Circular 1/2006 emitida por el Banco de México - Bansefi

148.(2) a) Cuando se intente ingresar a los Medios Electrónicos, utilizando Contraseñas o Claves de Accesoincorrectas. En ningún caso los intentos de acceso fallidos podrán exceder de cinco ocasionesconsecutivas sin que se genere el bloqueo automático.(2) b) Cuando el Usuario se abstenga de realizar movimientos por depósitos o retiros o acceder a su cuenta,a través de Medios Electrónicos, por un periodo que determine cada Institución en sus políticas deoperación, de acuerdo con el servicio de que se trate y en función de los riesgos inherentes al mismo.(2) VI. Prever procedimientos para el reestablecimiento de Contraseñas o Claves de Acceso que aseguren que elUsuario correspondiente sea quien las reestablezca, de acuerdo a lo que el Medio Electrónico de que se tratepermita. Las Instituciones podrán hacer uso de preguntas secretas, siempre que las respuestas respectivassean almacenadas en forma Cifrada y que cada pregunta pueda ser utilizada en una sola ocasión para elreestablecimiento de sus Contraseñas.(2) VII. Evitar el acceso en forma simultánea, mediante la utilización de un mismo Identificador de Usuario, al sitio dela red electrónica mundial denominada Internet que corresponda al dominio de la Institución disponible para larealización de consultas, Operaciones Monetarias y cualquier otro tipo de transacción bancaria.(2) VIII. Realizar campañas de difusión de recomendaciones de seguridad para la realización de operaciones a travésde Medios Electrónicos.(2) Las Instituciones podrán aplicar, bajo su responsabilidad, medidas de prevención, tales como la suspensión de laprestación de los servicios o, en su caso, de la transacción que se pretenda realizar, de conformidad con lo pactadoen el contrato respectivo, en el evento de que tales Instituciones cuenten con elementos que hagan presumir que laContraseña o Clave de Acceso no está siendo utilizada por el Usuario.(2) Artículo 309.- Las Instituciones deberán almacenar en forma Cifrada las Contraseñas o Claves de Acceso.(2) Dichas Instituciones tendrán prohibido solicitar a los Usuarios, a través de sus funcionarios, empleados o terceros,sus Contraseñas o Claves de Acceso, así como contar con procedimientos o mecanismos que les permitan conocerlos valores de dichas Contraseñas o Claves de Acceso. Las citadas Instituciones deberán llevar a cabo revisionesperiódicas a fin de verificar que en los Medios Electrónicos no se cuenten con herramientas o procedimientos quepermitan conocer dichos valores.(2) Artículo 310.- El acceso a las bases de datos y archivos de las Instituciones, correspondientes a las operacionesbancarias y servicios proporcionados a través de Medios Electrónicos exclusivamente estará permitido a laspersonas expresamente autorizadas por la Institución. Al otorgarse los accesos de referencia, deberá dejarseconstancia de dicha circunstancia y señalarse los propósitos y el periodo al que se limitan los accesos.(2) La obtención de información a que se refiere el párrafo anterior, sin contar con la autorización correspondiente, obien, el uso indebido de dicha información, será sancionada en términos de lo previsto en la Ley, inclusive tratándosede terceros contratados al amparo de lo establecido en el Artículo 46 Bis de dicho ordenamiento legal.(2)Artículo 311.- Las Instituciones deberán establecer los controles que a continuación se mencionan para larealización de Operaciones Monetarias que se pretendan efectuar a través de la red electrónica mundial denominadaInternet o por teléfono, o bien, para la actualización de información que la propia Institución considere sensible:(2) I. Solicitar, en forma adicional al uso del Identificador de Usuario y su respectiva Contraseña o Clave de Acceso,un segundo factor de Autenticación que contenga información dinámica. Para tal efecto, podrán utilizarsegeneradores de Claves de Acceso de un solo uso o tablas aleatorias de Contraseñas. En el caso de tablasaleatorias de Contraseñas será necesario que dichas tablas mantengan propiedades similares a las degeneradores de Contraseñas de un solo uso, atendiendo al servicio correspondiente y a los riesgos inherentesal mismo.(2) II. Registrar previamente las cuentas destino, mismas que deberán quedar habilitadas después de un periododeterminado por la propia Institución, de acuerdo al servicio de que se trate y en función de los riesgosinherentes al mismo. Las Instituciones deberán informar al cliente el plazo máximo en que quedaránhabilitadas dichas cuentas. Para el registro de las cuentas destino, las Instituciones deberán solicitar alUsuario que se autentique nuevamente con el segundo factor de Autenticación, en los términos de la fracciónanterior.(2) III. Validar, con base en la información disponible para la Institución, la estructura del número de la cuenta destinoo del contrato, sea que se trate de cuentas para depósito, pago de servicios, clave bancaria estandarizada,tarjetas de crédito u otros medios de pago.