Silne uwierzytelnienie SCA jest wymagane wtedy, gdy klient loguje się do rachunku online, inicjuje płatność elektroniczną albo wykonuje zdalną czynność obarczoną ryzykiem oszustwa. Bank nie musi jednak żądać dodatkowego kodu przy każdej operacji: przepisy PSD2 i RTS przewidują wyjątki, a bank może także samodzielnie ocenić ryzyko transakcji.
Czym jest silne uwierzytelnienie SCA?
Silne uwierzytelnienie SCA, czyli Strong Customer Authentication, oznacza potwierdzenie tożsamości za pomocą co najmniej 2 niezależnych elementów. Zgodnie z PSD2, art. 4 pkt 30, elementy te pochodzą z 3 kategorii: wiedzy, posiadania oraz cechy klienta.
Wiedza to coś, co klient zna, na przykład hasło lub kod. Posiadanie oznacza przedmiot albo urządzenie znajdujące się pod kontrolą klienta, takie jak telefon z aplikacją bankową. Cecha klienta to jego indywidualna właściwość, na przykład odcisk palca.
Elementy muszą być niezależne, dlatego samo wpisanie 2 haseł nie musi spełniać wymogu SCA. Dwuetapowe logowanie do banku może być silnym uwierzytelnieniem, jeśli łączy na przykład hasło z potwierdzeniem w zarejestrowanej aplikacji lub kodem przesłanym na urządzenie.
Kiedy bank wymaga dodatkowego kodu?
PSD2, art. 97 ust. 1, wskazuje 3 podstawowe sytuacje. SCA jest wymagana przy dostępie do rachunku płatniczego online, przy inicjowaniu elektronicznej transakcji płatniczej oraz przy zdalnej czynności, która może wiązać się z ryzykiem oszustwa lub innego nadużycia.
W praktyce dodatkowe potwierdzenie może pojawić się podczas logowania, przelewu, dodawania odbiorcy, zmiany danych zabezpieczających albo zatwierdzania płatności kartą w internecie. To, czy klient zobaczy kod SMS, powiadomienie w aplikacji czy prośbę o biometrię, zależy od rozwiązania stosowanego przez bank.
Przy zdalnej płatności elektronicznej uwierzytelnienie powinno być dynamicznie powiązane z konkretną kwotą i konkretnym odbiorcą. Oznacza to, że ekran potwierdzenia powinien pozwolić sprawdzić, komu i ile pieniędzy klient przekazuje. Takie bezpieczne bankowość internetowa ogranicza ryzyko zaakceptowania innej operacji niż zamierzona.
Jeżeli pojawia się kod do operacji, której klient nie inicjował, nie należy go wpisywać ani przekazywać innej osobie. SCA chroni przed częścią nadużyć, ale nie zastępuje sprawdzenia szczegółów transakcji. Informacje na ten temat obejmują także phishing bankowy.
Dlaczego bank nie zawsze pyta o kod?
Brak dodatkowego kodu nie musi oznaczać błędu. Rozporządzenie delegowane (UE) 2018/389 przewiduje wyjątki, dzięki którym bank może odstąpić od SCA, jeżeli spełnione są określone limity i warunki. Bank może jednak zastosować SCA wcześniej, nawet gdy wyjątek byłby możliwy.
| Wyjątek | Limit pojedynczej transakcji | Limit kumulacyjny lub liczba transakcji | Warunek zastosowania |
|---|---|---|---|
| Zdalna płatność niskokwotowa — RTS, art. 16 | Do 30 EUR | Do 100 EUR od ostatniego zastosowania SCA albo maksymalnie 5 kolejnych transakcji | Płatność musi spełniać limit pojedynczej transakcji; bank może zastosować SCA wcześniej. |
| Płatność zbliżeniowa w punkcie sprzedaży — RTS, art. 11 | Do 50 EUR | Do 150 EUR od ostatniego zastosowania SCA albo maksymalnie 5 kolejnych transakcji | Dotyczy płatności zbliżeniowych przy użyciu instrumentu z funkcją bezkontaktową. |
| Zaufany odbiorca — RTS, art. 13 | Brak ustawowego progu kwotowego | Brak ustawowego limitu liczbowego | Odbiorca musi znajdować się na liście wcześniej utworzonej lub potwierdzonej przez płatnika u dostawcy rachunku. |
| Płatności cykliczne — RTS, art. 14 | Brak ustawowego progu kwotowego | Dotyczy kolejnych płatności w tej samej serii | SCA jest wymagana przy utworzeniu, zmianie lub pierwszym zainicjowaniu serii; kolejne płatności muszą zachować tę samą kwotę i tego samego odbiorcę. |
Kwoty podano w euro, zgodnie z PSD2 i rozporządzeniem delegowanym (UE) 2018/389. Limity kumulacyjne liczy się od ostatniego zastosowania SCA. W praktyce bank może wymagać dodatkowego uwierzytelnienia mimo spełnienia warunków wyjątku.
Osobny wyjątek dotyczy zdalnej płatności rozpoznanej jako transakcja niskiego ryzyka. Dostawca może odstąpić od SCA, jeśli działa mechanizm monitorowania transakcji spełniający wymagania RTS, w tym dotyczące poziomu oszustw. Ocena nie zależy więc wyłącznie od kwoty płatności.
Zaufani odbiorcy i płatności cykliczne
Bank może nie stosować SCA przy płatności do odbiorcy znajdującego się na liście zaufanych odbiorców. Lista musi zostać wcześniej utworzona lub potwierdzona przez klienta u dostawcy prowadzącego rachunek. Dla tego wyjątku nie ma ustawowego progu kwotowego ani ustawowego limitu liczby transakcji.
Wyjątek nie działa automatycznie przy dodawaniu lub zmianie odbiorcy. Te czynności wymagają uwierzytelnienia, ponieważ zmieniają późniejszy sposób kierowania pieniędzy. Jeśli klient zauważy przelew do nieznanego odbiorcy, powinien niezwłocznie skontaktować się z bankiem. Informacje dotyczące reklamacja transakcji nieautoryzowanej są dostępne osobno.
Przy płatnościach cyklicznych SCA jest wymagana przy utworzeniu, zmianie lub pierwszym zainicjowaniu serii. Kolejne płatności mogą korzystać z wyjątku, ale muszą zachować tę samą kwotę i tego samego odbiorcę. Zmiana jednego z tych parametrów może oznaczać konieczność ponownego potwierdzenia.
W przypadku płatności zbliżeniowych bank może poprosić o SCA po przekroczeniu limitu 50 EUR dla pojedynczej transakcji, łącznej kwoty 150 EUR od ostatniego SCA albo po 5 kolejnych transakcjach. Jeżeli problem dotyczy karty, warto sprawdzić także procedurę dotyczącą sytuacji takiej jak zgubiona karta bankowa.
Czy biometria jest elementem SCA?
Tak. Odcisk palca i rozpoznawanie twarzy należą do kategorii „cecha klienta”, wskazanej w rozporządzeniu delegowanym (UE) 2018/389, art. 4 oraz 6–8. Sama biometria nie tworzy jednak SCA, jeśli nie jest połączona z drugim niezależnym elementem.
Drugim elementem może być urządzenie lub aplikacja pozostająca w posiadaniu klienta. Dlatego zatwierdzenie operacji odciskiem palca w aplikacji bankowej może spełniać wymóg SCA, jeżeli bank traktuje aplikację albo zarejestrowane urządzenie jako odrębny element posiadania.
Warto odróżnić silne uwierzytelnienie od zwykłego sposobu odblokowania telefonu. Biometria może otwierać dostęp do urządzenia, ale o tym, czy konkretne potwierdzanie płatności online spełnia SCA, decyduje zastosowana przez bank konfiguracja elementów bezpieczeństwa.
SCA dotyczy wymogów bezpieczeństwa usług płatniczych; bank może stosować bardziej rygorystyczne uwierzytelnienie, a w razie problemu z konkretną transakcją klient powinien skontaktować się bezpośrednio ze swoim bankiem.
Zobacz też: przelew na złe konto.
Więcej w tekście: limity transakcji bankowych.
Najczęstsze pytania
Dlaczego bank nie zawsze pyta o kod?
Bank może zastosować wyjątek SCA, na przykład dla niskokwotowej płatności, płatności zbliżeniowej, zaufanego odbiorcy albo płatności cyklicznej. Może jednak zażądać SCA, gdy uzna operację za ryzykowną.
Czy biometria jest elementem SCA?
Tak. Odcisk palca lub rozpoznawanie twarzy to element kategorii „cecha klienta”. Aby spełnić wymóg SCA, potrzebny jest również drugi niezależny element, na przykład zarejestrowane urządzenie lub kod.
Jak działają wyjątki dla małych płatności?
Przy zdalnej płatności kwota nie może przekroczyć 30 EUR, a od ostatniego SCA musi być zachowany limit 100 EUR albo maksymalnie 5 kolejnych transakcji. Bank może mimo to poprosić o dodatkowe potwierdzenie.
Źródła
- Dyrektywa (UE) 2015/2366 — PSD2 — EUR-Lex, 2015, CELEX:32015L2366, art. 4 pkt 30 i art. 97
- Commission Delegated Regulation (EU) 2018/389 — RTS on SCA and CSC — EUR-Lex, 2018, CELEX:32018R0389, art. 11, 13, 14, 16 i 18
- Application of limits for Strong customer authentication exemption — European Banking Authority, 2019, EBA Q&A 2018_4182
Czy ten poradnik był pomocny? Oceń go:
Ten artykuł nie ma jeszcze ocen.
