I. Introducción

El sector financiero y bancario alrededor del mundo ha modificado sus procesos de negocio en los últimos años al transformar sus procesos a medios electrónicos, lo que ha permitido contar con mayor control de sus operaciones, incrementar el seguimiento transaccional y fortalecer la seguridad informática.

De otra parte, los usuarios de productos financieros cada vez acceden a información y recursos desde sus teléfonos móviles conectados a internet, lo que ha convertido a este canal en uno de los favoritos para brindar servicios financieros de calidad a la población, facilitando la creación de nuevos métodos de transferencias y pagos. Por tanto, se ha generado un lazo natural entre la forma de intercambiar dinero y los sistemas de pago. El dinero, así como el control de los activos financieros se efectúan con registros digitales almacenados en bases de datos. Los sistemas de pago de manera correspondiente se pueden usar a través de medios computarizados, en los cuales se compensan los saldos entre las cuentas de la persona que paga y recibe el dinero, haciendo que los medios tecnológicos se usen para hacer el registro del saldo y la transacción entre bancos o entidades financieras ^[1].

Es importante considerar que muchas de las transacciones financieras por internet requieren de las tarjetas de crédito para su operación, restringiendo el acceso, solo a quienes disponen de este medio de pago. Una alternativa es la realización de transferencias electrónicas. Sin embargo, estas presentan costos altos en su ejecución que se trasladan al usuario final, haciéndolo poco atractivo y generando reducido interés en la adquisición de servicios y artículos de precios bajos ^[2]. Los mecanismos de pago diseñados recientemente, han estado basados en el desarrollo de nuevas tecnologías, permitiendo un mayor nivel de acceso a un grupo amplio de usuarios ^[1].

La iniciativa de crear un sistema de transferencias electrónicas inmediatas de bajos montos, propone el desarrollo de un nuevo servicio para la realización de transferencias de dinero inmediatas, interbancarias a realizarse entre personas, con la característica de que, para realizar la transacción, solo se debe conocer el número de teléfono celular del contacto al que se le envía el dinero. Con el fin de entregar a usuarios finales este servicio, se diseñó un sistema para la operación de transferencias inmediatas que debía ser altamente parametrizable, escalable, interoperable, flexible y seguro, sustentado a través del desarrollo de una plataforma informática robusta que permitiera la incorporación de las últimas tecnologías de adopción de nube con principios de arquitectura de blockchain con el fin de mejorar la experiencia de los usuarios finales, reduciendo el uso de efectivo en transferencias de bajo monto y minimizando los riesgos inherentes de fraude y de operación.

Como aspectos importantes de la implementación de este servicio, se destaca que la operación informática operará bajo Blockchain (Cadena de Bloques) para un manejo seguro de las transferencias, donde los registros de la cadena de bloques están enlazados, firmados y cifrados para proteger la seguridad y privacidad de las mismas. Para esto se realizaron procesos de diseño y desarrollo con otras empresas experimentadas en el uso esta tecnología, junto con el equipo de ingeniería de ACH Colombia. Se desarrolló una solución robusta, parametrizable, escalable, interoperable, flexible y confiable que sirvió de base para que las entidades financieras se unieran a esta iniciativa y desarrollaran los medios necesarios dentro de sus plataformas bancarias para integrar este servicio.

Esta propuesta se desarrolló por fases que incluyeron la definición y desarrollo de productos y software basados en metodologías como Design Sprint, Lean User Experience, Mínimo Producto Viable, workshops, el cual fue construido bajo métodos de desarrollo de software ágil, como: Scrum, y Kanban con la realización de un piloto controlado con un conjunto de entidades financieras en Colombia que decidieron ser pioneras en adoptar este servicio y al desarrollo de pruebas de los sistemas de información diseñados e integrados, identificando el estado de las variables críticas del proceso y su adecuado funcionamiento para el lanzamiento del servicio al público. Esta fase de prueba piloto y pruebas finales permitió desarrollar una solución ajustada, confiable y segura, definida para los requerimientos de los clientes de las entidades financieras colombianas, integrando los aportes de varios actores para crear la solución final que actualmente opera en el sector financiero colombiano con un ecosistema para finales del año 2021 de catorce entidades financieras.

II. Conceptos y marco teórico

Las entidades que prestan servicios financieros continúan desarrollando mecanismos de pago, como alternativa al uso de efectivo. Particularmente, billeteras y sistemas de pago móviles se han convertido en herramientas de uso recurrente, particularmente en países en desarrollo, en los cuales se satisface la demanda de servicios bancarios básicos, pagos y transferencia de dinero ^[3]. A pesar de estas medidas, se identificó a través de búsquedas en diferentes lugares (Austria, Canadá, Francia, Alemania y EE. UU.), que cuando los usuarios del dinero pagan en efectivo, estos cuentan con suficiente liquidez inmediata para realizar la transacción, ya que persiste la percepción del menor costo del efectivo, con respecto al uso de otros medios de pago ^[4]. Adicionalmente, se observó que los pagos en efectivo son preferidos en transacciones de bajo monto sobre otros medios de pago. Se ha observado un notable incremento en el número de usuarios de nuevos medios de pago móviles, para la realización de pagos de persona a persona, adquisiciones directamente en tiendas o a través de aplicaciones y comercio en línea. Sin embargo, una investigación dedicada a reconocer barreras potenciales para el uso de este tipo de mecanismos de pago, identificó riesgos percibidos de seguridad y privacidad, así como de dependencia de un teléfono celular; de la misma manera, pudo establecer dificultades por parte de los usuarios, por cuanto se tiene una alta desintegración de las opciones de pago móvil dificultando su uso. Por otro lado, la falta de entendimiento de los consumidores sobre la funcionalidad, aunado a los viejos hábitos, la imagen, los posibles riesgos inherentes a los proveedores de servicios de internet y la necesidad de aprobación social extendida, dificultan la apropiación de los nuevos mecanismos de pago ^[5].

En la literatura se ha identificado que, a pesar de los diferentes medios de pago disponibles actualmente, los consumidores que desean tener control de la liquidez a su disposición o que presentan costos elevados en intercambios electrónicos, retiran dinero con baja frecuencia y usan alto volumen de efectivo para sus pagos, manteniendo bajos niveles de saldo en sus cuentas bancarias ^[6]. Por tanto, para muchos usuarios las tarjetas débito, así como el efectivo se consideran medios ventajosos para el control del presupuesto que queda disponible. Sin embargo, también lograron establecer que existen diferencias en la percepción que puede forjarse en épocas de crisis económicas o de acuerdo con el grado de vulnerabilidad de los consumidores ^[7]. De otra parte, se ha identificado que en las crisis económicas existe poca probabilidad de lograr una sustitución de tarjetas débito u otros medios de pago con respecto al efectivo, debido a la creencia de controlar de mejor manera las finanzas día a día, en momentos en que la situación financiera de los consumidores se haya deteriorado. En segmentos de la población, que tiene bajos ingresos o dificultades económicas, se emplea el efectivo en mayor proporción, como medio de control de presupuesto. Por lo tanto, concluyen los autores que los usuarios utilizan la herramienta que perciban más efectiva para rastrear gastos y controlar su presupuesto ^[7].

Las entidades financieras se han propuesto mejorar sus plataformas de pago estandarizando en una única plataforma la realización de pagos, solución que se convertiría en herramienta estratégica para el sector bancario, siendo desarrollada por un proveedor externo, que sea óptima y rentable, en comparación con una desarrollada individualmente para cada banco. Las características que podría tener dicha herramienta serían: un canal que fuera desarrollado alrededor de un único modelo transaccional con alto grado de validación, y que haga posible su integración en tiempo real, con sistemas disponibles en el cliente, sistemas informáticos de los negocios o el gobierno. De esta manera se busca que la operabilidad permita la interacción entre diferentes sistemas de pago existentes, con periodos de servicio simultáneos y un proceso de migración planeado entre sistemas ^[8].

En mercados emergentes, se ha identificado el incremento en el uso de plataformas de pago móvil, por cuanto tienen facilidad de acceso en lugares donde otros medios de pago no llegan fácilmente, menores costos asociados con la prestación del servicio, permitiendo que actores que no se encuentran bancarizados, sean incluidos en los servicios bancarios o financieros, que se prestan a través de este canal ^[9]. Adicionalmente, se ha identificado en este mismo tipo de mercados, que los sistemas de pago móvil se presentan mayores niveles de innovación, amplia diversidad de servicio y mayores tasas de adopción, con respecto a las que se pueden encontrarán en países desarrollados. En casos de estudio como en Nigeria, se pudo establecer que el desarrollo de tecnología se centraba en el paso inicial para el proceso de institucionalizar medios de pago móvil. Sin embargo, los investigadores indican que es necesario que existan diferentes socios comerciales, que estén dispuestos a adoptar la tecnología para lograr su avance en la comunidad, indicando como conclusión, que la innovación requiere tanto desarrollo de tecnología como interacción social para generar un impacto ^[9].

En cuanto a las nuevas tendencias en monedas digitales para realizar pagos, a diferencia de las criptomonedas descentralizadas que se sustentan en Blockchain, las monedas puramente digitales reguladas por un banco central son una opción para la nueva generación de sistemas de pago basadas en Blockchain, por tanto, la investigación y desarrollo está en curso en entidades como el fondo monetario internacional y varios bancos centrales de países con grandes economías. Por tanto, aún hay que superar varias barreras para la adopción de Blockchain en el diseño de monedas digitales, en aspectos como la seguridad, los problemas de escalabilidad y la interacción con medios tradicionales. Existen muchos casos en la literatura sobre prototipos de este tipo de monedas digitales como E-Krona en Suecia, Khokha por el banco de la reserva de Sur África, LionRock en Hong Kong entre otros ^[10].

III. Materiales y métodos

B. Arquitectura informática y Tecnologías Implementadas

Este modelo híbrido opera bajo servicios de aplicación en la nube y ¨On premise¨ (Aplicaciones locales - componentes ubicados en datacenter como el motor de Prevención Fraude y componentes de integración de las entidades financieras). Se realizó una integración entre cada entidad financiera y el nuevo sistema de transferencias inmediatas (Ver Fig 2), para la cual se contó con capa de API´s de integración para entidades financieras y capa de control de cuentas contables que comparten las entidades financieras e implementa ACH Colombia como una cuenta contable para el sector financiero.

Fig. 1 Ejemplo de procesamiento de pagos estandarizado [8]. 

Capa de persistencia de transferencias inmediatas basada en Blockchain para asegurar la inmutabilidad, identidad y seguridad de los mensajes de punta a punta, al igual que modelos no relacionales de persistencia que complementan el modelo para asegurar la completitud e integridad de los mensajes de las Transferencias en JSON basados en ISO 2022. En este caso, el uso de tecnología Blockchain se utilizó para el manejo de las transferencias, en las cuales, los registros de la cadena de bloques están enlazados, firmados y cifrados para proteger la privacidad de cada una de las operaciones de transferencias. Finalmente, se cuenta con una capa del tablero de control (dashboard) para todo el proceso relacionado con el servicio tales como, el monitoreo de la operación, el manejo de credenciales y métodos de autenticación, administración de los usuarios, entre otros.

Fig. 2 Esquema de Integración. 

El canal de comunicación utilizado para el proceso es internet por https utilizando certificados digitales. El intercambio de datos vía JSON, con mensajes que son enviados en ese formato. La mensajería es firmada con llaves asimétricas y cifrado por de cada entidad financiera antes de ser enviado al Cloud. La integración entre las aplicaciones se realizará vía APIS Rest.

Las Entidades Financieras implementaron durante el proyecto, junto al equipo de ACH Colombia distintos servicios de aplicación, como se describe a continuación.

• API de integración para consumir los servicios de transferencias inmediatas de acuerdo con las especificaciones técnicas OAUTH 2.0 estándares abiertos de autenticación y autorización para el consumo de servicios basados en API’s.

• Generación de la mensajería JSON para el envío de la trasferencia al Cloud (nube) de transferencias inmediatas.Cifrado y firma de la mensajería según la especificación técnica.

• Exponer los servicios de acreditar y debitar en línea para las transferencias habituales.

• Generar token OATH 2.0 para asegurar la identidad y la autorización para el consumo de las API’s en el Cloud para el envío de las Transferencias inmediatas entre las entidades financieras inmediatas.

• Experiencia de usuario para los canales dispuestos por las entidades financieras en el cual se implementó el servicio, que se ajuste con el flujo transaccional de los diferentes tipos de transferencias: primera transferencia, transferencia habitual y solicitar transferencia.

• Se implementaron los componentes en los canales digitales dispuestos por cada entidad financiera para perfilar el dispositivo desde el cual el usuario está realizando las transferencias para efectuar el análisis por el motor de prevención de fraude.

C. Seguridad de la Información

ACH Colombia definió procesos integrales de seguridad de la información sobre el servicio de transferencias inmediatas basado en el análisis por capas como se observa en la ilustración a continuación.

Fig. 3 Modelo Integral de Seguridad del Servicio Transferencias Inmediatas. 

Acceso: En la primera capa de acceso al servicio de transferencias inmediatas se cuenta con un proceso de generación de llaves “API KEY”, la cual es una llave de acceso de la entidad financiera que identifica a la misma en su proceso de creación inicial. Gracias a este mecanismo, se habilita el acceso al uso de los servicios del API, en este proceso se realizan las validaciones de seguridad, entre otras las autorizaciones necesarias de acuerdo con el flujo diseñado.

Autenticación: en esta capa se utilizaron protocolos y estándares de acceso mediante la utilización de token. Para el caso del servicio de transferencias inmediatas se implementó el estándar OAuth 2.0 para la generación de token; esto permitió que cuando se estableciera una sesión de acceso, no viajaran contraseñas o usuarios. Gracias a este estándar se ofrecen altos niveles, protocolos y mecanismos fuertes de seguridad, el cual nos permite garantizar la confidencialidad, integridad, disponibilidad y no repudio de la información.

Mensaje: sobre la data que viaja se aplican controles de seguridad que permiten generar confidencialidad, integridad y no repudio de la información. En esta capa se aplican controles de cifrado, de firma, y de integridad mediante los estándares utilizando el algoritmo de curva elíptica ed25519, las cuales son necesarias para la generación de las address y las hashes SHA 256 y ripemd160.dsad.

Transporte: sobre esta capa se aplican controles seguridad mediante la utilización de protocolo de transporte https (Hypertext Transport Protocol Secure) a través del uso de certificados de sitio y el protocolo TLS (Transport Layer Security). La utilización de estos mecanismos permite garantizar la identificación de punto final que se esté llamando o que el sitio al cual se le esté realizando una solicitud, efectivamente sea el dispuesto para tal fin, garantizando que, en medio de la comunicación, la información viaje por un canal seguro, así como la alta confidencialidad de la misma.

Api Gateway: sobre esta capa se implementó una solución que permite contar con servicios como orquestación, seguridad de autenticación, seguridad sobre el transporte de la información, prevención de ataques de denegación de servicios, monitoreo y aplicación de políticas de seguridad adicionales que ayudan a mantener un nivel más alto sobre la API. Esta capa de seguridad previene de manera significativa el ataque directo sobre la infraestructura que se expone.

Escalabilidad: gracias a la implementación del servicio basado en nube, es posible generar un balance de tráfico, en el instante en que se generen niveles altos de consumo transaccional y una asignación de recursos de infraestructura de manera dinámica en los picos altos de procesamientos; estas funcionalidades permiten que el nivel de disponibilidad del servicio sea alto y eficiente.

Almacenamiento: sobre esta capa se aplican controles de cifrado tanto para tránsito como en reposo, usando protocolos como el KMS (Cloud Key Management Service) de Google, que es un gestor de llaves criptográficas para el cifrado de los datos que llegan a la nube. En este proceso se realiza una fragmentación de los datos y cada fragmento se cifrará con llaves de cifrado de manera dinámica; al reposar en la infraestructura física, nuevamente se genera un procedimiento de cifrado. Este proceso se realiza mediante el protocolo de cifrado AES 256 garantizando niveles altos de confidencialidad de la información sobre la nube.

Monitoreo sobre cambios a nivel de base de datos DAM, se realizó la integración con sistemas de seguridad que permitan la identificación rápida sobre los cambios que se realicen a nivel de capa de base de datos, esto permite monitorear comportamientos inusuales o que puedan derivar en la afectación del servicio. Esto se realiza para generar acciones de contención inmediatas para garantizar la disponibilidad de los servicios, por tanto, esta fuente de información estará en correlación con el SOC.

El proyecto incluyo también actividades de Ethical Hacking (EH) aplicadas al servicio de transferencias inmediatas, el cual cuenta con pruebas periódicas de EH con el fin de remediar y conocer el estado de la infraestructura y generar gestión y remediación sobre las posibles vulnerabilidades que se puedan encontrar.

Se aplicó procesos de análisis de código a los entregables y desarrollos internos y de proveedores aplicados a la plataforma lo que facilitó a ACH Colombia su integración con el servicio de transferencias inmediatas. El código fue revisado tanto por análisis dinámico como estático, con el fin de contar con un nivel fuerte de seguridad y generar confianza ante las entidades de todo el ecosistema que hace parte del servicio de transferencias inmediatas.

IV. Resultados

El servicio de transferencias inmediatas se encuentra operando en el mercado colombiano con la marca. En una primera etapa, se aseguró la construcción del servicio en conjunto con las entidades financieras en su versión de mínimo producto viable (MPV). Adicionalmente, se desarrolló e implementó la herramienta de monitoreo transaccional y análisis de prevención del fraude para el servicio de transferencias inmediatas garantizando la conexión al motor de fraude implementado en ACH Colombia para este y otros servicios. También se ejecutó el aseguramiento del desarrollo del servicio en el ambiente de pruebas y de certificación con el fin de garantizar la calidad de todos los componentes a nivel de arquitectura, técnico, operativo y de seguridad de la información.

El desarrollo del servicio de Transferencias Inmediatas, denominado Transfiya, facilitó el proceso de digitalización de pagos. Dos ejemplos específicos, se mencionan a continuación.

En el marco de los procesos de restricciones decretados por el Gobierno Nacional durante el año 2020, a través de Transfiya, se logró la entrega de subsidios con alianza con otro operador no bancario, logrando entregar a los beneficiarios más de 75.000 subsidios, en su mayoría usuarios no bancarizados.

Se activó un piloto con algunos tenderos (personas naturales) de Bogotá, quienes pudieron recibir transacciones sin contacto y sin costo, incrementando la gama de opciones de pago para sus clientes durante el confinamiento del año 2020. Durante este piloto fue posible validar la opción de transferencias, sin requerir el ingreso al canal de la entidad financiera para aceptar la transacción, permitiendo identificar un nuevo caso de uso para activar Transfiya P2P.

A la fecha del cierre del proyecto, el servicio había alcanzado la consolidación de un ecosistema de 14 entidades financieras en Colombia a corte de diciembre de 2021. Se cerró el año 2021 con más de 6.9 Millones de transacciones procesadas por más de $780 Mil Millones. Un resumen de la evolución en del producto, al servicio del ecosistema de pagos, se encuentra en la Tabla I.

B. Seguridad Informática

El desarrollo de la capa de Core de transferencias inmediatas está basado en tecnología Blockchain, en la cual se aseguran los atributos de integridad de la información de las transferencias, la inmutabilidad de la información y la seguridad en cada una de las transferencias, lo cual permitió la integralidad de las transferencias dentro del Blockchain, asegurado a través de los códigos Hash, el cumplimiento de cada transacción para incluirlo en la cadena de bloques y garantizando que ninguno de los bloques de transacciones se pueda alterar, sin tener que alterar toda la cadena de bloques de las transacciones.

Durante los procesos de implementación con cada entidad financiera se definió y ejecutó el fortalecimiento de los métodos de autenticación frente al consumo de Apis del servicio, dejando como definición para el ecosistema contar con el mínimo requerido de autenticación con el fin de robustecer los controles para el acceso a la plataforma del servicio y cumplir con los nuevos lineamientos de seguridad.

En la Fig. 4 se presentan los componentes de seguridad en las dos vías de comunicación:

1. Capas de seguridad en la comunicación de las entidades financieras al cloud.

• Protocolo Seguro HTTPS

• Certificados en TLS

• API Key Token que identifica a cada identidad.

• OAUTH 2.0 Token autenticación y acceso.

• Blockchain criptografía asimétrica, cadena de mensajes.

2. Capas de seguridad en la comunicación del cloud a las entidades financieras

• Protocolo Seguro HTTPS

• Certificados en TLS

• 3.API Key Token que identifica a cada identidad.

• 4. OAUTH 2.0 Token autenticación y acceso.

• 5.Certificados en MTLS (mutual TLS)

Fig. 4 Diagrama de arquitectura de los componentes de la plataforma. 

Se habilitó el Datawarehouse del servicio Transfiya el cual permitió consolidar las diferentes fuentes de información de este; como actividad habilitadora para la herramienta de inteligencia de negocios de ACH Colombia con el objeto de fortalecer los mecanismos de análisis del comportamiento transaccional.

De igual forma, el servicio se continuará iterando con el fin de seguir trabajando en nuevas funcionalidades y seguir robusteciendo la plataforma para el uso de este.

V. Conclusiones

Esta iniciativa representa una importante oportunidad de crecimiento para el ecosistema financiero colombiano, promoviendo así la inclusión financiera en sectores de la población con baja bancarización, alineado a las nuevas tendencias para la disminución de efectivo de acuerdo con las metas establecidas por el gobierno nacional colombiano en su Plan Nacional de Desarrollo 2014-2018 en su apartado de “Profundizar el financiamiento y la formalización empresarial” y promovidas por entidades internacionales como la del gobierno estadounidense USAID (Agencia de los Estados Unidos para el Desarrollo Internacional) con su Programa de Finanzas Rurales, a través del cual el proyecto recibió apoyo.

Se logró impactos significativos en el sector financiero colombiano al aportar una nueva herramienta para avanzar en servicios financieros ágiles que optimizaron los procesos transaccionales y que permitieron una mayor inclusión de la economía a los servicios financieros.

ACH COLOMBIA aportó en el marco de las restricciones del año 2020, una manera fácil, ágil y segura de hacer transacciones interbancarias usando tan solo el número de celular. La aplicación del servicio no se limitó al desarrollo del proyecto original persona a persona, sino que permitió realizar pruebas prestando servicios tanto a entidades financieras como del estado colombiano, así como en procesos de comercialización persona a persona, durante las restricciones decretadas en el año 2020, facilitando la identificación de nuevos casos de uso para la aplicación.

Este proyecto ha servido de base para nuevos proyectos e investigaciones en el mercado Fintech colombiano, por tanto, se espera que continúe evolucionando el servicio a transferencias inmediatas de mayor cuantía, diversificando los medios de pago disponibles, introduciendo nuevas metodologías de pago y fomentando el comercio local. Todo esto redundará en un mayor nivel de inclusión financiera en el país, en la cual la mayoría de la población económicamente activa tenga acceso a productos financieros activos y funcionando permanentemente.

A raíz de la implementación a nivel comercial del servicio, se espera a lo largo del país incremente el acceso a los servicios financieros, como impacto positivo del acceso a sistemas de transferencias inmediatas. En el caso de la población rural (cuyos niveles de penetración en el sistema financiero nacional se han identificado como bajos) se espera que sea incluida en el sistema financiero y modernice los mecanismos de recepción de dinero y de medios de pago con los que comercializa sus productos derivados del agro.