ING obliga instalar su App para operar vía online con sus cuentas

ING cierra la web sin app: la PSD2 no obliga a instalar nada​

Instalar la aplicación o quedarse fuera. Ese es el ultimátum que ING ha trasladado a una parte de sus clientes para operar por internet desde septiembre, sin día concreto confirmado. Sin app no hay web: las alternativas que ofrece el banco son llamar por teléfono o acudir a una oficina. El argumento es la PSD2, la directiva europea de pagos. El problema es que la PSD2 no menciona ninguna aplicación.

La medida llega envuelta en un lenguaje de obligación normativa que no se sostiene. Y ahí arranca la fricción: entre quienes ven en el cambio una imposición comercial disfrazada de ley y quienes consideran el SMS un coladero que había que cerrar ayer mismo.

¿Obliga la PSD2 a instalar la aplicación del banco?​

No. La directiva europea de servicios de pago impone la autenticación reforzada del cliente: dos factores independientes para confirmar las operaciones. Eso es todo. La norma exige que la validación no dependa de un único elemento, pero en ningún artículo obliga a que ese segundo factor sea una aplicación propietaria de la entidad.

Varios bancos han resuelto el trámite por la vía barata: un código de un solo uso enviado por SMS. El Banco Santander combina la clave habitual con ese mensaje; BBVA hace lo mismo, y también Openbank. La conclusión que se repite es incómoda para ING: la obligación es la doble validación, no la app. Quien quiera usarla, que la use. Otra cosa es venderla como la única salida.

Los permisos que exige la aplicación​

Aquí está el segundo frente. La app solicita en la Play Store una lista de permisos que va bastante más allá de lo que la función requiere: estado e identidad del teléfono, ubicación precisa (GPS y red), ubicación aproximada, lectura del almacenamiento USB, contactos, cámara y micrófono. Para validar una transferencia, la cámara no hace ninguna falta, salvo que se justifique por la lectura del DNI.

Hay quien va más lejos y sostiene que la aplicación solo funciona en dispositivos bajo control del fabricante: ni móviles con root ni con ROM personalizadas. Es decir, el banco decide qué teléfono es apto. Y no es una decisión menor cuando el acceso a la cuenta depende de ese único aparato.

SMS contra aplicación: qué es más vulnerable​

El SMS tiene mala fama técnica y razón le sobra. Un mensaje de texto viaja en claro y es interceptable por media docena de métodos, empezando por cualquier aplicación instalada con permiso para leer y enviar mensajes. Un código de un solo uso, limitado en el tiempo, es una barrera; no es un muro.

El contraataque de los defensores de la app es exactamente ese: que el sistema de mensajes cortos no tiene arreglo, mientras la validación dentro de la aplicación sí. La discusión se queda sin resolver en un punto: los golpes documentados contra la doble validación por SMS han sido ataques muy dirigidos, no barridos masivos. Nadie ha puesto encima de la mesa un compromiso a gran escala.

Y hay un detalle que suele olvidarse: al concentrar toda la seguridad en el móvil, el cliente que pierde o al que le roban el teléfono pierde el control de la cuenta. Antes había tarjeta de coordenadas, DNI y contraseña repartidos en soportes distintos. Ahora hay un único punto de fallo.

Qué alternativas quedan para no instalar la app​

Realmente, tres. La banca telefónica, la oficina física y, para los más mañosos, un emulador de Android en el ordenador: instalar BlueStacks o similar y ejecutar la aplicación dentro del PC, evitando el teléfono. Un apaño, no una solución elegante.

La cuarta opción, la que empieza a circular con fuerza, es cambiar de banco. Los perfiles que más rechazo muestran son precisamente los que nunca han querido instalar nada. Cuando el precio de operar online es entregar los permisos del móvil, la cuenta corriente empieza a mirarse con otros ojos. También hay quien recuerda que no todo el mundo tiene un smartphone en condiciones: hay terminales antiguos y saturados que se quedan fuera del reparto.

En qué punto está el acceso a finales de septiembre​

La situación, a la fecha de los últimos mensajes, no es la que anunciaba el aviso inicial. El 23 de septiembre muchas cuentas seguían entrando con normalidad por la web, sin app instalada. El 27, se completaban transferencias por los cauces de siempre. Y la validación móvil aparecía ya descrita como opcional para titulares de cuenta nómina, mientras el resto seguía sin ella.

Hubo, eso sí, un día de cortes intermitentes: la web rebotaba al cliente tras introducir las claves, enviaba el código y no dejaba continuar, mientras el acceso móvil funcionaba. Al día siguiente, todo volvió a la normalidad sin explicación oficial.

Con este panorama, forzar la app a toda la base de clientes antes de que acabe el año parece difícil. Que el próximo aviso llegue con otro envoltorio normativo, bastante probable.