Si tienes cierta edad bancaria, seguro que recuerdas la tarjeta de coordenadas: aquel pequeño rectángulo de plástico lleno de números y letras que había que guardar «en un sitio seguro» para poder hacer transferencias por internet. Hoy prácticamente ha desaparecido, sustituida por códigos SMS y notificaciones en la app del banco. En este artículo repasamos por qué ocurrió este cambio, qué sistema es realmente más seguro, y cómo protegerte mejor en la banca online de 2026.
¿Qué era la tarjeta de coordenadas y por qué desapareció?
La tarjeta de coordenadas era un sistema de autenticación adicional al PIN, con una cuadrícula de números y letras impresos. Cuando ibas a confirmar una operación (una transferencia, un pago online), el banco te pedía introducir la combinación situada en una posición concreta de esa cuadrícula, como prueba de que tenías el «plástico» físico en tu poder.
El cambio llegó con la entrada en vigor de la Directiva Europea de Servicios de Pago (PSD2), en septiembre de 2019. Esta normativa introdujo un requisito conocido como Autenticación Reforzada del Cliente (SCA, por sus siglas en inglés), que exige combinar al menos dos de tres factores de seguridad distintos para autorizar cualquier operación sensible:
- Algo que sabes: una contraseña o PIN.
- Algo que tienes: tu móvil, una tarjeta física o un token de seguridad.
- Algo que eres: tu huella dactilar o reconocimiento facial (biometría).
El problema de la tarjeta de coordenadas es que la Autoridad Bancaria Europea (ABE) no la reconoció como un elemento de seguridad válido dentro de este nuevo marco, principalmente porque los códigos impresos son estáticos: si alguien consigue una copia o una foto de tu tarjeta de coordenadas, puede usarla indefinidamente, a diferencia de un código de un solo uso generado dinámicamente. Por este motivo, entidades como CaixaBank, ING, Sabadell o Kutxabank retiraron progresivamente sus tarjetas de coordenadas, sustituyéndolas por sistemas de un solo uso.
Cómo funcionan los sistemas que la sustituyeron
Código SMS
Es el sistema que adoptaron mayoritariamente bancos como Santander, Bankia (hoy integrada en CaixaBank), Bankinter o BBVA: al confirmar una operación, el banco te envía un código numérico de un solo uso a tu teléfono móvil, válido durante unos minutos, que debes introducir para completar la transacción.
Notificación push en la app del banco
Adoptada, entre otros, por Abanca, CaixaBank o Cajamar (algunas entidades ofrecen ambas opciones a elegir), consiste en recibir una notificación directamente en la aplicación oficial del banco, donde simplemente debes aprobar o rechazar la operación con un toque, sin necesidad de introducir ningún código.
Autenticación biométrica
Cada vez más extendida, especialmente en neobancos y aplicaciones bancarias modernas, permite confirmar operaciones mediante huella dactilar o reconocimiento facial directamente desde el móvil, combinando comodidad y seguridad.
¿Cuál es más segura: SMS o notificación en la app?
Aquí es donde conviene matizar, porque no todos los sistemas ofrecen el mismo nivel de protección real:
- El código SMS es el sistema menos intrusivo, pero también el más vulnerable de los dos. Existen técnicas de fraude, como el SIM swapping (duplicado fraudulento de tu tarjeta SIM) o el smishing (SMS fraudulentos que suplantan a tu banco para robar tus códigos), diseñadas específicamente para interceptar estos mensajes.
- La notificación en la app es considerada más segura, ya que no depende de la red telefónica ni puede interceptarse mediante un duplicado de SIM. Sin embargo, ha resultado ser el sistema menos popular entre los usuarios, precisamente porque obliga a tener la aplicación del banco instalada y actualizada en el móvil en todo momento.
En definitiva, si tu banco te ofrece elegir entre ambos sistemas, la notificación en la app resulta, desde un punto de vista puramente técnico, más robusta frente a determinados tipos de fraude que el código SMS tradicional.
Tabla comparativa
| Sistema | Nivel de seguridad | Principal riesgo | Comodidad |
|---|---|---|---|
| Tarjeta de coordenadas (obsoleta) | Bajo (código estático) | Copia o foto de la tarjeta | Alta (sin depender del móvil) |
| Código SMS | Medio | SIM swapping, smishing | Alta |
| Notificación en app | Alto | Requiere app instalada y actualizada | Media |
| Biometría (huella/facial) | Alto | Dependencia del dispositivo | Alta |
¿Qué pasa si mi banco todavía me pide una tarjeta de coordenadas?
Si algún servicio te solicita hoy en día los códigos de una tarjeta de coordenadas para «verificar» una operación, desconfía inmediatamente. Desde 2019, ningún banco legítimo utiliza este sistema como método de autenticación reforzada en sus canales digitales oficiales. Una petición de este tipo es una señal muy clara de intento de fraude (phishing), diseñada para hacerte creer que estás en un entorno seguro cuando en realidad estás entregando tus datos a un estafador.
Cómo protegerte mejor en la banca online actual
Más allá de qué sistema use tu banco, estos hábitos son fundamentales para mantener tu cuenta segura:
- Nunca compartas tus códigos SMS ni notificaciones push con nadie, ni siquiera si te lo pide alguien que dice ser del banco por teléfono. Ninguna entidad legítima te pedirá jamás estos códigos.
- Activa la biometría en la app de tu banco si está disponible, ya que añade una capa adicional de seguridad sin sacrificar comodidad.
- Mantén actualizada la app oficial de tu banco, evitando descargar versiones de fuentes no oficiales.
- Desconfía de SMS o correos que te pidan «verificar» tu cuenta con un enlace, incluso si parecen proceder de tu entidad habitual: accede siempre directamente desde la app oficial, nunca a través de enlaces recibidos por mensaje.
- Contrata una alerta de bloqueo de SIM o revisa periódicamente que tu operadora no haya emitido un duplicado de tu tarjeta SIM sin tu autorización, especialmente si dejas de recibir cobertura de forma repentina.
¿Por qué esto también te afecta si usas un neobanco?
Todo lo comentado aplica igualmente a los neobancos que hemos analizado en artículos anteriores de esta web (Revolut, N26, Trade Republic, MyInvestor), ya que todos ellos, al operar bajo licencia bancaria europea, están igualmente obligados a cumplir con la normativa PSD2 y sus requisitos de Autenticación Reforzada del Cliente. En su caso, el sistema habitual suele ser la notificación push dentro de la propia app, combinada con biometría, lo que en la práctica los sitúa entre las opciones más seguras del mercado en este aspecto concreto.
Preguntas frecuentes
¿Sigue siendo válida la tarjeta de coordenadas en algún banco español? No, desde la entrada en vigor de la normativa PSD2 en septiembre de 2019, ningún banco español la utiliza como sistema de autenticación en sus canales digitales oficiales.
¿Es peligroso que mi banco me pida el código por SMS? No es peligroso en sí mismo, siempre que sea tu propio banco quien te lo solicite dentro de su app o web oficial. El riesgo aparece si compartes ese código con terceros o si accedes a través de un enlace fraudulento que suplanta a tu entidad.
¿Qué es el SIM swapping y cómo puedo protegerme? Es una técnica de fraude en la que un delincuente consigue duplicar tu tarjeta SIM, normalmente mediante ingeniería social ante tu operadora, para interceptar tus códigos SMS. Puedes protegerte contratando alertas de seguridad con tu operadora y desconfiando de cualquier pérdida repentina de cobertura sin motivo aparente.
¿Es mejor usar la app del banco o el SMS para confirmar operaciones? Desde un punto de vista de seguridad técnica, la notificación en la app suele considerarse más robusta, ya que no depende de la red telefónica. Si tu banco te permite elegir, puede ser una buena opción priorizar este método.
¿Qué debo hacer si recibo un SMS pidiéndome un código de coordenadas o de mi banco fuera de la app? No respondas ni introduzcas ningún dato. Contacta directamente con tu banco a través de los canales oficiales (nunca mediante el enlace del mensaje sospechoso) para confirmar si la comunicación es legítima, y considera denunciar el intento de fraude.
Conclusión
La tarjeta de coordenadas quedó obsoleta hace varios años por no cumplir con los estándares de seguridad exigidos por la normativa europea PSD2, dando paso a sistemas más dinámicos como el código SMS o, de forma más robusta, la notificación push en la app del banco combinada con biometría. Si tu entidad todavía te pide una tarjeta de coordenadas para operar, es una señal inequívoca de fraude. Independientemente del sistema que use tu banco, la regla de oro sigue siendo la misma: nunca compartas tus códigos de verificación con nadie, y accede siempre a tu banca online a través de los canales oficiales.