Kundautentisering, även kallat Strong Customer Authentication (SCA), är en central del av EU
reviderade betaltjänstdirektiv, PSD2 (Payment Services Directive 2). Syftet med SCA är att förbättra säkerheten för elektroniska betalningar inom den Europeiska ekonomiska samarbetsområdet (EES) genom att införa flerfaktorsautentisering (MFA), vilket minskar risken för bedrägerier och ökar förtroendet för onlinebetalningar.
Krav enligt SCA
Enligt PSD2 måste betalningsleverantörer tillämpa SCA i följande situationer:
- När en kund får tillgång till sitt betalningskonto online.
- Vid initiering av en elektronisk betalningstransaktion.
- När kunden utför någon åtgärd via en fjärrkanal som innebär en risk för bedrägeri.
För att en autentisering ska anses stark måste den inkludera minst två av tre oberoende säkerhetsfaktorer:
- Kunskap: Något användaren vet, till exempel ett lösenord eller en PIN-kod.
- Innehav: Något användaren har, som en mobiltelefon eller en säkerhetsdosa.
- Inhärens: Något användaren är, exempelvis biometriska data som fingeravtryck eller ansiktsigenkänning.
Dessa faktorer måste vara oberoende av varandra, så att om en faktor bryts, påverkar det inte säkerheten för de andra.
Relationen mellan SCA och EMV
I fysiska butiker har EMV-chipteknologi (som används i “chip och PIN”-transaktioner) länge erbjudit ett robust skydd mot kortbedrägerier genom att kombinera något kunden äger (kortet) och något kunden vet (PIN-koden). Denna form av stark kundautentisering har hjälpt till att minska bedrägerier vid kortbetalningar i fysiska miljöer.
Onlinebetalningar däremot har traditionellt sett inte haft samma säkerhetsnivå, vilket gör att SCA nu är obligatorisk för e-handelstransaktioner enligt PSD2. SCA
införande för onlineköp innebär att flerfaktorsautentisering även blir standard för digitala betalningar, vilket höjer säkerheten i den digitala betalningsmiljön.
3-D Secure och SCA
3-D Secure (3DS), särskilt version 2.0, är en av de mest använda teknologierna för att implementera SCA vid onlinebetalningar. 3DS tillhandahåller ett extra säkerhetslager genom att verifiera kundens identitet vid onlineköp. De stora kortnätverken, som Visa och Mastercard, har integrerat SCA-stöd i sina respektive versioner av 3DS – Visa Secure och Mastercard Identity Check.
Med 3-D Secure 2.0 kan fler data delas mellan kunden, handlaren och kortutgivaren under en betalning, vilket gör det möjligt att genomföra en “friktionsfri autentisering” för låg risk-transaktioner. För mer riskfyllda transaktioner krävs däremot ytterligare autentisering, som en engångskod skickad till kundens mobiltelefon eller biometrisk identifiering.
PSD2 och SCA i EU
PSD2-direktivet trädde i kraft den 14 september 2019, men införandet av SCA för onlinebetalningar har skett gradvis för att ge företag tid att anpassa sina system. Det slutgiltiga införandet av SCA krävdes senast den 31 december 2020 inom EES.
SCA är en grundläggande komponent för att öka säkerheten vid onlinebetalningar och minska risken för kortbedrägerier. Det ger en högre nivå av skydd för både konsumenter och handlare, särskilt inom EU där kraven är strikta enligt PSD2-direktivet.
Kritik och utmaningar
Trots SCA
fördelar har det funnits en del kritik. Exempelvis har Visa uttryckt oro över att SCA kan skapa friktion vid onlineköp, vilket kan leda till färre avslutade transaktioner och minskad försäljning för e-handlare. Dessutom har vissa konsumentgrupper, särskilt äldre och de utan tillgång till mobiltelefoner, uttryckt oro över tillgängligheten till dessa säkerhetskrav. Detta har lett till att vissa banker och tjänsteleverantörer erbjuder alternativa autentiseringsmetoder, som engångskoder skickade via e-post.
Kundautentisering SCA: Sammanfattning
Kundautentisering (SCA) enligt PSD2 är en obligatorisk säkerhetsåtgärd för att skydda elektroniska betalningar inom EU. Genom att använda flerfaktorsautentisering, i kombination med teknologier som EMV och 3-D Secure 2.0, säkerställs att betalningar görs på ett säkert sätt, vilket minskar risken för bedrägerier och ger en säkrare betalningsmiljö online.
Liknande artiklar om kortsäkerhet och bedrägeriskydd
- Autentisering och Kreditkortssäkerhet
- EMV-teknik: Vad det är och varför det är så säkert
- Vad är CVV och hur det fungerar i samband med EMV och andra säkerhetsåtgärder
- Vad är Tokenisering och hur fungerar det
- Vad är kryptering och varför är det viktigt
- Förhindra Kreditkortsbedrägeri – Tips och verktyg
- PCI DSS-efterlevnad – Grunderna för företag
- BankID – Din Digitala ID-kort och dess roll i säkra betalningar
- Vad är en BIN-attack och hur skyddar du dig mot det
- Adressverifieringstjänst (AVS): Vad det är och hur det fungerar
👈 Tryck här för att komma tillbaka till Säkerhet och Bedrägeriskydd.