Strong customer authentication

Autenticazione

Con l’entrata in vigore della nuova normativa europea, viene richiesta al cliente un’autenticazione più approfondita, in particolare la SCA richiede per l'autenticazione la verifica di almeno due di questi tre elementi:

1. conoscenza: identificazione tramite un codice mnemonico che solo il cliente conosce, come ad esempio una password, un codice PIN o una domanda di sicurezza;
2. possesso: identificazione tramite qualcosa che è in possesso del cliente e che quest'ultimo può usare, tipicamente una carta di debito o di credito, un dispositivo come lo smartphone, una smart key o un token bancario;
3. inerenza: identificazione con una caratteristica biometrica del cliente, come un'impronta digitale o il riconoscimento facciale, in grado di identificare in modo univoco la persona.

Transazioni

La Strong Customer Authentication è obbligatoria quando si svolgono operazioni che in genere coinvolgono una banca o un altro prestatore di servizi di pagamento, come:

• accesso al proprio conto corrente online, anche solo per conoscerne il saldo;

• disposizione di un pagamento elettronico, eseguito sia a distanza che in un negozio;

• qualsiasi azione a distanza che comporti un rischio di frode nei pagamenti o altri tipi di abusi.

La nuova normativa prevede che alcune tipologie di transazioni possano essere esentate dal processo SCA a due livelli, in particolare:

• Le transazioni che prevedono un importo al di sotto dei 30 euro, che, se ripetute nel corso del tempo e sommate in un arco di 24 ore non superino i 100 euro o una serie di cinque transazioni consecutive. Al raggiungimento di tali limiti scatta il meccanismo dell’autenticazione SCA.
• Per transazioni a basso rischio, ovvero quelle operazioni che sono analizzate dai fornitori di servizi di pagamento e nel momento in cui la soglia della percentuale di frodi del fornitore di servizi di pagamento rimane al di sotto dei parametri relativi ai pagamenti su carta esclude l’adozione della SCA.
• Pagamenti ricorsivi con un valore fisso, come avviene ad esempio negli abbonamenti ad alcuni servizi: in questi casi l'autenticazione forte entra in azione solo per la prima transazione, ma non viene richiesta per i successivi rinnovi, che possono essere considerati come delle operazioni automatiche. In caso di cambi di valore da parte del servizio o della modalità di uso dello stesso, verrà richiesta nuovamente l'autenticazione forte per completare il pagamento.
• Nel caso di pagamenti verso venditori identificati come beneficiari credibili. In questo caso l’autenticazione forte viene richiesta al primo pagamento, mentre i pagamenti successivi si effettuano senza SCA.

Unione Europea

Per le Banche e i PSP (Prestatori di Servizi di Pagamento), l'uso della SCA è un requisito disciplinato dalla seconda Direttiva dell'Unione Europea (UE) 2015/2366 sui Sistemi di Pagamento PSD2 e dal Regolamento delegato della Commissione Europea 2018/389 del 27 novembre 2017 , e richiesto sia per servizi di pagamento bancario (SCT o bonifico, SCTinst o bonifico istantaneo, pagamenti Target 2 e Target 2 cross-border ecc), che per servizi informativi che richiedono lo scambio di dati confidenziali, come la visualizzazione del saldo del conto, l'elenco dei movimenti ecc.