Строгая аутентификация клиента

Что это значит

Строгая аутентификация клиента, по-английски strong customer authentication или SCA, - требование директивы PSD2 к подтверждению личности при электронных платежах и доступе к платёжному счёту. Клиент должен подтвердить личность как минимум двумя независимыми элементами из трёх категорий: то, что он знает, например PIN или пароль, то, что у него есть, например телефон или карта, и то, чем он является, например отпечаток пальца или лицо.

Элементы должны быть независимыми, то есть раскрытие одного не должно угрожать остальным. Для дистанционных платежей также требуется динамическая привязка: подтверждение связано с конкретной суммой и получателем, поэтому злоумышленник не может использовать полученный код для другого платежа. Это особая, регулируемая форма двухфакторной аутентификации.

При онлайн-платежах картой строгая аутентификация реализуется через протокол 3D Secure, когда банк просит держателя карты подтвердить операцию в мобильном приложении. В интернет-банке это вход и авторизация платежей. Правила действуют и для потребителей, и для корпоративных клиентов.

Как это работает на практике

Для фирмы как плательщика это означает, что каждый, кто вводит и утверждает платежи в банке, должен иметь собственное средство аутентификации. Совместное использование одного телефона или токена несколькими людьми рискованно и обходит смысл правил. Для пакетных платежей банки при определённых условиях могут применять исключения для корпоративных платёжных процессов.

Для интернет-магазина как получателя платежей строгая аутентификация означает несколько большее число незавершённых покупок, но и меньший риск мошенничества и перенос ответственности за спорные операции на банк-эмитент. Платёжные шлюзы используют исключения, например для небольших сумм или доверенных получателей, чтобы не нагружать клиента без необходимости.

Строгая аутентификация применяется и при подключении учётной программы к банку через открытый банкинг. При выдаче согласия на чтение выписок через OAuth клиент проходит строгую аутентификацию, и согласие затем регулярно обновляется. Фирмам стоит знать, кому и на какой срок они предоставили доступ к счетам.

На что обратить внимание

Мошенники пытаются обойти строгую аутентификацию социальной инженерией. Они звонят от имени банка и просят клиента подтвердить операцию в приложении или сообщить код. Банк никогда не просит подтвердить платёж, который клиент сам не вводил. Сотрудников, утверждающих платежи, нужно регулярно обучать этим сценариям.

При смене телефона, уходе сотрудника или потере устройства нужно сразу заблокировать или перерегистрировать средства аутентификации в банке. Старый телефон с активным банковским приложением - риск безопасности. Изменение доступов должно входить в процессы приёма и увольнения сотрудников.