Mensajería para banca y fintech: alertas, OTP y fraude

Esta guía está dirigida a responsables de producto, canales digitales y cumplimiento de bancos, empresas de pagos, prestamistas y fintech. Recoge los mensajes que debe recibir un cliente financiero, el canal y el tipo de plantilla que corresponde a cada uno, y las exigencias de seguridad y regulación que determinan qué puede enviar y por dónde.

¿Qué mensajes necesita enviar un banco o una fintech?

La mensajería financiera se divide en cinco recorridos: alertas de transacción, autenticación, control de tarjetas, recordatorios de pago y avisos de fraude. Los cinco son operativos, por lo que deben diseñarlos los equipos de producto y de riesgos, no tratarse como campañas.

La columna de plantillas solo importa donde su regulador permita WhatsApp. Meta clasifica una plantilla como de utilidad cuando no es promocional y está vinculada a la cuenta o la operación del propio cliente; consulte nuestra guía sobre las categorías de plantillas.

¿Qué esperan los reguladores de la mensajería financiera?

Por lo general, los reguladores esperan una notificación puntual de la actividad de la cuenta, autenticación reforzada del cliente, protección de los datos de los clientes y vías de reclamación claras. Las normas concretas varían según el país y cambian a menudo, así que lea las circulares vigentes en lugar de fiarse de resúmenes.

Ejemplos del GCC que conviene revisar

• Arabia Saudí. Los Minimum Verification Controls de la SAMA, que se aplican a categorías de fintech como monederos electrónicos y préstamos, exigen notificaciones por SMS para el registro, el nuevo registro de dispositivo, los cambios de estado de la cuenta y las transacciones, y piden que los mensajes indiquen su finalidad y el nombre de la entidad. Los bancos deben consultar además las circulares bancarias de la SAMA sobre alertas por SMS y controles de banca electrónica en el SAMA Rulebook.
• Emiratos Árabes Unidos. En abril de 2026, medios emiratíes informaron de una circular de la CBUAE que ordenaba a las entidades financieras autorizadas dejar de usar apps de mensajería instantánea, incluida WhatsApp, para compartir datos de clientes, confirmar transacciones o enviar códigos de autenticación, alegando riesgos de fraude y de residencia de los datos. Resúmenes del sector describen también un aviso de la CBUAE de 2025 que se aleja del OTP por SMS y correo como único factor de autenticación. Confirme ambos puntos en el CBUAE Rulebook y con su equipo de cumplimiento.
• Otros mercados. Muchos reguladores fijan normas de autenticación reforzada del cliente y de deber hacia el consumidor. Asocie cada tipo de mensaje con la norma que lo exige o lo restringe.

Reglas de las plataformas

La Business Messaging Policy de WhatsApp prohíbe pedir que se compartan números completos de tarjeta o de cuenta financiera, e incluye el cobro de deudas y ciertos productos de préstamo entre los usos prohibidos. El SMS exige un ID de remitente (sender ID) registrado en muchos mercados, entre ellos los Emiratos y Arabia Saudí; consulte el registro del ID de remitente.

¿Cómo diseñar las alertas de transacción y el control de tarjetas?

Una alerta debe permitir que el cliente reconozca o rechace una operación en segundos. Eso exige una estructura fija, identificadores enmascarados y una única acción clara.

Alerta de transacción (SMS)

{{bank}}: Compra de {{amount}} AED en {{merchant}} con la tarjeta terminada en {{last4}}, el {{date}} a las {{time}}. ¿No ha sido usted? Llame al {{official number}}. Nunca le pedimos su PIN ni su OTP.

Confirmación de control de tarjeta (app o SMS)

{{bank}}: Su tarjeta terminada en {{last4}} se bloqueó a las {{time}} desde la app de {{bank}}. Si usted no lo hizo, llame al {{official number}}.

Reglas de diseño:

1. Ponga primero el importe, la divisa y el comercio.
2. Enmascare los números de tarjeta y de cuenta, dejando solo los cuatro últimos dígitos.
3. Use el mismo nombre de remitente en todos los mensajes de seguridad.
4. Indique un número de teléfono impreso en la tarjeta o en la app, no un enlace.
5. No combine nunca una alerta con una oferta: rompe la confianza y puede cambiar la categoría de la plantilla.
6. Envíe versiones en árabe y en inglés según el idioma preferido del cliente.

¿Cómo deben funcionar el OTP y los mensajes de autenticación?

Use el método más sólido que espere su regulador y trate el OTP por SMS o WhatsApp como un factor más donde siga estando permitido. Nuestra guía de OTP explica en profundidad la entrega, la caducidad y los patrones de fraude.

Reglas clave para el OTP financiero:

• Vincule el código a la acción: «Código para la transferencia de 2.500 SAR al beneficiario terminado en 4410».
• Mantenga una caducidad corta y limite los reintentos.
• Incluya «no comparta este código; nuestro personal nunca se lo pedirá».
• Vigile el traffic pumping: volúmenes de OTP inusuales hacia números de tarifa especial o rangos de países inesperados; consulte la prevención del SMS pumping.
• Donde se permitan las plantillas de autenticación de WhatsApp, Meta admite los formatos copy-code, one-tap y zero-tap.

¿Cómo tratar los avisos de fraude y los recordatorios de cobro?

Un aviso de fraude no debe poder imitarse de forma convincente; un recordatorio de cobro debe ser justo, exacto y enviarse solo por canales permitidos.

Procedimiento ante un aviso de fraude

1. Detecte la transacción sospechosa y retenga o rechace la operación según sus reglas.
2. Envíe un SMS con los datos de la transacción y sin enlaces.
3. Pida al cliente que confirme en la app o llamando al número oficial.
4. Escale a una llamada saliente si no hay respuesta en el plazo que haya definido.
5. Registre cada mensaje y cada respuesta para la gestión de disputas.

Recordatorios de cobro

Envíe antes del vencimiento un recordatorio de pago neutro con el importe, la fecha y las formas de pago oficiales. En las cuentas en mora, siga las normas locales de protección del consumidor sobre frecuencia, horario y redacción de los contactos, y evite WhatsApp dada su política sobre cobro de deudas. No escriba nunca a terceros sobre la deuda de un cliente.

Ejemplo práctico: un monedero electrónico de Riad ordena sus mensajes

«Nakhla Pay», un monedero electrónico ficticio con licencia en Arabia Saudí, revisa su mensajería antes del lanzamiento.

El equipo enumera cada evento que los controles de la SAMA vinculan con una notificación por SMS: registro, nuevo registro de dispositivo, cambios de estado de la cuenta y transacciones. Cada uno recibe una plantilla SMS en árabe y en inglés que nombra a Nakhla Pay e indica la finalidad. Las aprobaciones de pago se hacen en la app; el OTP por SMS solo se usa donde el equipo de riesgos lo aprueba como factor.

Las alertas de fraude salen por SMS sin enlaces y piden al cliente que confirme en la app. Los consejos de concienciación sobre estafas van por correo electrónico y dentro de la app, nunca mezclados con promociones. Las conversaciones de soporte se atienden en una bandeja supervisada, y los agentes están formados para no pedir nunca números de tarjeta ni códigos. Cumplimiento valida cada plantilla antes de publicarla y la revisa cada vez que se publica una nueva circular.

Errores habituales y límites reales

• Dar por hecho que WhatsApp está permitido porque es popular. Los reguladores financieros pueden restringirlo; compruébelo primero.
• Enlaces en los mensajes de seguridad. Acostumbran a los clientes a pulsar enlaces que los estafadores copian.
• Mezclar promociones con las alertas. Erosiona la confianza y puede llevar una plantilla a la categoría de marketing.
• Depender solo del OTP por SMS en acciones de alto riesgo. Muchos reguladores esperan ya una autenticación más sólida.
• Nombres de remitente incoherentes. Los clientes no distinguen los mensajes auténticos de los falsos.
• Sin seguimiento de la entrega. Si las alertas fallan, los clientes pasan por alto un fraude; use los informes de entrega para detectar problemas.
• Creer que la mensajería garantiza el cumplimiento. Los mensajes apoyan, pero no sustituyen, la vigilancia del fraude y los procesos de disputa.

Lista de verificación para lanzar la mensajería financiera

1. Enumere cada evento que exija o justifique un mensaje al cliente.
2. Asocie cada evento con un canal que su regulador acepte.
3. Redacte plantillas enmascaradas y sin enlaces, en árabe y en inglés.
4. Registre los ID de remitente y los nombres de las plantillas.
5. Defina la caducidad de los OTP, los reintentos y la vigilancia del fraude.
6. Fije las reglas de cobro: frecuencia, horario y canales.
7. Obtenga la aprobación de cumplimiento y programe una revisión tras cada nueva circular.

Cómo ayuda OmniChannels.ai

OmniChannels.ai funciona con la tecnología de BroadNet Technologies, una empresa de mensajería de telecomunicaciones con conectividad a operadores de SMS y certificaciones ISO/IEC 27001:2022 y SOC 2 Type II. Admite SMS para alertas y OTP, plantillas de autenticación de WhatsApp (one-tap, zero-tap y copy-code) donde su regulador las permita, OTP por voz y plantillas en árabe y en inglés. Los informes de entrega, con filtros y exportación a CSV, muestran los mensajes fallidos, y los sistemas de core bancario y de fraude se conectan mediante la API REST y los webhooks públicos. Conozca más sobre OTP y notificaciones y SMS, o póngase en contacto con nuestro equipo.