La lucha contra el fraude en los métodos de pago ha llevado a crear procesos complejos que han seguido confiando en el uso de contraseñas como mecanismo de seguridad. Sin embargo, empresas como Biocryptology están apostando por procesos basados en la identificación biométrica como alternativa más segura y fácil para el cliente. La pregunta es, por tanto, ¿estamos avanzando hacia un mundo sin passwords?

Leía en Forbes esta semana que el «gran reto» del Ecommerce pasaba por la identificación para evitar el fraude y la suplantación de identidad, muy a colación uno de los 5 puntos clave de World Economic Forum de Davos para los próximos 5 años, y esto me hacía reflexionar sobre el altísimo impacto y el coste que actualmente tendría cualquier empresa para implementar procesos que mitiguen este problema. 

A dia de hoy, introducir un PIN para desbloquear un móvil nos puede parecer algo anticuado y, sin embargo, la realidad es que no ha pasado tanto tiempo desde que en 2013 Apple introdujera la huella dactilar para desbloquear su iPhone 5.

Según un estudio publicado por Inc, un usuario típico de smartphone utiliza su huella una media de 52 veces al día para realizar diversas operaciones, una cifra que llega hasta 152 en cl caso de los millennials; y en otro estudio de Dentsu Aegis Network se concluye que un 78% de consumidores han utilizado alguna vez un acceso biométrico para autenticarse en una aplicación y que un 63% de los consumidores lo ha hecho a través de su huella dactilar.

Todo esto parece demostrar que precisamente los móviles son los que han impulsado el cada vez más amplio uso de la autenticación biométrica en detrimento de las contraseñas y que esto está teniendo un impacto importante, por ejemplo, en la adopción de los pagos a través del móvil.

Pero, ¿a qué nos referimos cuando hablamos de autenticación? En el mundo digital, la autenticación es el proceso por el que se determina que la persona que reclama una identidad se corresponde precisamente con la persona que estableció la identidad. Sin embargo, no debemos confundirlo con el proceso de identificación, que generalmente suele ser previo a la autenticación y que tiene como objetivo reconocer a una persona de forma única.

Históricamente se han utilizado tres tipos principales de factores de autenticación:

• Tipo 1: algo que sabemos (como una contraseña o un PIN)
• Tipo 2: algo que poseemos (como una tarjeta de crédito o un dispositivo móvil)
• Tipo 3: algo que nos distingue de los demás (como nuestras huellas dactilares, nuestra cara o nuestra voz)

Sin embargo, garantizar la seguridad de la autenticación con uno solo de estos factores resulta cada vez más complejo, por lo que los procesos han ido evolucionando hasta combinarlos en lo que se ha dado en denominar como autenticación multi-factor.

Así, por ejemplo, la mayor parte de los sistemas de pago online requieren la introducción de una contraseña y un código temporal que se envía por SMS, combinando algo que sabemos (la contraseña) con algo que poseemos (el móvil que recibe el SMS).

Pero incluso este tipo de estrategias no es capaz de garantizar un nivel de seguridad adecuado en un mundo en el que las contraseñas están constantemente comprometidas y los SMS se pueden interceptar, por ejemplo, a través de tarjetas SIM duplicadas gracias a ataques basados en ingeniería social. Y, pese a ello, muchas soluciones todavía deben seguir confiando en el uso de contraseñas en lugar de implementar Biometría, una tecnología solo al alcance de las empresas más innovadoras que presenta grandes desafíos tanto por rendimiento como por posibles brechas de datos. 

Por eso, en muchos casos se está apostando cada vez más por la agregación de dos nuevos tipos de factores a los de tipo 1 y 2, como son:

• Tipo 4: el lugar en que nos encontramos (por ejemplo, a través de una IP o de geolocalización)
• Tipo 5: algo que haces (como un gesto con el ratón o una forma particular de moverse)

Como primera conclusión, parece que la solución pasa por evolucionar hacia sistemas de autenticación multi-factor cada vez más complejos y que tratan de evitar el uso de contraseñas. Y desde el punto de vista de las empresas, esta complejidad no puede ser entendida únicamente como un requisito a cumplir por razones puramente legales, sino también como un factor clave para sus negocios que además ayuda a reducir la fricción con los usuarios y mejorar su experiencia, a ofrecer un valor diferencial frente a la competencia e, incluso, a incrementar la eficiencia de los empleados.

Este último quizás pueda ser el menos evidente, pero supone un ahorro de costes para el que podemos encontrar justificación si pensamos que algunos estudios sitúan en 11 en el número de horas al año que un empleado invierte en introducir, modificar y resetear su contraseña; o que los equipos de soporte de IT de muchas empresas emplean también un tiempo significativo para ayudar a gestionar estos cambios.

En el caso de la interacción de los usuarios, la reducción de la fricción proviene principalmente del crecimiento de la oferta, y de un cambio de paradigma en la manera en la que se desarrollan los productos y se atrae a los clientes. Si hasta hace pocos años el proceso consistía en diseñar “el mejor producto posible” y después buscar clientes en el mercado, actualmente lo hemos invertido para adaptarnos a una situación en la que los usuarios disponen de muchas alternativas en el mercado y son las empresas las que deben ajustarse a las necesidades de los clientes para atraerlos. Y una de las implicaciones que conlleva este cambio es que los clientes buscan ahora no solo el mejor producto o servicio, sino el que menos le complica la vida.

En este sentido, la utilización de contraseñas para acceder a un servicio se ha convertido definitivamente en una complicación, debido a la necesidad de memorizar patrones cada vez más largos y de utilizar caracteres “extraños”, y a que en muchos sistemas nos vemos obligados a modificarlos periódicamente. Además, su reutilización en diferentes plataformas no siempre es posible, porque cada servicio impone distintas restricciones a las contraseñas referentes a su longitud o al tipo de caracteres que puedes (o debes) utilizar, y supone un gran problema de seguridad.

Esta reducción de la fricción es un gran primer paso en la mejora de la experiencia del usuario, pero no el único, ya que la identificación de los usuarios asociada a la autenticación ayuda a mejorar el nivel de personalización que se le puede ofrecer y, por tanto, incrementa la conversión y la fidelización.

Pero tampoco podemos olvidarnos de la ventaja que se puede obtener actualmente a través de la explotación de la interoperabilidad asociada al cumplimiento de estándares como la PSD2, que incluye la  necesidad de implementar SCA (Strong Customer Authentication) para proporcionar métodos de pago más seguros a través de una autenticación multi-factor y, por tanto, garantiza frente al usuario que su proveedor le está ofreciendo una plataforma segura.

Para la mayoría de los negocios, cumplir todos estos estándares es un proceso complejo y que queda fuera de su foco. Y por eso lo mejor es confiar estos servicios a empresas especializadas como Biocryptology, que ha sido capaz de innovar para ofrecer la primer solución de identificación universal que utiliza datos biométricos del usuario (como la huella dactilar, el iris o el reconocimiento facial) para autenticar a los clientes y proporcionar métodos de pago más seguros. Y todo ello, claro está, sin necesidad de usar contraseña.