Autenticazione forte del cliente (SCA) e pagamenti online: cosa cambia per le imprese

SCA e PSD2: cosa cambia davvero per chi vende online

La PSD2 (Direttiva UE 2015/2366) sostituisce la PSD1 ed è operativa in Italia dal 14 settembre 2019.

L'obiettivo dichiarato è un mercato dei pagamenti digitali più sicuro, trasparente e accessibile, per imprese e consumatori. Tra le misure introdotte c'è l'autenticazione forte del cliente (SCA).

La direttiva riguarda i fornitori di servizi di pagamento — banche, assicurazioni e terze parti (TPP). Copre operazioni come bonifici, ricariche telefoniche e pagamenti con POS.

Per un'impresa che vende online, quando un pagamento rientra nella SCA il percorso d'acquisto non termina con l'inserimento dei dati della carta. Il cliente deve completare una verifica aggiuntiva con la propria banca o tramite un'app; solo dopo la transazione viene autorizzata.

Il 68% degli utenti in Europa acquista online. L'esercente deve quindi verificare in anticipo come si presenta questo passaggio sul proprio negozio, su desktop e mobile: è lì che si concentra il rischio di abbandono del carrello.

In Italia la PSD2 è recepita con il decreto legislativo 15 dicembre 2017, n. 218, pubblicato in Gazzetta Ufficiale n. 10 del 13 gennaio 2018 ed entrato in vigore nella stessa data. Il decreto coinvolge tutte le banche in qualità di Prestatori di Servizi di Pagamento (PSP).

Il Regolamento UE 2018/389 è richiamato per la PSD2 e vale in tutti i Paesi dello Spazio Economico Europeo (EEA). La PSD2 contiene requisiti e obblighi per i fornitori di servizi di pagamento, dalle autorizzazioni necessarie fino alle sanzioni per chi non rispetta la direttiva.

Per i pagamenti online con carta l'Italia ha ottenuto una proroga fino al 31 dicembre 2020. Dal 31 dicembre 2020, ogni pagamento digitale in Italia richiede una doppia verifica dell'identità.

I tre fattori dell'autenticazione forte e la regola delle due categorie

L'SCA si basa su tre categorie di fattori. La conoscenza è qualcosa che solo l'utente sa, come password, PIN o risposta a una domanda di sicurezza. Il possesso è qualcosa che solo l'utente ha, come dispositivo mobile, carta di pagamento o token di sicurezza.

L'inerenza identifica univocamente l'utente tramite caratteristiche biometriche, come impronta digitale o riconoscimento facciale. Secondo la PSD2 ne servono almeno due, appartenenti a categorie diverse.

La sola password non basta più: va integrato un secondo elemento, ad esempio un codice via SMS o una verifica con impronta digitale.

Il vincolo delle categorie diverse esclude combinazioni apparentemente a due fattori ma tutte basate sulla conoscenza, come password più PIN. Due elementi che l'utente semplicemente sa non soddisfano il requisito.

Per chi gestisce un account cliente o un'area riservata collegata ai pagamenti, cambia il progetto dei flussi di login e di conferma, non solo quello del checkout.

Flusso di autenticazione forte del cliente (SCA) per pagamenti online

Dal vecchio OTP al codice univoco di transazione

Con la PSD2 ogni singola transazione genera un codice univoco. È una differenza sostanziale rispetto agli OTP delle chiavette bancarie.

Gli OTP si basavano su una logica temporale e potevano consentire, sia pure in modo limitato, più operazioni durante il periodo di validità. Con le nuove regole il codice restituito al cliente è legato solo e soltanto a quella determinata transazione, aumentando la sicurezza.

Dal punto di vista delle autorizzazioni, un codice legato a una singola operazione non è riutilizzabile per un'operazione diversa. In pratica, le istruzioni al cliente devono chiarire che il codice ricevuto vale solo per quell'acquisto.

Come si implementa la SCA nei diversi pagamenti online

Le modalità di implementazione dell'autenticazione forte variano in base al tipo di pagamento e al dispositivo usato. Nell'e-commerce si traducono in un codice via SMS, una conferma su app bancaria o una verifica biometrica sul telefono.

L'impresa deve adeguare i flussi di autenticazione al canale e al device. Deve integrare strumenti coerenti con l'esperienza utente: un passaggio su app è di norma più rapido su mobile; su desktop può richiedere il telefono come secondo fattore.

Occorre provare il percorso completo sui dispositivi realmente usati dai clienti. Va verificato cosa accade se l'autenticazione fallisce o va ripetuta.

Con il fornitore di pagamento vanno concordati quali passaggi avvengono sul sito dell'esercente e quali sull'app o sul sito della banca.

Nell'e-commerce il metodo più diffuso è 3D Secure, noto commercialmente come Visa Secure o Mastercard Identity Check. Richiede una password monouso che scade a tempo.

Le esenzioni SCA vanno verificate con il PSP. Rientrano le transazioni al di sotto dei 30 euro e, se ripetute nelle 24 ore, non superano i 100 euro o una serie di cinque transazioni esenti.

Tra i fornitori di servizi di pagamento ci sono SumUp, con POS mobili, e myPOS, che dichiara soluzioni che supportano la SCA. La scelta del PSP determina quali passaggi restano sul sito e quali passano alla banca.

Impatti operativi per le imprese: sicurezza, trasparenza e accessibilità

I tre obiettivi che la PSD2 assegna al mercato dei pagamenti digitali — sicurezza, trasparenza e accessibilità — si traducono in verifiche concrete.

La prima riguarda l'allineamento con il fornitore di pagamento: quali transazioni sono sottoposte a SCA, con quale interfaccia e cosa vede il cliente quando viene reindirizzato o passa sull'app della banca.

La seconda è il test dei percorsi di acquisto, inclusi i casi di autenticazione non completata, interrotta o ripetuta, perché è lì che si generano ordini non finalizzati e richieste di assistenza.

La terza verifica riguarda la comprensibilità e l'accessibilità del passaggio: il cliente deve capire che sta autenticando un pagamento, quanto tempo richiede l'operazione e cosa fare se il codice non arriva o la biometria non viene riconosciuta.

Poiché i fattori di possesso e inerenza presuppongono un dispositivo o un sensore, il flusso dovrebbe restare utilizzabile anche da chi non dispone di uno smartphone o della biometria. Va previsto un fattore alternativo concordato con il fornitore.

A questo si aggiunge il presidio dei rapporti con le terze parti. La PSD2 regola l'accesso ai conti di pagamento da parte dei TPP.

Se l'impresa si appoggia a servizi di terze parti, conviene definire con chiarezza ruoli e responsabilità nei passaggi di autenticazione.

I dati EBA-BCE 2024 indicano frodi sui pagamenti per 4,3 miliardi di euro nel 2022 e 2 miliardi di euro nel primo semestre 2023. Sono i numeri che giustificano i controlli SCA.

Per l'impresa, la verifica di compliance parte dal PSP: la PSD2 impone autorizzazioni e sanzioni ai fornitori di servizi di pagamento. L'esercente deve allineare checkout e assistenza a ciò che il PSP applica.

Vantaggi e rischi dell'SCA per le imprese italiane

Frodi, fiducia e rapporto con i clienti

L'autenticazione forte del cliente è stata introdotta per proteggere i consumatori dai rischi di frode nelle operazioni online, come accessi non autorizzati ai conti bancari o transazioni fraudolente.

Due caratteristiche tecniche contribuiscono al risultato: il requisito di due fattori di categorie diverse e il codice univoco legato a una sola transazione.

Sul rapporto con il cliente, il fatto che il codice valga per quella singola operazione impedisce di riutilizzarlo per un'operazione diversa.

C'è però un rischio: se il passaggio di autenticazione non è spiegato, il cliente può non riconoscerlo come legittimo e interrompere l'acquisto.

Comunicare dove avviene la verifica (app o sito della banca), cosa viene richiesto e quali dati non vengono mai domandati dall'esercente è parte integrante della gestione del pagamento, non un'aggiunta facoltativa.