Čez en teden konec sms-ov za potrjevanje spletnih nakupov

Od začetka lanskega leta je pri spletnem nakupovanju v uporabi sistem t. i. močne uporabniške zaščite. (Skoraj) vsako plačilo je treba potrditi, običajno v aplikaciji na pametnem telefonu, in sproti vtipkati še geslo ali kodo oz. uporabiti biometrično odklepanje. Nekateri ponudniki so še vztrajali pri pošiljanju enkratnih kod z sms-i, vendar bi moralo biti tega s tretjim majem (2022) konec.

Evropska direktiva o plačilnih storitvah (PSD2) določa, da od 3. maja 2022 spletnih nakupov brez močne avtentikacije ne bo več mogoče izvesti. »Zato je zelo pomembno, da si uporabniki na pametni telefon pravočasno naložijo ustrezno aplikacijo oziroma si zagotovijo rešitev, ki jo za potrjevanje spletnih plačil ponuja banka ali hranilnica,« so opozorili v Združenju bank Slovenije (ZBS). Pregled načinov pri posameznih bankah je v spodnji tabeli.

Večkrat smo že omenjali, da močna uporabniška zaščita (Strong Customer Authentication, SCA) pomeni avtentikacijo kupca z dvema od treh elementov, med katerimi kratkih sporočil ni več. Elementi so naslednji:

Nekaj, kar potrošnik je (biometrični podatki, denimo prstni odtis ali obraz).

Nekaj, kar potrošnik ve (geslo, koda pin, odgovor na varnostno vprašanje).

Nekaj, kar potrošnik ima (pametni telefon ali druga mobilna naprava).

Večina bank se je odločila za aplikacijo na telefonu, najsi bo to namenska aplikacija za potrjevanje, mobilna banka ali mobilna denarnica (slednja omogoča brezstično plačevanje s telefonom), kar pomeni kombinacijo stvari, ki jo potrošnik ima (telefon), in nečesa, kar je (odklepanje z biometričnimi lastnostmi), ali kar ve (odklepanje z geslom ali kodo). Ponekod je tudi možnost potrjevanja s čitalnikom kartic, priključenim na osebni računalnik.

Še vedno bodo obstajale izjeme, kot so plačila manjših vrednosti in ponavljajoče se transakcije. V prvem primeru lahko trgovec določi, do katerega zneska ni potrebna dodatna avtentikacija, nekako tako, kot v trgovini za določena brezstična plačila ni treba vpisati PIN-a v terminal POS. Drugo pa so seveda digitalne naročnine, kjer bi bilo povsem nepraktično vsakič znova od naročnika zahtevati potrditev plačila. »Če nekdo v procesu ne bo pravočasno zagotovil vseh ustreznih prilagoditev, plačila spletnega nakupa na spletnih mestih s plačilnimi karticami od 3. maja 2022 ne bo mogoče izvesti,« so še zapisali v ZBS.

Težava direktive pa je že od začetka v tem, da ne zapoveduje teh pravil za vse trgovce in izdajatelje kartic, temveč le za tiste s sedežem znotraj Evropske unije oz. Evropskega gospodarskega prostora (ta vključuje še Islandijo, Lihtenštajn in Norveško). Tako kitajskim in še mnogim drugim spletnih trgovinam, Paypalu in drugim ni treba upoštevati načela SCA. Glede na to, da EU načrtuje denimo Akt o digitalnih storitvah, ki bo reguliral ponudnike ne glede na državo, od koder izhajajo, bi tudi direktivo PSD2 po mojem mnenju morali dopolniti, da bi zahtevala močno avtentikacijo od vseh trgovcev in finančnih institucij.

Naslovna fotografija: DepositPhotos