Doble factor del BCU: quién tiene el celular que autoriza
Desde octubre el banco exige doble factor para transferir y entrar al homebanking. Cómo evitar que un pago se frene porque falta quien recibe el código.
Cifras clave — nuevas exigencias de autenticación del BCU
Si hace poco intentaste pagarle a un proveedor y el banco te pidió un código que llegó al celular de otra persona, no fue una falla del sistema. Es la Circular 2.497 del Banco Central, que rige desde el 1.º de octubre de 2026.
Lo primero, para no asustar de gratis: la obligación es del banco, no de tu empresa. No hay trámite que hacer ni multa que pagar. Lo que hay es una operativa que se puede frenar justo el día que no te podés permitir que se frene.
Qué operaciones quedaron comprendidas
La circular amplió el alcance del doble factor —dos comprobaciones distintas de que sos vos— a cuatro frentes, según la cobertura de El Observador:
- El acceso del cliente a los canales digitales de la institución.
- Las transferencias y pagos a terceros.
- Las solicitudes de préstamo hechas de forma no presencial.
- Las compras con tarjeta de crédito y débito no presenciales.
Los dos factores tienen que ser de categorías distintas: algo que sabés (una contraseña), algo que tenés (el celular, un token) o algo que sos (huella, cara). Dos contraseñas no cumplen. Las passkeys —las llaves de acceso del celular, sin contraseña— se admiten si cumplen las condiciones previstas.
La circular también contempla casos en que la institución puede no aplicar el doble factor: por ejemplo, pagos a beneficiarios ya registrados como de confianza y transferencias entre cuentas propias en el mismo banco. Pero dar de alta o modificar esa lista de beneficiarios de confianza sí requiere doble factor, según el análisis de Guyer y Regules.
Ese detalle es el que decide si pagás tranquilo o no.
El problema real: el factor es de una persona, la empresa es de varias
En una PYME de diez personas, el que paga a proveedores casi nunca es el titular de la cuenta. Es el administrativo, la contadora externa, un socio.
El segundo factor, en cambio, está atado a un dispositivo y a una persona. El día que esa persona se toma licencia, cambia de número o se va de la empresa, los pagos quedan del otro lado de una puerta que nadie puede abrir.
La tentación es obvia: dejar el celular en la oficina, pasar el código por WhatsApp, compartir la passkey. Es la peor salida posible. Rompe el esquema de seguridad y puede dejar a la empresa sin cobertura frente a un fraude, porque el banco va a poder sostener que la operación la autorizó quien tenía el factor.
La salida correcta es aburrida y se hace una sola vez: registrar apoderados o usuarios adicionales ante el banco, cada uno con su propio factor.
Cómo organizarlo antes de que haga falta
Cómo organizar el doble factor del banco en una empresa
Cuatro pasos para que un pago no se frene porque falta la persona que recibe el código.
Paso 1 — Averiguar a nombre de quién está el dispositivo registrado
Entrá al homebanking y mirá qué teléfono y qué correo figuran como medio de contacto para la autenticación. En muchas PYMEs sigue siendo el celular de alguien que ya no trabaja ahí o un número que se dio de baja.Paso 2 — Registrar más de una persona habilitada ante el banco
Pedile a tu banco el alta de apoderados o usuarios adicionales, cada uno con su propio factor y con los permisos que corresponda. Es un trámite en la sucursal o por el canal que indique la institución, y resuelve el problema de raíz.Paso 3 — Dar de alta a los proveedores habituales como beneficiarios de confianza
Si tu banco ofrece esa lista, cargá ahí a los proveedores a los que les pagás todos los meses. Dar de alta la lista requiere doble factor, así que hacelo mientras la persona con el factor está disponible, no el día del vencimiento.Paso 4 — Dejar escrito qué pasa cuando esa persona no está
Anotá quién es el suplente, con qué permisos y a quién se le avisa. Dos líneas en el procedimiento de pagos alcanzan. Es lo único que evita la llamada desesperada del día que vence una factura y el titular del factor está de licencia.
Las letras chicas de la norma
- La obligación es del banco, no de tu empresa. No tenés trámite ni sanción: tenés una operativa que puede trabarse.
- Cada institución lo implementa como quiera dentro de la norma: aplicación, token, SMS, passkey. Vale lo que informe tu banco, no lo que diga este post.
- Dos factores de categorías distintas. Dos contraseñas no cumplen.
- Compartir el celular, el código o la passkey rompe el esquema y puede dejarte sin cobertura frente a un fraude. La salida es registrar usuarios, no compartir factores.
- Las operaciones presenciales en sucursal no quedan comprendidas por esta extensión.
- No hay montos mínimos confirmados. Si tu banco te dice que por debajo de cierta cifra no pide código, confirmalo con él y no lo asumas.
Por qué existe esta norma
No es burocracia nueva por gusto. Los resguardos del sistema financiero frente al ciberdelito se endurecieron después de años de crecimiento sostenido del fraude, y hay bancos con colas de denunciantes, según Búsqueda.
El acceso es la puerta de entrada de casi todo. Si te interesa el panorama más amplio, lo tratamos en qué hacer si tu PYME no tiene equipo de IT y en el récord de credenciales filtradas. Ese es el "por qué" detrás del código que te llega al celular.
Qué significa esto para tu empresa
Esto no se resuelve el día que falla: se resuelve un martes cualquiera, con una llamada al banco.
Dedicale veinte minutos esta semana a tres preguntas: ¿a nombre de quién está el factor?, ¿hay una segunda persona habilitada?, ¿están cargados los proveedores habituales? Si las tres respuestas son buenas, el tema está cerrado.
Si alguna no lo es, ya sabés qué pedirle al banco. Y si la respuesta de alguien en la empresa fue "compartimos el código", ese es el problema a arreglar primero.
Preguntas frecuentes
¿Desde cuándo rige la exigencia de doble factor del BCU?
¿Mi empresa tiene que hacer algún trámite o puede ser multada?
¿Qué excepciones y límites tiene esta norma?
¿Puedo compartir el celular o el código con el administrativo que paga?
¿Los pagos a proveedores de siempre también piden código?
¿Qué pasa si la persona con el segundo factor se va de la empresa?
Última actualización: