Сувора автентифікація клієнта

Що це означає

Посилена автентифікація клієнта, англійською strong customer authentication або SCA, - вимога директиви PSD2 щодо підтвердження особи під час електронних платежів і доступу до платіжного рахунку. Клієнт має підтвердити особу щонайменше двома незалежними елементами з трьох категорій: те, що він знає, наприклад PIN чи пароль, те, що він має, наприклад телефон чи картку, і те, чим він є, наприклад відбиток пальця чи обличчя.

Елементи мають бути незалежними, тобто розкриття одного не повинне загрожувати іншим. Для дистанційних платежів також потрібна динамічна прив'язка: підтвердження пов'язане з конкретною сумою й отримувачем, тож зловмисник не може використати отриманий код для іншого платежу. Це особлива, регульована форма двофакторної автентифікації.

Під час онлайн-платежів карткою посилену автентифікацію реалізують через протокол 3D Secure, коли банк просить власника картки підтвердити операцію в мобільному застосунку. В інтернет-банку це вхід і авторизація платежів. Правила діють і для споживачів, і для корпоративних клієнтів.

Як це працює на практиці

Для фірми як платника це означає, що кожен, хто вводить і затверджує платежі в банку, має мати власний засіб автентифікації. Спільне використання одного телефону чи токена кількома людьми ризиковане й обходить сенс правил. Для пакетних платежів банки за певних умов можуть застосовувати винятки для корпоративних платіжних процесів.

Для інтернет-магазину як отримувача платежів посилена автентифікація означає дещо більше незавершених покупок, але й менший ризик шахрайства та перенесення відповідальності за спірні операції на банк-емітент. Платіжні шлюзи використовують винятки, наприклад для невеликих сум чи довірених отримувачів, щоб не навантажувати клієнта без потреби.

Посилену автентифікацію застосовують і під час підключення облікової програми до банку через відкритий банкінг. Під час надання згоди на читання виписок через OAuth клієнт проходить посилену автентифікацію, і згоду потім регулярно поновлюють. Фірмам варто знати, кому й на який строк вони надали доступ до рахунків.

На що звернути увагу

Шахраї намагаються обійти посилену автентифікацію соціальною інженерією. Вони телефонують від імені банку й просять клієнта підтвердити операцію в застосунку чи повідомити код. Банк ніколи не просить підтвердити платіж, який клієнт сам не вводив. Працівників, які затверджують платежі, треба регулярно навчати цим сценаріям.

У разі зміни телефону, звільнення працівника чи втрати пристрою треба одразу заблокувати чи перереєструвати засоби автентифікації в банку. Старий телефон з активним банківським застосунком - ризик безпеки. Зміна доступів має входити до процесів прийняття й звільнення працівників.