Silné overenie klienta

Čo to znamená

Silné overenie klienta, anglicky strong customer authentication alebo SCA, je požiadavka smernice PSD2 na overenie totožnosti pri elektronických platbách a prístupe k platobnému účtu. Klient musí preukázať totožnosť aspoň dvoma nezávislými prvkami z troch kategórií: niečo, čo vie, napríklad PIN či heslo, niečo, čo má, napríklad mobil či kartu, a niečo, čím je, napríklad odtlačok prsta či tvár.

Prvky musia byť nezávislé, teda prezradenie jedného nesmie ohroziť ostatné. Pri platbách na diaľku sa navyše vyžaduje dynamické prepojenie: overenie je naviazané na konkrétnu sumu a príjemcu, takže útočník nemôže získaný kód použiť na inú platbu. Ide o špecifickú, regulovanú formu dvojfaktorovej autentifikácie.

Pri platbách kartou na internete sa silné overenie realizuje cez protokol 3D Secure, keď banka držiteľa karty požiada o potvrdenie v mobilnej aplikácii. Pri internet bankingu ide o prihlásenie a autorizáciu platieb. Pravidlá platia pre spotrebiteľov aj pre firemných klientov.

Ako to funguje v praxi

Pre firmu ako platiteľa to znamená, že každý, kto zadáva a schvaľuje platby v banke, potrebuje vlastný prostriedok na overenie. Zdieľanie jedného mobilu či tokenu medzi viacerými ľuďmi je rizikové a obchádza zmysel pravidiel. Pri hromadných platbách môžu banky za určitých podmienok uplatniť výnimky pre firemné platobné procesy.

Pre e-shop ako príjemcu platieb znamená silné overenie o niečo vyšší počet nedokončených nákupov, ale aj nižšie riziko podvodov a presun zodpovednosti za sporné transakcie na banku vydavateľa. Platobné brány využívajú výnimky, napríklad pre nízke sumy či dôveryhodných príjemcov, aby overenie nezaťažovalo zákazníka zbytočne.

Silné overenie sa uplatňuje aj pri prepájaní účtovného softvéru s bankou cez otvorené bankovníctvo. Pri udelení súhlasu na čítanie výpisov cez OAuth sa klient overí silným overením a súhlas sa potom pravidelne obnovuje. Firmy by mali mať prehľad, komu a na aký čas prístup k účtom udelili.

Na čo si dať pozor

Podvodníci sa silné overenie snažia obísť sociálnym inžinierstvom. Volajú v mene banky a žiadajú klienta, aby potvrdil operáciu v aplikácii alebo prezradil kód. Banka nikdy nežiada potvrdiť platbu, ktorú klient sám nezadal. Zamestnanci, ktorí schvaľujú platby, by mali byť na tieto scenáre pravidelne školení.

Pri výmene mobilu, odchode zamestnanca či strate zariadenia treba ihneď zablokovať alebo preregistrovať overovacie prostriedky v banke. Starý telefón s aktívnou bankovou aplikáciou je bezpečnostné riziko. Proces zmien prístupov má byť súčasťou nástupu a odchodu zamestnancov.