Autenticación sólida del cliente

La autenticación reforzada del cliente ( SCA ) es un requisito de la Directiva revisada de la UE sobre servicios de pago (PSD2) para los proveedores de servicios de pago dentro del Espacio Económico Europeo . Este requisito garantiza que los pagos electrónicos se realicen con autenticación multifactor , para aumentar la seguridad de los pagos electrónicos. ^{[ 1 ]} Las transacciones con tarjeta física ya suelen tener lo que podría denominarse autenticación reforzada del cliente en la UE ( Chip y PIN ), pero esto no era generalmente cierto para las transacciones por Internet en toda la UE antes de la implementación del requisito, ^{[ 1 ]} y muchos pagos con tarjeta sin contacto no utilizan un segundo factor de autenticación.

El requisito de SCA entró en vigor el 14 de septiembre de 2019. ^{[ 2 ]} Sin embargo, con la aprobación de la Autoridad Bancaria Europea , ^{[ 3 ]} varios países del EEE han anunciado que su implementación se retrasará temporalmente o se realizará por fases, ^{[ 4 ] [ 5 ]} con una fecha límite final fijada para el 31 de diciembre de 2020. ^{[ 6 ]}

El artículo 97(1) de la directiva exige que los proveedores de servicios de pago utilicen una autenticación reforzada del cliente cuando un pagador: ^{[ 7 ]}

(a) accede a su cuenta de pago en línea; (b) inicia una transacción de pago electrónico; (c) realiza cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos.

El artículo 4(30) define la "autenticación fuerte del cliente" en sí misma (como autenticación multifactor): ^{[ 7 ]}

una autenticación basada en el uso de dos o más elementos categorizados como conocimiento (algo que solo el usuario sabe), posesión (algo que solo el usuario posee) e inherencia (algo que el usuario es) que son independientes, en el sentido de que la violación de uno no compromete la fiabilidad de los demás, y está diseñada de tal manera que protege la confidencialidad de los datos de autenticación.

La Autoridad Bancaria Europea publicó una opinión sobre qué enfoques podrían constituir diferentes "elementos" de la SCA. ^{[ 3 ]}

3-D Secure 2.0 puede (pero no siempre ^{[ 3 ]} ) cumplir con los requisitos de SCA. Mastercard (Mastercard Identity Check) ^{[ 8 ]} y Visa ^{[ 9 ]} implementan 3-D Secure, que se comercializan como soluciones que permiten el cumplimiento de SCA.

Los comerciantes de comercio electrónico deben actualizar los flujos de pago en sus sitios web y aplicaciones para admitir la autenticación. ^{[ 10 ]} Si no se admite la autenticación, muchos pagos serán rechazados una vez que la SCA esté completamente implementada. ^{[ 10 ]}

El 31 de enero de 2013, el Banco Central Europeo (BCE) emitió recomendaciones sobre seguridad de pagos por Internet, que exigen una autenticación sólida del cliente. ^{[ 11 ]} Los requisitos del BCE son tecnológicamente neutrales, con el fin de fomentar la innovación y la competencia. El proceso de presentación pública ^{[ 12 ]} al BCE identificó tres soluciones para la autenticación sólida del cliente, dos de las cuales se basan en la autenticación de confianza , y la otra es la nueva variante de 3-D Secure que incorpora contraseñas de un solo uso .

Posteriormente, la Comisión Europea elaboró ​​propuestas para una Directiva de Servicios de Pago actualizada que incluía este requisito, la cual se convirtió en la PSD2. La autenticación reforzada del cliente, conforme a la PSD2, es un requisito legal para los pagos electrónicos y las tarjetas de crédito desde el 14 de septiembre de 2019. ^{[ 13 ]}

En 2016, Visa criticó la propuesta de hacer obligatoria la autenticación reforzada del cliente, argumentando que podría dificultar los pagos en línea y, por lo tanto, perjudicar las ventas de los minoristas en línea. ^{[ 14 ]}

En 2019, la organización de defensa del consumidor Which? señaló que muchos bancos del Reino Unido estaban implementando la SCA al requerir un teléfono capaz de recibir mensajes de texto o notificaciones push . En una encuesta, casi uno de cada cinco miembros de Which? expresó su preocupación por la posibilidad de no poder realizar pagos si no existía una alternativa, ya sea por mala cobertura o por no tener teléfono. ^{[ 15 ]}

En 2020, un informe independiente realizado por la consultora CMSPI concluyó que la posible disrupción causada por la autenticación reforzada del cliente (excluyendo el Reino Unido) podría ser de 108 mil millones de euros en 2021. ^{[ 16 ]}

El Banco de la Reserva de la India ha establecido un "factor de autenticación adicional" para las transacciones sin tarjeta presente. ^{[ 17 ]}

Una propuesta para hacer obligatorio el sistema 3-D Secure en Australia fue bloqueada por la Comisión Australiana de Competencia y Consumo en 2016 tras varias objeciones. ^{[ 18 ]}

• 3D Secure