Autenticação forte do cliente
A autenticação forte do cliente (Strong Customer Authentication - SCA) é um requisito regulatório europeu que impõe uma verificação de pelo menos dois fatores para pagamentos eletrónicos e acesso a contas em linha. Combina pelo menos dois elementos entre conhecimento, posse e inerência.
Introduzida pela diretiva PSD2 e detalhada nas Normas Técnicas de Regulamentação (RTS) da Autoridade Bancária Europeia (EBA), a SCA exige que toda transação de pagamento eletrónico ou acesso sensível a uma conta seja autenticada com pelo menos dois dos três fatores seguintes: um elemento de conhecimento (palavra-passe, PIN), um elemento de posse (telemóvel, cartão inteligente) e um elemento de inerência (impressão digital, reconhecimento facial). Estes fatores devem ser mutuamente independentes.
A SCA aplica-se a pagamentos iniciados pelo ordenante, ao acesso em linha a contas de pagamento e a operações à distância que apresentem risco de fraude. Várias isenções estão previstas para melhorar a experiência do utilizador: transações recorrentes do mesmo montante, operações de baixo valor (menos de 30 €, com um limite cumulativo), beneficiários de confiança e transações de baixo risco com base na análise de risco em tempo real (TRA).
Para os intervenientes no domínio do KYC e da verificação de identidade, a SCA representa tanto um padrão de segurança complementar como um ponto de integração técnica. A verificação biométrica utilizada no KYC (reconhecimento facial, deteção de vivacidade) pode servir como fator de inerência para a SCA, criando uma sinergia entre a integração do cliente e a segurança das transações subsequentes.
Regulações
Exemplos concretos
- 1Um cliente efetua uma transferência de 500 € através da aplicação bancária: o banco solicita-lhe que confirme a operação com a impressão digital (inerência) após introduzir a palavra-passe (conhecimento), satisfazendo assim o requisito SCA.
- 2Um comerciante eletrónico integra o protocolo 3D Secure 2.0 para pagamentos com cartão em linha: o cliente recebe uma notificação push no smartphone (posse) e valida por reconhecimento facial (inerência) para transações superiores a 30 €.
- 3Uma plataforma de leasing aplica a isenção TRA para as prestações mensais recorrentes dos seus clientes após uma autenticação forte inicial, reduzindo o atrito sem comprometer a conformidade com a PSD2.