Artículo 72

(2) Artículo 72.- Las instituciones de financiamiento colectivo deberán utilizar Factores de Autenticación para verificar la identidad de sus Clientes y la facultad de estos para realizar Operaciones a través del Medio Electrónico de que se trate. Dichos Factores de Autenticación, deberán de cualquiera de los siguientes:

1. (2)I.

   Información como Contraseñas y Números de Identificación Personal (NIP), que las instituciones de financiamiento colectivo proporcionen al Cliente o permiten a este generar y que solamente este último conozca para ingresar a la Plataforma e iniciar la Sesión de que se trate y que deberá tener las características siguientes:

2. (2)a)

   Su longitud deberá ser de al menos seis caracteres e incluir caracteres alfanuméricos y especiales, cuando el Dispositivo de Acceso lo permita.

3. (2)b)

   En ningún caso se podrán utilizar como tales, la información siguiente:

4. (2)i.

   El Identificador de Cliente.

5. (2)ii.

   El nombre de la institución de financiamiento colectivo.

6. (2)iii.

   Más de tres caracteres idénticos en forma consecutiva.

7. (2)iv.

   Más de tres caracteres numéricos y alfabéticos en forma secuencial.

(2) Las instituciones de financiamiento colectivo permitirán al Cliente cambiar sus Contraseñas, Números de Identificación Personal (NIP) y otra información de Autenticación estática, cuando este último así lo requiera, en los términos previstos en las presentes disposiciones.

(2) Tratándose de Contraseñas definidas o generadas por las instituciones de financiamiento colectivo durante restablecimiento de estas, las propias instituciones deberán prever mecanismos y procedimientos por medio de los cuales el Cliente deba modificarlos inmediatamente después de iniciar la Sesión correspondiente y previo a la realización de cualquier Operación, validando que las Contraseñas sean diferentes a las definidas por las propias instituciones de financiamiento colectivo.

1. (2)II.

   Información contenida, recibida o generada por medios o dispositivos electrónicos que solo posee el Cliente, incluida la obtenida o recibida por dispositivos o aplicativos generadores de Contraseñas dinámicas de un solo uso (OTP, one time password por sus siglas en inglés), dichos medios o dispositivos deberán ser proporcionados o validados y registrados por las instituciones de financiamiento colectivo para sus Clientes y la información contenida o generada por ellos podrá ser proporcionada, entre otros formatos, en códigos de respuesta

rápida (QR, quick response por sus siglas en inglés). En todo caso, se cumplirá con las características siguientes:

1. (2)a)

   Contar con propiedades que impidan su duplicación o alteración.

2. (2)b)

   Ser información dinámica que no podrá ser utilizada en más de una ocasión.

3. (2)c)

   Tener una vigencia que no podrá exceder de dos minutos.

4. (2)d)

   No ser conocida con anterioridad a su generación y a su uso por los funcionarios, empleados, representantes de la institución de financiamiento colectivo o por terceros.

(2) Las instituciones de financiamiento colectivo podrán proporcionar a sus Clientes medios o dispositivos que generen Contraseñas dinámicas de un solo uso, las cuales utilicen información de la Cuenta Destino, mediante la captura de datos, de manera que dicha Contraseña únicamente pueda ser utilizada para la Operación solicitada. En este caso, no será aplicable lo dispuesto en el inciso c) de la presente fracción.

1. (2)III.

   Información derivada de características físicas, tales como huellas dactilares, geometría de la mano, patrones en iris o retina y reconocimiento facial. Para el uso de esta información se deberá contar con la previa autorización de la CNBV.

(2) Las instituciones de financiamiento colectivo que utilicen esta información como Factor de Autenticación, deberán asegurarse de que los datos biométricos de sus empleados, directivos o funcionarios no sean utilizados en sustitución de los del Cliente.