Apps que conectan tus cuentas bancarias: ¿es seguro? Qué es PSD2 y qué mirar

Las apps que reúnen en una sola pantalla los movimientos de todos tus bancos (llamadas agregadores) pueden ser seguras si están autorizadas como proveedores de servicios de pago y se conectan a tu banco por el sistema oficial que establece la normativa europea PSD2. Lo que nunca debes hacer es darle a una app tu usuario y contraseña del banco para que “entre por ti” fuera de ese sistema.

La diferencia entre una cosa y otra no siempre se ve a simple vista, porque las dos acaban mostrando tus saldos en la app. Por eso merece la pena entender qué pasa por debajo y qué puedes comprobar tú antes de pulsar “Conectar”.

Qué es PSD2 en una frase

Es la directiva europea de servicios de pago (Directiva (UE) 2015/2366) que, entre otras cosas, obliga a los bancos a permitir que empresas autorizadas accedan a la información de tu cuenta solo si tú das tu consentimiento, a través de conexiones seguras y con autenticación reforzada. En España se incorporó a la ley mediante el Real Decreto-ley 19/2018, de servicios de pago.

PSD2 creó dos figuras que conviene distinguir, porque no piden lo mismo:

Figura	Qué puede hacer	Ejemplo de uso
Proveedor de información sobre cuentas	Leer saldos y movimientos, sin mover dinero	Apps de control de gastos que juntan varios bancos
Proveedor de iniciación de pagos	Ordenar una transferencia desde tu cuenta, con tu autorización en cada pago	Pagar una compra online con transferencia inmediata sin usar tarjeta

Una app de control de gastos solo necesita la primera. Si una app cuyo único fin es enseñarte gráficos pide también permiso para iniciar pagos, pregúntate para qué.

Cómo funciona una conexión legítima

1. En la app del agregador eliges tu banco.
2. Te redirige a una pantalla de tu banco (o a su app) para que te identifiques allí.
3. Tu banco te pide autorizar el acceso de esa empresa a tus datos, normalmente solo de consulta.
4. El permiso caduca pasado un tiempo y tienes que renovarlo; también puedes retirarlo cuando quieras.

La empresa recibe tus movimientos y saldos, pero no tu contraseña. Tu banco sabe en todo momento qué empresa está accediendo, porque esa empresa tiene que identificarse ante él con sus propios certificados.

Qué es la autenticación reforzada y por qué aparece aquí

PSD2 exige la llamada autenticación reforzada de cliente: para acceder a tu cuenta o autorizar un pago tienes que usar al menos dos elementos de categorías distintas. Algo que sabes (un PIN o contraseña), algo que tienes (tu móvil vinculado) y algo que eres (huella o reconocimiento facial). Cuando conectas un agregador, esa autenticación la haces en el entorno de tu banco, no en la app de terceros. Si una app te pide escribir dentro de ella la contraseña del banco y además el código que te llega por SMS, está reproduciendo la pantalla del banco por su cuenta, y eso es justo lo que no debería pasar.

Qué comprobar antes de conectar tus cuentas

• ¿Está autorizada? Busca el nombre de la empresa en el registro de entidades del Banco de España o en el de la autoridad del país europeo donde esté registrada. Las apps legítimas indican su número de registro en el aviso legal.
• ¿Qué permisos pide? Para ver tus gastos basta con acceso de consulta. Si pide también iniciar pagos, valora si lo necesitas.
• ¿Te redirige a tu banco para identificarte? Si te pide escribir la contraseña del banco dentro de su propia app, desconfía.
• ¿Qué hace con tus datos? Lee la política de privacidad: con quién los comparte, si los usa para publicidad y cómo puedes borrarlos.
• ¿Tiene verificación en dos pasos para entrar en la propia app? Si no la tiene, cualquiera que adivine tu contraseña de esa app verá todos tus bancos a la vez. Repasa cómo activar la verificación en dos pasos.

Cómo buscar una empresa en el registro

En la web del Banco de España hay un apartado de registros oficiales de entidades donde puedes buscar por nombre. Muchas apps que funcionan en España están autorizadas en otro país de la Unión Europea y operan aquí gracias al llamado “pasaporte europeo”; en ese caso aparecen en el registro de su país de origen. La Autoridad Bancaria Europea (EBA) mantiene además un registro público de entidades de pago y dinero electrónico de toda la UE que reúne esa información.

Dos detalles a tener en cuenta al buscar: el nombre comercial de la app no siempre coincide con la razón social de la empresa (busca la razón social en el aviso legal), y una empresa puede estar registrada para un servicio pero no para otro. Si no encuentras nada con ningún nombre, no conectes tus cuentas.

Señales de que algo no encaja

Más allá del registro, hay comportamientos que deberían hacerte parar:

• La app llega a ti a través de un anuncio, un mensaje o una llamada, no porque la hayas buscado tú.
• Promete además de controlar gastos “invertir tu dinero” o “multiplicar tus ahorros”. Esa mezcla es típica de los chiringuitos financieros.
• Te pide una foto de tu tarjeta, el PIN o las coordenadas de la tarjeta de claves. Ningún agregador legítimo necesita eso.
• La web de la empresa no tiene aviso legal, ni domicilio, ni número de registro. Puedes repasar cómo comprobar si una web es fiable.

Ventajas y riesgos

Ventajas	Riesgos
Ves todo tu dinero en un solo sitio	Otra empresa más tiene tus datos financieros
Clasificación automática de gastos	Si tu móvil no está protegido, alguien puede ver todo de golpe
Alertas y previsiones	Algunas apps se financian ofreciéndote productos financieros

El riesgo más realista no suele ser que la empresa autorizada te robe, sino que tus datos acaben en más sitios de los que crees o que alguien acceda a tu móvil. Tus movimientos bancarios dicen mucho de ti: dónde vives, qué compras, tu salud, tus hábitos. Por eso conviene que el móvil tenga bloqueo de pantalla y que sepas qué hacer si lo pierdes (perder el móvil con apps del banco).

Tus derechos sobre los datos

Los datos que recibe el agregador son datos personales, así que se aplica el Reglamento General de Protección de Datos. Eso significa que puedes pedir a la empresa qué datos tiene sobre ti (derecho de acceso) y que los borre cuando dejes de usar el servicio (derecho de supresión). Si no te responde, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD). Antes de llegar ahí, lo normal es que la propia app tenga una opción de borrar la cuenta o un correo de contacto para privacidad.

Cómo retirar el acceso

• Desde la propia app: busca “Cuentas conectadas” y desconecta el banco.
• Desde tu banco: muchas apps bancarias tienen un apartado de “Accesos de terceros” o similar donde puedes ver y revocar los permisos. El nombre exacto cambia de un banco a otro; si no lo encuentras, pregunta en el chat de la app o en tu oficina.
• Si dejas de usar la app, borra también tu cuenta en ella. Desinstalar la app del móvil no borra los datos que ya tiene la empresa.

Una buena costumbre es revisar ese apartado de accesos de terceros una vez al año, igual que revisas tus suscripciones. A veces aparecen conexiones de apps que probaste un día y olvidaste.

Errores habituales

• Conectar todas las cuentas “por si acaso”. Si solo quieres controlar el gasto del día a día, conecta la cuenta donde cobras y la tarjeta que más usas. Menos conexiones, menos exposición.
• Usar la misma contraseña en el agregador que en otros servicios. Si se filtra en otra web, abren la puerta a todos tus bancos. Un gestor de contraseñas lo resuelve.
• No leer qué autorizas en la pantalla del banco. Ahí suele aparecer el nombre de la empresa, qué datos va a ver y durante cuánto tiempo. Si el nombre no coincide con la app que estás usando, cancela.
• Pensar que “autorizada” significa “recomendada”. El registro te dice que la empresa puede operar legalmente y está supervisada, no que su servicio sea bueno para ti.

Preguntas frecuentes

¿Puede un agregador mover dinero de mi cuenta?

Si solo le has dado acceso de consulta, no. El permiso de información sobre cuentas permite leer saldos y movimientos, nada más. Para iniciar un pago, la empresa necesita estar autorizada para ese otro servicio y, además, tú tienes que autorizar cada pago con la autenticación reforzada de tu banco.

¿Por qué me pide cada cierto tiempo que vuelva a conectar el banco?

Porque el consentimiento no es indefinido: la normativa fija un plazo tras el cual hay que volver a identificarse ante el banco. Es una medida de seguridad, no un fallo. Hazlo siempre desde el flujo de la app (que te lleva a tu banco), nunca desde un enlace que te llegue por correo o SMS diciendo que “tu conexión ha caducado”. Ese tipo de mensaje es un gancho habitual de SMS falsos.

Si una app autorizada sufre un problema de seguridad, ¿quién responde?

Depende del caso, pero la empresa autorizada está sujeta a supervisión y a las obligaciones de seguridad de la normativa de servicios de pago y de protección de datos. Si detectas movimientos que no has hecho en tu cuenta, el primer paso es siempre avisar a tu banco cuanto antes. Tienes los pasos en cómo reclamar si te roban dinero de la cuenta.

¿Es mejor usar una app de mi propio banco que agregue otras cuentas?

Algunos bancos ofrecen ver en su app cuentas de otras entidades, usando el mismo sistema PSD2. La ventaja es que no das tus datos a una empresa nueva, sino a una con la que ya tienes relación. La desventaja es que esos datos ayudan a tu banco a conocerte mejor para ofrecerte productos. Ninguna opción es obligatoriamente mejor; depende de con quién prefieras compartirlos. Si estás comparando, puede ayudarte la guía para elegir una app de control de gastos.

Alternativa sin conectar nada

Si prefieres no dar acceso a terceros, puedes exportar los movimientos desde tu banco una vez al mes y usar una plantilla de presupuesto o pedir ayuda a la IA sin compartir datos sensibles. Te lleva unos minutos más, pero los datos se quedan contigo. Si te animas a hacerlo en una hoja de cálculo, tienes ideas en cómo clasificar gastos en una hoja de cálculo.

Relacionado: Contraseñas seguras y gestor de contraseñas · Alertas de gastos