Technologia 3D-Secure – czym jest i jak łączy się z weryfikacją behawioralną

Zgodnie z regulacjami SCA, będącej częścią PSD2, w płatnościach internetowych wymaga się tzw. silnego uwierzytelniania użytkownika, aby potwierdzić jego tożsamość. Umożliwia to zastosowanie technologii 3D-Secure, którą zna każda osoba korzystająca z możliwości realizacji zakupów online. Czym jest 3D-Secure, jak działa i w jaki sposób łączy się z weryfikacją behawioralną?

3D-Secure a regulacje SCA (Strong Customer Authentication)

Temat technologii 3D-Secure warto zacząć od przybliżenia kwestii regulacji SCA, ponieważ jest ona bezpośrednią przyczyną konieczności stosowania dodatkowych środków weryfikacyjnych. Strong Customer Authentication (SCA) to część regulacji PSD2, która wymaga silnego uwierzytelnienia, aby potwierdzić tożsamość użytkowników w przypadku, gdy konsumenci dokonują płatności. W tym celu implementuje się rozwiązania MFA, które weryfikują przynajmniej 2 z 3 czynników:

• coś, co wiemy (np. login i hasło czy numer PESEL);
• coś, co mamy (np. telefon czy tablet, na które przychodzą tokeny bezpieczeństwa);
• coś, czym jesteśmy (np. skan odcisku palca czy unikalne zachowania, takie jak prędkość pisania na klawiaturze czy sposób wykonywania ruchów myszką).

SCA dotyczy nie tylko płatności internetowych, ale również i bezpośrednich. Z tego względu jesteśmy proszeni o podanie kodu PIN przy dokonywaniu płatności zbliżeniowych, jeśli kwota zakupów jest większa od ustalonego aktualnie limitu.

W przypadku płatności internetowych klienci mogą zostać poproszeni o zweryfikowanie swojej tożsamości za pomocą dwóch czynników podczas procesu realizacji transakcji. Warto podkreślić, że jest to wymóg, a nie opcjonalne rozwiązanie, i jego celem jest zwiększenie bezpieczeństwa użytkowników oraz zminimalizowanie ryzyka prania pieniędzy czy dokonywania aktów oszustwa przy użyciu płatności online.

Tak jak wspomnieliśmy, większość rozwiązań weryfikuje tylko dwa z trzech czynników, np. hasło i skan odcisku palca czy też hasło i token SMS.

Jak działa 3D-Secure?

Technologię 3D-Secure muszą stosować wszystkie sklepy na terenie Europy. Jest to bezpłatne, dodatkowe zabezpieczenie płatności kartami w sklepach internetowych, oferowane przez każdy bank, a jego wyłączenie jest niemożliwe (w przeciwieństwie do np. logowania dwuskładnikowego).

Korzystając z bankowości mobilnej, większość z nich oferuje integrację systemu płatności z aplikacją mobilną. W takim przypadku do przejścia przez proces weryfikacyjny wystarczy zalogowanie się i potwierdzenie transakcji właśnie we wspomnianej aplikacji. Choć jest to rozwiązanie wygodne, to jednak nie chroni ono użytkownika w momencie kradzieży telefonu. Przestępca, łamiąc dostęp do urządzenia, odblokuje także możliwość uwierzytelniania transakcji z użyciem aplikacji mobilnej banku.

W płatnościach z użyciem komputerów systemy oferują najczęściej możliwość albo wykorzystania aplikacji mobilnych w celu uwierzytelnienia, albo kodów SMS. To drugie rozwiązanie także jest narażone na podobny problem z użyciem telefonu przez osoby trzecie, który opisaliśmy w poprzednim akapicie.

Rodzaje 3D-Secure

3D-Secure można podzielić na dwa rodzaje:

• 3D-Secure 1 – “tradycyjna” autoryzacja internetowych płatności kartą kodem SMS
• 3D-Secure 2 – nowy sposób potwierdzania internetowej płatności kartą za pomocą kodu SMS i 4-cyfrowego kodu PIN karty lub też mobilną aplikacją

Mimo nowych metod autoryzacji sklepy nadal mogą prosić użytkownika o potwierdzenie płatności kodem SMS (w ramach 3D-Secure 1). O tym, z jakiego rodzaju 3D-Secure (1 czy 2) korzysta klient w czasie płatności decyduje sam sklep, a nie bank.

Weryfikacja behawioralna a 3D-Secure

Wspomnieliśmy o tym, że silne uwierzytelnianie za pomocą aplikacji mobilnych czy kodów SMS nie jest rozwiązaniem idealnym, choć oczywiście znacząco zwiększa bezpieczeństwo użytkowników. W przypadku kradzieży telefonu jest to jednak sposób, który przestępca może z łatwością wykorzystać przeciwko swojej ofierze.

Z tego względu pracujemy cały czas na udoskonalaniem weryfikacji behawioralnej, która idealnie wkomponowuje się w ideę 3D-Secure oraz regulacji PSD2. Za nami już pierwsze testy, które pokazują, że nasze rozwiązanie może być przełomowe w obszarze silnego uwierzytelniania. Dzięki ciągłej weryfikacji użytkownika złamanie zabezpieczeń przez cyberprzestępców i wykonanie przez nich transakcji jest niemal niemożliwe, a w dodatku cała praca systemu uwierzytelniania weryfikacji behawioralnej odbywa się w tle, bez ingerencji w User Experience. Jeśli chcesz dowiedzieć się więcej o zastosowaniu weryfikacji behawioralnej jako czynnika MFA, przeczytaj nasz artykuł.