Silne uwierzytelnianie (SCA)
Potwierdzenie tożsamości co najmniej dwoma niezależnymi elementami: wiedzą, posiadaniem i cechą klienta.
Silne uwierzytelnianie użytkownika (SCA, strong customer authentication) to uwierzytelnianie oparte na co najmniej dwóch elementach z trzech kategorii: wiedzy (coś, co zna tylko użytkownik, np. PIN lub hasło), posiadania (coś, co ma tylko użytkownik, np. telefon z aplikacją) i cech charakterystycznych (np. odcisk palca, rozpoznawanie twarzy). Elementy muszą być niezależne, tak aby przełamanie jednego nie osłabiało pozostałych (art. 2 pkt 26aa ustawy o usługach płatniczych). Wymóg wprowadziła dyrektywa PSD2.
Bank stosuje SCA, gdy klient loguje się do rachunku online, inicjuje elektroniczną transakcję płatniczą albo wykonuje zdalnie czynność, która może wiązać się z ryzykiem oszustwa (art. 32i ust. 1). Szczegóły i wyjątki określa rozporządzenie delegowane Komisji (UE) 2018/389. Bez pełnego SCA można przeprowadzić między innymi płatności zbliżeniowe do 50 euro w ramach limitów łącznych, płatności internetowe do 30 euro, przelewy do zaufanych odbiorców i kolejne płatności cykliczne o tej samej kwocie. Dlatego przy kilku kolejnych płatnościach zbliżeniowych terminal w pewnym momencie poprosi o PIN.
Przykład: zakup w internecie za 150 zł. Numer karty i data ważności nie wystarczą. Bank wymaga zatwierdzenia w aplikacji (posiadanie telefonu) odciskiem palca (cecha), co spełnia warunek dwóch elementów. Przy logowaniu do bankowości hasło (wiedza) i kod z aplikacji (posiadanie) również tworzą SCA.
SCA wpływa na odpowiedzialność za nieautoryzowane transakcje. Jeśli bank nie wymaga silnego uwierzytelniania, płatnik nie odpowiada za nieautoryzowaną transakcję, chyba że działał umyślnie, a jeśli sklep albo jego dostawca nie akceptuje SCA, odpowiada za szkody wobec banku płatnika (art. 46 ust. 4a). Technicznym sposobem SCA w płatnościach kartą jest 3D Secure, a w płatnościach mobilnych BLIK.
Wyjątki są uprawnieniem, a nie obowiązkiem banku: bank może zawsze zażądać pełnego uwierzytelnienia, na przykład gdy jego system wykryje nietypową transakcję. Dlatego ta sama płatność raz przechodzi bez potwierdzenia, a raz wymaga akceptacji w aplikacji. Silne uwierzytelnianie wymagane jest także przy dodawaniu karty do portfela mobilnego i zmianie limitów w bankowości.
Źródła
Najczęściej zadawane pytania
- Kiedy bank wymaga silnego uwierzytelniania?
- Przy logowaniu do konta online, przy inicjowaniu elektronicznej płatności i przy zdalnych czynnościach obarczonych ryzykiem oszustwa (art. 32i ust. 1 ustawy o usługach płatniczych), z wyjątkami z rozporządzenia (UE) 2018/389.
- Dlaczego terminal czasem prosi o PIN przy płatności zbliżeniowej?
- Bo wyjątek od silnego uwierzytelniania dla płatności zbliżeniowych ma limity łączne kwoty i liczby kolejnych transakcji (rozporządzenie (UE) 2018/389). Po ich przekroczeniu bank wymaga PIN-u, a niższe limity może ustalić sam bank.