EMV 3DS 3RI y Active Call Detection (ACD): una paradoja tecnológica que podría comprometer el futuro del Secure Voice Commerce
Pay by Call, S.L. | Análisis tecnológico y estratégico | Noviembre de 2026
La industria financiera dispone desde 2018 de un mecanismo estandarizado para autenticar pagos telefónicos mediante EMV 3DS 3RI (Telephone Order = 09). Sin embargo, determinadas implementaciones de Active Call Detection (ACD), concebidas para prevenir el fraude telefónico, pueden dificultar precisamente estas autenticaciones legítimas. Resolver esta posible incompatibilidad permitiría mejorar la seguridad de miles de millones de pagos actuales y preparar el ecosistema financiero para el futuro Voice Commerce y Agentic Commerce.
1. La paradoja: ¿puede un banco impedir un pago autenticado porque su cliente está hablando por teléfono?
Imaginemos una situación habitual.
Un cliente llama a una compañía aérea para modificar una reserva. Durante la conversación, el agente le informa de que debe abonar una diferencia de tarifa.
La compañía dispone de una plataforma certificada PCI DSS que permite proteger los datos de la tarjeta y solicitar una autenticación EMV 3-D Secure al banco emisor.
El cliente acepta realizar el pago.
El sistema inicia una autenticación EMV 3DS 3RI utilizando el indicador Telephone Order = 09 (TO=09), que identifica una solicitud de autenticación originada en una operación telefónica.
El ACS del banco emisor recibe la solicitud y determina que procede autenticar al titular mediante su aplicación bancaria.
Hasta aquí, todo funciona según lo previsto.
Pero aparece un problema.
La aplicación bancaria detecta que el cliente mantiene una llamada telefónica activa.
Si el banco ha configurado su sistema de Active Call Detection para restringir determinadas operaciones sensibles durante cualquier llamada, la autenticación podría quedar bloqueada.
El cliente no consigue completar el proceso.
Y el comercio pierde la oportunidad de realizar un pago autenticado.
Una tecnología diseñada para combatir el fraude telefónico podría terminar impidiendo que otra tecnología, creada precisamente para autenticar pagos y reducir el fraude, cumpla su función.
Esta es la paradoja que queremos plantear a la industria financiera.
No estamos cuestionando la utilidad de ACD ni sugiriendo que los bancos deban desactivar sus medidas de protección frente al vishing.
Estamos planteando una cuestión más profunda:
¿Cómo conseguimos que dos tecnologías diseñadas para proteger al mismo usuario se complementen, en lugar de neutralizarse?
Porque el problema puede extenderse mucho más allá de una transacción fallida.
Puede afectar a la transformación de un mercado de miles de millones de operaciones y convertirse en una barrera para el desarrollo del Secure Voice Commerce.
2. El mercado MOTO actual: miles de millones de operaciones que necesitan evolucionar hacia pagos autenticados
Antes de hablar del futuro, conviene dimensionar el mercado que ya existe.
Los pagos MOTO (Mail Order / Telephone Order) siguen formando parte de las operaciones comerciales de compañías aéreas, aseguradoras, hoteles, empresas de suministros, administraciones públicas, servicios financieros y numerosos contact centers.
Lejos de constituir una actividad económicamente irrelevante, las estadísticas disponibles muestran que el canal mantiene una dimensión extraordinaria.
Unión Europea: 648,8 millones de operaciones y 57.576 millones de euros
Según el análisis elaborado por Pay by Call a partir de estadísticas oficiales del Banco Central Europeo, durante 2025 la Unión Europea registró:
| Indicador | UE, 2025 |
|---|---|
| Operaciones MOTO | 648,8 millones |
| Importe GMV MOTO | 57.576 millones de euros |
| Ticket medio | 88,74 € |
| Peso sobre operaciones CNP | 3,16 % |
| Peso sobre importe CNP | 4,81 % |
El canal MOTO presenta una característica interesante: su importancia económica es proporcionalmente superior a su participación en número de operaciones.
En España, el mercado registró 89,58 millones de operaciones por 8.363 millones de euros, con un ticket medio de 93,36 euros.
Estos datos revelan la relevancia económica de un canal que todavía tiene un amplio margen para mejorar sus mecanismos de autenticación.
Estados Unidos: aproximadamente 3.000 millones de operaciones
Las estadísticas estadounidenses correspondientes a 2022, analizadas por Pay by Call, sitúan el mercado MOTO en el entorno de:
| Indicador | EE. UU., referencia 2022 |
|---|---|
| Operaciones MOTO | 3.000 millones, aproximadamente |
| Importe GMV MOTO | 870.000 millones de dólares, aproximadamente |
| Ticket medio calculado sobre cifras redondeadas | Unos 290 dólares |
| Peso sobre operaciones CNP | 5,4 % |
| Peso sobre importe CNP | 16,7 % |
La diferencia respecto a Europa resulta significativa.
En Estados Unidos, MOTO concentra una proporción considerable del importe económico de las operaciones CNP.
Su ticket medio es también notablemente elevado.
Esto refuerza la importancia de implantar mecanismos que permitan autenticar correctamente las operaciones telefónicas.
Reino Unido, Brasil y México: una dimensión internacional todavía mayor
Para aproximar el tamaño de otros grandes mercados, Pay by Call ha desarrollado un ejercicio exploratorio aplicando las proporciones MOTO/CNP observadas en la Unión Europea y Estados Unidos a estadísticas públicas de pagos remotos.
Los resultados centrales estimados son:
| Mercado | Operaciones MOTO estimadas | Importe estimado GMV MOTO |
|---|---|---|
| Reino Unido | 174,5 millones | 38.400 M£ |
| Brasil | 220 millones | 118.100 M R$ |
| México | 72,6 millones | 70.269 M MXN |
Son estimaciones, no estadísticas oficiales MOTO. Su finalidad es ilustrar la posible dimensión del mercado, con un margen de incertidumbre especialmente elevado en la estimación del número de operaciones brasileñas.
La metodología utiliza ratios observados en mercados con datos MOTO diferenciados y bases públicas de pagos remotos y electrónicos que no siempre tienen idéntico perímetro estadístico.
Por ello, estas extrapolaciones deben entenderse como escenarios de análisis y no como mediciones definitivas.
Sin embargo, el mensaje principal no depende de esas estimaciones.
Solamente la Unión Europea y Estados Unidos registraron, en sus respectivos años de referencia, más de 3.600 millones de operaciones MOTO.
No estamos ante un mercado futuro que todavía deba demostrar su existencia.
Estamos ante un mercado internacional ya establecido que necesita evolucionar hacia mecanismos de pago más seguros y autenticados.
Y la industria dispone de una tecnología estandarizada para contribuir a esa transformación.
3. EMV 3DS 3RI TO=09: la oportunidad de autenticar los pagos telefónicos sin recurrir necesariamente a enlaces
El 14 de diciembre de 2018, EMVCo publicó la versión 2.2.0 del estándar EMV 3-D Secure.
Entre sus capacidades figuran mecanismos especialmente relevantes para autenticar operaciones iniciadas fuera del flujo tradicional de comercio electrónico.
Dos resultan fundamentales:
3DS Requestor-Initiated (3RI). Permite que determinadas solicitudes de autenticación sean iniciadas por el comercio o su proveedor tecnológico, conforme a los casos previstos en el estándar.
Decoupled Authentication. Permite realizar la autenticación del titular mediante un procedimiento independiente de la interacción principal de compra.
El protocolo contempla expresamente el canal telefónico a través de 3RI Indicator = 09, Telephone Order.
Esta combinación abre la posibilidad de solicitar una autenticación bancaria mientras el consumidor continúa conversando con el agente comercial.
El emisor puede evaluar la solicitud y, cuando su infraestructura lo soporte, realizar la autenticación desacoplada mediante un mecanismo adecuado.
Por ejemplo, a través de su aplicación bancaria.
El consumidor no necesita recibir obligatoriamente un enlace de pago para pasar a otro entorno comercial.
El objetivo es incorporar la autenticación a la experiencia telefónica.
¿Por qué es importante?
Tradicionalmente, las empresas han podido aceptar pagos telefónicos protegiendo los datos de tarjeta mediante sistemas compatibles con PCI DSS.
Sin embargo, esa protección no equivale a autenticar al titular.
PCI DSS y EMV 3DS resuelven necesidades distintas.
La primera protege los datos de pago.
La segunda proporciona mecanismos para que el emisor participe en la autenticación.
La combinación de ambas permite avanzar desde el MOTO tradicional hacia un modelo de pago telefónico autenticado.
En Pay by Call denominamos esta evolución ATO (Authenticated Telephone Order).
Se trata de aprovechar las capacidades del estándar EMV 3DS para incorporar autenticación al canal telefónico sin renunciar a su experiencia comercial.
Resulta especialmente llamativo que esta posibilidad técnica exista desde diciembre de 2018 y todavía no se haya aprovechado ampliamente para este caso de uso.
No necesitamos inventar desde cero un protocolo internacional.
Necesitamos impulsar su adopción e interoperabilidad.
4. Active Call Detection: una tecnología necesaria cuya aplicación debe tener en cuenta el contexto
El fraude telefónico mediante ingeniería social representa una amenaza importante para las entidades financieras.
En muchas estafas, el delincuente no intenta vulnerar directamente la seguridad de un banco.
Intenta convencer a la víctima de que realice voluntariamente una operación fraudulenta.
Esta técnica, conocida como vishing, ha impulsado la incorporación de nuevos mecanismos de protección en las aplicaciones bancarias.
Entre ellos se encuentra Active Call Detection (ACD).
Su objetivo es identificar si el usuario mantiene una llamada telefónica durante una operación sensible.
Esta información puede utilizarse para elevar el nivel de riesgo, mostrar advertencias o aplicar controles adicionales.
Su utilidad es evidente.
Pero existe una diferencia fundamental entre detectar una llamada activa y considerar que toda llamada activa implica fraude.
Una persona puede estar hablando con un delincuente que pretende manipularla.
Pero también puede estar hablando con una aseguradora, una aerolínea, un hotel o un servicio público para realizar una operación comercial legítima.
Y en este segundo escenario la autenticación bancaria puede ser precisamente el mecanismo que permita completar la operación de forma más segura.
Cuando una medida de protección puede bloquear otra
Existen implementaciones de seguridad móvil que permiten restringir operaciones mientras existe una llamada activa.
También existen experiencias operativas comunicadas en el sector en las que determinados procesos de autenticación bancaria han encontrado restricciones asociadas a esa circunstancia.
El alcance concreto de estos comportamientos debe analizarse por emisor, dispositivo, aplicación y método de autenticación.
No podemos generalizarlos a todo el sistema bancario.
Pero tampoco deberíamos ignorarlos.
La cuestión esencial es que la presencia de una llamada activa no debería confundirse automáticamente con la existencia de una operación fraudulenta.
La autenticación puede ser legítima, necesaria y beneficiosa para el propio consumidor.
Y esto nos lleva a una consecuencia poco evidente.
5. El conflicto afecta también al Pay by Link: es un problema de todo el canal telefónico
Podría pensarse que la solución consiste simplemente en abandonar EMV 3DS 3RI y utilizar un enlace de pago convencional.
Pero no necesariamente es así.
Imaginemos que un cliente está hablando con un agente comercial y recibe un Pay by Link.
Abre el enlace, introduce los datos necesarios y el comercio solicita una autenticación EMV 3DS.
Si el banco emisor requiere que el titular complete un desafío mediante su aplicación bancaria mientras continúa la llamada, podría producirse el mismo conflicto con ACD.
La presencia de una llamada activa seguirá siendo detectada.
Por tanto, el problema potencial no es exclusivo de EMV 3DS 3RI ni de una plataforma tecnológica concreta.
Puede afectar también a flujos tradicionales de comercio electrónico autenticado cuando se desarrollan simultáneamente con una conversación telefónica.
Esto cambia la dimensión del debate.
Ya no estamos hablando únicamente de cómo implantar una nueva tecnología para pagos telefónicos.
Estamos hablando de cómo garantizar que los mecanismos antifraude de la banca sean compatibles con operaciones comerciales legítimas realizadas por voz.
Un cliente no debería verse obligado a interrumpir una conversación comercial simplemente para poder autenticar un pago, salvo que existan circunstancias de riesgo que justifiquen esa medida.
Por supuesto, determinados escenarios pueden requerir que el usuario termine una llamada sospechosa antes de continuar.
Lo importante es distinguir adecuadamente ambos casos.
La seguridad debe adaptarse al contexto, no tratar todas las conversaciones telefónicas como si fueran equivalentes.
6. Francia: una iniciativa sectorial para transformar la autenticación de los pagos telefónicos
Francia está impulsando una evolución especialmente relevante en la seguridad de los pagos remotos.
El Observatoire de la Sécurité des Moyens de Paiement (OSMP), vinculado a Banque de France, ha publicado recomendaciones para reforzar los pagos que se realizan fuera de los mecanismos convencionales de 3-D Secure.
Su recomendación número 5 anima a los comercios y proveedores de servicios de pago a experimentar con soluciones de autenticación adaptadas a los pagos MOTO.
Asimismo, llama a los actores de la cadena de pagos a trabajar en el desarrollo de soluciones de autenticación fuerte para pagos telefónicos durante 2026.
Este planteamiento institucional representa una oportunidad de gran alcance.
El objetivo es mejorar la seguridad de un canal comercial que ha dependido históricamente de mecanismos de pago con menores capacidades de autenticación.
El papel de EMV 3DS 3RI
Desde Pay by Call trabajamos para contribuir a esta evolución mediante tecnologías basadas en EMV 3DS 3RI Telephone Order = 09.
Nuestra tecnología PBC 3DS (patent pending) permite orquestar la autenticación del titular durante la llamada.
La adopción generalizada de estos mecanismos requiere cooperación entre emisores, ACS, PSP, esquemas de tarjetas y proveedores tecnológicos.
Pero consideramos que esa colaboración también debe incluir a los fabricantes de sistemas de seguridad móvil y Active Call Detection.
Porque de poco serviría que la infraestructura 3DS estuviera técnicamente preparada para autenticar pagos telefónicos si determinadas configuraciones de seguridad impidieran al titular completar esos procesos.
El despliegue de autenticación telefónica debería incorporar desde el principio pruebas de interoperabilidad.
No se trata de debilitar las medidas antifraude.
Se trata de evitar que los mecanismos diseñados para proteger al usuario terminen anulando otras protecciones igualmente necesarias.
7. Liability shift: el incentivo económico para que los comercios adopten pagos telefónicos autenticados
Existe otro argumento especialmente importante que suele quedar fuera de las discusiones técnicas.
La autenticación EMV 3DS no solo puede contribuir a reducir el fraude. También puede modificar quién asume determinadas pérdidas económicas por operaciones fraudulentas.
En el MOTO tradicional, el comercio puede quedar expuesto a contracargos por fraude, dependiendo de las circunstancias y de las reglas del esquema de tarjetas.
Esto convierte las operaciones telefónicas en una fuente potencial de riesgo financiero.
La autenticación mediante EMV 3DS abre una oportunidad adicional: el liability shift, o traslado de responsabilidad por determinadas operaciones fraudulentas.
¿Qué significa para el comercio?
Cuando una transacción cumple los requisitos aplicables del esquema de tarjetas para beneficiarse del liability shift, la responsabilidad por determinados contracargos de fraude puede trasladarse del comercio al emisor.
La consecuencia económica puede ser muy significativa.
Una empresa no solamente obtiene un mecanismo de autenticación más avanzado.
También puede reducir su exposición a determinados contracargos relacionados con fraude.
Esto es especialmente relevante en operaciones telefónicas de elevado ticket medio, como las que encontramos en viajes, seguros, turismo y otros servicios.
¿Puede EMV 3DS 3RI TO=09 beneficiarse del liability shift?
Sí, determinadas operaciones Telephone Order autenticadas mediante EMV 3DS 3RI pueden beneficiarse del liability shift cuando cumplen las condiciones exigidas por el esquema de tarjetas y su correspondiente programa de autenticación.
El beneficio no debe confundirse con una garantía universal.
Para que resulte aplicable es necesario considerar, entre otros elementos:
- La elegibilidad de la transacción y las reglas del esquema.
- La finalización correcta del proceso de autenticación.
- El resultado definitivo comunicado por el ACS y los sistemas correspondientes.
- Los indicadores de autenticación y evidencias exigidos para el tratamiento de la operación.
- Su transmisión correcta por el PSP y el adquirente en el mensaje de autorización.
En particular, cuando se utiliza autenticación desacoplada, el estado inicial que indica que ese proceso va a realizarse no constituye por sí solo una autenticación completada.
Es necesario obtener y procesar el resultado final correspondiente.
Lo mismo ocurre con una autenticación sin fricción: la protección depende de que el resultado sea válido y la operación reúna las condiciones aplicables.
Autenticación EMV 3DS completada + transmisión correcta de las evidencias + cumplimiento de las reglas del esquema = posibilidad de liability shift para los supuestos elegibles.
Esto introduce un incentivo económico relevante para la adopción del modelo ATO.
La paradoja económica de ACD
Imaginemos ahora que un comercio dispone de una infraestructura preparada para autenticar mediante EMV 3DS 3RI y obtener, cuando corresponda, protección frente a determinados contracargos fraudulentos.
Pero el banco emisor restringe sistemáticamente la autenticación porque el consumidor mantiene la llamada comercial.
El resultado puede ser contraproducente.
Una medida diseñada para proteger al usuario podría impedir el acceso a una autenticación que permitiría reforzar la seguridad de la operación y, potencialmente, trasladar determinados riesgos por fraude al emisor.
Resolver la interoperabilidad ACD–3RI no es únicamente un desafío técnico. Puede tener consecuencias económicas directas para los comercios y para la distribución del riesgo de fraude en el ecosistema de pagos.
8. La solución: prevención del fraude contextual y tecnologías interoperables
La alternativa no consiste en eliminar ACD.
Consiste en utilizarlo de una forma más inteligente.
El hecho de que una persona esté hablando por teléfono debe poder considerarse una señal de riesgo.
Pero debería evaluarse junto con información adicional sobre la operación y su contexto.
Para ello, la industria dispone de tecnologías de análisis transaccional, inteligencia del dispositivo y detección de anomalías.
Fabricantes de seguridad como Outseer, Wultra, LexisNexis Risk Solutions, BioCatch e Incognia desarrollan capacidades relacionadas con la prevención contextual del fraude, aunque no todos ofrecen las mismas funcionalidades ni utilizan idénticas arquitecturas.
Una arquitectura de seguridad complementaria
Una posible aproximación consistiría en combinar:
Active Call Detection: identifica que existe una llamada activa y aporta una señal de riesgo.
EMV 3DS 3RI: proporciona el contexto de la solicitud de autenticación y permite al ACS evaluar una operación identificada como Telephone Order.
Inteligencia del dispositivo y del comportamiento: aporta señales complementarias sobre posibles intentos de manipulación o anomalías.
Análisis contextual del riesgo: permite aplicar controles proporcionados a la naturaleza y las circunstancias de la operación.
Este enfoque no requiere considerar el indicador TO=09 una prueba automática de legitimidad.
Tampoco convertir una llamada activa en una prueba automática de fraude.
Lo que propone es combinar señales para tomar decisiones más precisas.
La tecnología de Transaction Risk Analysis (TRA) y otros mecanismos de análisis del riesgo pueden contribuir a este objetivo.
Es importante distinguir estas capacidades generales de las exenciones regulatorias TRA previstas en PSD2, que responden a requisitos específicos.
Aquí no se propone evitar la autenticación.
Se propone hacer posible una autenticación segura cuando la operación es legítima, manteniendo controles reforzados cuando el riesgo lo justifique.
La solución exige colaboración entre proveedores de ACD, fabricantes de ACS, emisores, PSP y esquemas de tarjetas.
También requiere pruebas para determinar qué información puede intercambiarse de forma segura y qué mecanismos de interoperabilidad son viables.
9. Secure Voice Commerce: transformar un mercado que ya existe y preparar la siguiente etapa
El interés por los asistentes inteligentes y el comercio conversacional puede llevarnos a pensar que el Voice Commerce es, principalmente, una promesa de futuro. Sin embargo, el comercio telefónico tiene ya una dimensión económica muy importante.
Las estadísticas MOTO citadas en este análisis documentan 648,8 millones de operaciones y 57.576 millones de euros en la Unión Europea durante 2025, así como aproximadamente 3.000 millones de operaciones y 870.000 millones de dólares en Estados Unidos en 2022.
Son mercados y ejercicios estadísticos distintos. Estas cifras no deben sumarse para calcular un volumen mundial anual, pero muestran que el pago telefónico ya es una actividad de enorme escala.
La oportunidad inmediata consiste en mejorar la seguridad y la autenticación de transacciones que ya se realizan, no en esperar a que nazca un mercado nuevo.
La IA conversacional transformará la relación comercial
La inteligencia artificial está permitiendo desarrollar agentes capaces de mantener conversaciones naturales, comprender solicitudes, consultar información y gestionar procesos comerciales.
Un asistente de IA puede ayudar a reservar una habitación, modificar un vuelo, contratar una póliza o gestionar un servicio.
En muchas de estas operaciones, la conversación puede convertirse en el principal entorno comercial.
Pero existe una condición imprescindible:
El usuario debe poder completar un pago seguro y autenticado sin que la propia conversación impida ejecutar los mecanismos de autenticación.
Si determinadas políticas de ACD bloquean indiscriminadamente las autenticaciones mientras existe una llamada activa, podríamos estar introduciendo una barrera al desarrollo de ese modelo.
Sería contradictorio que la industria invirtiera en agentes de IA cada vez más capaces de gestionar operaciones comerciales y, simultáneamente, impidiera que los bancos autenticasen esas operaciones por el mero hecho de que se estén realizando durante una conversación.
No se trata de afirmar que todo el futuro Voice Commerce dependa de 3RI TO=09.
Se trata de reconocer que la interoperabilidad entre mecanismos de seguridad será un requisito cada vez más importante para los pagos conversacionales.
10. Del Voice Commerce al Agentic Commerce: preparar hoy la infraestructura de confianza del futuro
La evolución de los pagos conversacionales puede entenderse mediante tres modelos.
Humano ↔ Agente humano
Es el modelo tradicional de los contact centers.
Una persona conversa con un operador para contratar un producto o servicio y realizar un pago.
La autenticación EMV 3DS 3RI TO=09 ofrece una vía para incorporar la intervención del emisor al proceso comercial sin depender necesariamente de enlaces externos.
Humano ↔ Agente de IA
En este modelo, el cliente mantiene una conversación con un asistente de inteligencia artificial.
La IA puede atender la solicitud y gestionar la operación comercial.
La autenticación sigue correspondiendo al titular, utilizando los mecanismos establecidos por el emisor.
Las capacidades de autenticación desacoplada pueden resultar especialmente relevantes para estos escenarios cuando exista soporte técnico.
Asistente de IA ↔ Agente de IA
Es uno de los modelos más prometedores del futuro Agentic Commerce.
Un asistente personal autorizado por el consumidor podrá interactuar con un agente comercial para buscar, comparar y contratar productos o servicios.
Pero automatizar la interacción no elimina la necesidad de verificar la legitimidad del pago.
Será necesario disponer de mecanismos para acreditar el consentimiento del titular, la delegación de autoridad al asistente, los límites de actuación y la vinculación de cada autorización con una operación concreta.
EMV 3DS constituye una infraestructura de autenticación reconocida internacionalmente que puede aportar capacidades relevantes a esta evolución.
Sin embargo, el indicador TO=09 está asociado a operaciones telefónicas y no debe extrapolarse automáticamente a cualquier transacción entre agentes de IA.
El comercio agéntico requerirá mecanismos complementarios de identidad, delegación y autorización.
La oportunidad consiste en aprovechar la implantación de pagos telefónicos autenticados para desarrollar experiencia, capacidades e interoperabilidad que puedan resultar útiles para la siguiente generación de pagos.
El papel de las passkeys
Las passkeys, basadas en estándares FIDO y mecanismos criptográficos resistentes al phishing, representan otra pieza importante de esta evolución.
Visa y Mastercard están impulsando iniciativas de Payment Passkeys para facilitar la autenticación de titulares de tarjetas mediante métodos seguros y con menor fricción.
EMV 3DS y las passkeys son tecnologías complementarias.
EMV 3DS proporciona un marco de autenticación dentro del ecosistema de pagos.
Las passkeys pueden proporcionar un mecanismo criptográfico para verificar al titular.
Su posible utilización en procesos de autenticación desacoplada dependerá de las implementaciones y del soporte de emisores, ACS y esquemas de tarjetas.
No debe suponerse que cualquier flujo 3RI TO=09 ya incorpora universalmente passkeys, ni que estas sustituyen todos los requisitos de autorización transaccional.
Pero la convergencia tecnológica es prometedora.
Tres capacidades que deben trabajar juntas
La arquitectura futura puede apoyarse en capacidades complementarias:
EMV 3DS: protocolo internacional de autenticación aplicable a los escenarios previstos en el estándar.
Passkeys: mecanismos criptográficos que permiten verificar de forma robusta al titular.
ACD: identificación de llamadas activas y señales relacionadas con posibles intentos de ingeniería social.
A estas capacidades se suman el análisis contextual del riesgo, los controles de delegación y los mecanismos de consentimiento.
Cada tecnología tiene su ámbito.
ACD será relevante especialmente cuando exista una comunicación telefónica; otros controles protegerán las operaciones entre agentes automatizados cuando no haya llamada.
El objetivo no es utilizar todas las tecnologías en todas las transacciones.
Es conseguir que puedan complementarse cuando resulte apropiado.
Si desarrollamos rápidamente la autenticación EMV 3DS 3RI para los pagos telefónicos actuales, estaremos dando un paso importante hacia la infraestructura de confianza que necesitarán los futuros pagos agénticos.
Y precisamente por eso debemos evitar que los mecanismos de protección existentes generen incompatibilidades innecesarias.
11. Un llamamiento a la colaboración de toda la industria
La interoperabilidad entre ACD y EMV 3DS no es un desafío que deba abordar una única empresa.
Requiere la participación de bancos emisores, fabricantes de ACS, proveedores de seguridad móvil, PSP, esquemas de tarjetas y grandes comercios.
Los emisores conocen las políticas de seguridad aplicadas en sus aplicaciones.
Los fabricantes de ACS gestionan la autenticación.
Los proveedores ACD conocen las señales asociadas a llamadas activas.
Los PSP conectan los entornos comerciales y financieros.
Los grandes comercios pueden aportar evidencias operativas procedentes de amplias muestras de operaciones y emisores.
Y los organismos sectoriales pueden facilitar el desarrollo de buenas prácticas.
Desde Pay by Call consideramos oportuno impulsar un diálogo técnico que permita determinar:
- En qué circunstancias las políticas ACD pueden impedir autenticaciones legítimas.
- Qué información contextual pueden utilizar los ACS.
- Cómo mantener la protección frente al vishing evitando bloqueos indiscriminados.
- Qué mecanismos adicionales de análisis del riesgo son necesarios.
- Cómo mejorar la interoperabilidad entre los distintos participantes del ecosistema.
- Cómo preparar las infraestructuras de autenticación para los pagos conversacionales y agénticos.
La iniciativa francesa de seguridad de pagos telefónicos ofrece un contexto relevante para avanzar en esta dirección.
Y los resultados de esta colaboración podrían ser aplicables más allá de Francia.
12. Conclusión: proteger al usuario no debería significar impedirle pagar de forma segura
El ecosistema de pagos está evolucionando hacia modelos cada vez más automatizados, conversacionales e integrados.
La inteligencia artificial transformará las relaciones comerciales.
Las passkeys facilitarán nuevas experiencias de autenticación.
EMV 3DS seguirá proporcionando capacidades esenciales para autenticar operaciones con tarjeta no presente.
Y Active Call Detection continuará siendo una herramienta útil frente al fraude telefónico.
Todas estas tecnologías comparten un objetivo: proteger al usuario.
El desafío consiste en conseguir que funcionen conjuntamente.
Hoy tenemos miles de millones de operaciones MOTO que pueden evolucionar hacia pagos telefónicos autenticados.
Mañana tendremos agentes de IA capaces de participar en procesos comerciales cada vez más complejos.
La oportunidad es conectar ambas realidades mediante una infraestructura de autenticación interoperable.
Y evitar que dos mecanismos antifraude terminen neutralizándose.
El debate no debería plantearse como una elección entre ACD y EMV 3DS 3RI.
Debería plantearse como una oportunidad para combinar sus capacidades y mejorar la seguridad del ecosistema.
Porque una política antifraude que impida indiscriminadamente operaciones legítimas puede generar costes y riesgos adicionales.
Y porque los comercios necesitan proteger sus operaciones, autenticar a sus clientes y beneficiarse, cuando corresponda, de las garantías y mecanismos de liability shift previstos por los esquemas de tarjetas.
No necesitamos menos prevención del fraude. Necesitamos una prevención del fraude más inteligente, contextual e interoperable.
El futuro no debería ser Voice Commerce sin seguridad.
Tampoco seguridad que impida el Voice Commerce.
El futuro debe ser Secure Voice Commerce.
Y debemos construirlo desde hoy.
Sobre Pay by Call
Pay by Call, S.L. es una empresa española especializada en tecnologías de pago telefónico seguro, certificada PCI DSS Nivel 1 y ENS Alta.
Su plataforma PBC PCIaaS permite proteger los datos de tarjeta mediante modalidades de pago asistido y autoservicio, con integración en infraestructuras de bancos, PSP y contact centers.
Con PBC 3DS (patent pending), la compañía impulsa la evolución desde los pagos MOTO tradicionales hacia pagos telefónicos autenticados (ATO), mediante la orquestación de autenticación EMV 3DS durante la llamada.
Pay by Call desarrolla su tecnología bajo un modelo agnóstico respecto a bancos, PSP y plataformas de comunicaciones.
PBC PCIaaS + PBC 3DS = ATO
José Chillerón
Co-Founder & Chief Strategy Officer
Fuentes y referencias
- BCE / Pay by Call. Mercado MOTO de España y la UE, 2024–2025.
- Federal Reserve. Federal Reserve Payments Study. Estadísticas sobre pagos no presenciales y operaciones con tarjeta.
- Banque de France / OSMP. Fraud Prevention Measures on Remote Card Payments Outside 3-D Secure — Recomendación n.º 5.
- EMVCo. Publicación de EMV 3DS versión 2.2.0, 14 de diciembre de 2018.
- EMVCo. Decoupled Authentication y operaciones 3RI.
- Visa. European EMV 3DS 2.2.0 Implementation Guide.
- Visa. 3-D Secure: autenticación y protección frente al fraude.
- Mastercard. Identity Check Program Guide. Referencia general de funcionamiento de autenticación y requisitos operativos; el alcance de liability shift TO=09 debe contrastarse con reglas vigentes.
- Wultra. Active Call Detection — Documentación técnica.
- Outseer. Active Call Detection y prevención del fraude.
- Visa. Visa Payment Passkey.
- Mastercard. Mastercard Payment Passkeys.
Nota metodológica: los datos MOTO de la UE y EE. UU. proceden de referencias estadísticas correspondientes a diferentes ejercicios. Las estimaciones para Reino Unido, Brasil y México son extrapolaciones de Pay by Call, no cifras oficiales. Los importes MOTO representan valor de pagos procesados (GMV); no deben compararse sin una metodología homogénea con estimaciones comerciales de Voice Commerce que empleen otra definición de mercado o una métrica de ingresos diferente.
© Pay by Call, S.L. · Noviembre de 2026