjetas con estos estándares y reemplazando las anteriores de forma gradual. Sin embargo, la fecha límite para adecuarlas a todas es el 1 de abril del 2026. (Algunas otras medidas sí aplican desde el pasado martes 1 de julio).
¿Y las tarjetas antiguas?
A pesar de que se estén emitiendo tarjetas que siguen las nuevas normas de los dos factores de seguridad de la SBS, las tarjetas emitidas antes del 1 de julio del 2025 seguirán operativas. Sin embargo, esto solo hasta que sean reemplazadas o actualizadas por los mismos bancos y entidades financieras.
Asimismo, si alguna de estas tarjetas, ya sea de crédito o débito, no cuenta con el segundo factor de autenticación (como el PIN) y ocurre una operación no reconocida (es decir, si un tercero usa la tarjeta, en caso de robo, por ejemplo) la empresa emisora, el banco, asumirá la responsabilidad directa del monto perdido.
Nueva seguridad con “tokenización”
Además, a partir del 1 de abril del 2026 las entidades deberán contar con mecanismos criptográficos que permitan reemplazar los datos visibles de la tarjeta por identificadores únicos en operaciones realizadas en plataformas de terceros.
Como se sabe, con estas medidas, la SBS busca elevar los estándares de seguridad en línea con las mejores prácticas internacionales. Pero también los usuarios tendrán la responsabilidad de conocer e informarse sobre la activación y uso correcto de la clave secreta en sus nuevas tarjetas.
¿Tokenización? Aspec lo explica
Según explicó la Asociación Peruana de Consumidores y Usuarios (Aspec), a partir de la norma de la SBS, las empresas deben usar técnicas avanzadas para proteger los datos de las tarjetas. Entre las medidas contempladas por la SBS las empresas había una que significaba que “en lugar de guardar y mostrar el número completo de la tarjeta, deben crear un código único (llamado “token”) mediante tecnología criptográfica. Esto ayuda a que, en caso de robo o hackeo, los ladrones no puedan acceder a información importante y dañina”.
“Imagina que tú haces una compra en línea usando tu tarjeta de crédito. Antes, el comerciante o la empresa emisora podía guardar y mostrar tu número completo de tarjeta, lo que, en caso de que alguien hackeara su sistema, podría permitirle robar esa información y usarla de manera fraudulenta”, señala Aspec.
Sin embargo, con la nueva tecnología “en lugar de guardar tu número completo, la empresa crea un código especial y único llamado ‘token’ usando técnicas de criptografía. Este código actúa como una especie de alias o máscara de tu información real. Si los hackers logran acceder a esos datos, solo encontrarán el token, que no tiene sentido ni valor fuera del sistema, y no podrán usarlo para hacer compras o fraude”.