Capítulo 2 de 4 · 12 min de lectura
Banca: login y transacciones
Separar autenticación de autorización y migrar gradualmente del SMS a la app.
La banca enfrenta la combinación más exigente: regulación, alto valor por cuenta y una base de clientes que va desde nativos digitales hasta adultos mayores con teléfono básico. El caso compone el recorrido de entidades medianas de la región, con cifras redondeadas para que el patrón sea legible sin identificar a nadie.
El punto de partida era un solo mecanismo para dos propósitos distintos: un OTP por SMS tanto para entrar a la banca en línea como para aprobar una transferencia a un tercero nuevo. Funcionalmente servía, pero mezclaba dos niveles de riesgo muy distintos bajo el mismo control, y eso terminó siendo el problema central del rediseño.
Dos momentos distintos
Autenticar (entrar a la cuenta) y autorizar (mover dinero) se trataban igual: un OTP por SMS en ambos. El rediseño los separó. El login usa el dispositivo enrolado y biometría local cuando existe; la transferencia a terceros exige una aprobación dentro de la app ligada a ese dispositivo, con el SMS como respaldo para quien no tiene app.
Esa separación obligó a modelar explícitamente qué significa «dispositivo enrolado»: un identificador estable ligado a una instalación de la app, renovado cada vez que el usuario vuelve a autenticarse con un factor fuerte. Perder ese dispositivo —celular robado o formateado— dispara un flujo de re-enrolamiento con más fricción, no menos.
Migración gradual
- Fase 1: ofrecer el enrolamiento de la app tras un login exitoso.
- Fase 2: la app pasa a ser el canal por defecto; SMS sigue disponible.
- Fase 3: para montos altos, SMS solo con señales de riesgo bajas (sin SIM swap reciente).
Resultados medidos
A los seis meses de la fase 2, la proporción de transferencias aprobadas por app superaba el 60%, y los reclamos por «no autoricé esta transferencia» bajaron de forma sostenida porque la aprobación en la app muestra el monto, el destinatario y el banco receptor antes de confirmar, algo que un SMS de seis dígitos no puede transmitir.
Separar login de autorización
El siguiente playground muestra, de forma simplificada, el patrón: el login no emite OTP si hay un dispositivo enrolado, pero la transferencia siempre exige una segunda confirmación.