Strong Customer Authentication

« Back to Glossary Index

Definizione di Strong Customer Authentication

La Strong Customer Authentication, spesso abbreviata in SCA, rappresenta un pilastro fondamentale nel panorama della sicurezza dei pagamenti digitali. In termini semplici, la SCA è un processo di autenticazione avanzato progettato per rendere i pagamenti elettronici più sicuri, riducendo significativamente il rischio di frodi. Il principio cardine su cui si basa la Strong Customer Authentication è l’utilizzo di almeno due elementi appartenenti a tre diverse categorie per verificare l’identità di un utente che staInitiating un’operazione di pagamento elettronico. Queste tre categorie, spesso definite come fattori di autenticazione, sono:

• Qualcosa che solo l’utente conosce (Knowledge): Questo fattore si basa su informazioni che l’utente ha memorizzato e che non dovrebbero essere conosciute da altri. Esempi comuni includono password, codici PIN, risposte a domande di sicurezza o pattern di sblocco.
• Qualcosa che solo l’utente possiede (Possession): Questo fattore si riferisce a un oggetto fisico che l’utente ha in suo possesso e che non dovrebbe essere accessibile ad altri. Esempi tipici sono smartphone, tablet, hardware token, smart card, o codici monouso (OTP) generati da un’app o inviati via SMS.
• Qualcosa che solo l’utente è (Inherence): Questo fattore si basa su caratteristiche biometriche uniche dell’utente. Esempi includono impronte digitali, riconoscimento facciale, scansione dell’iride o riconoscimento vocale.

L’obbligo di utilizzare almeno due di questi fattori introduce un livello di sicurezza significativamente superiore rispetto ai metodi di autenticazione tradizionali che spesso si basano su un singolo fattore, come ad esempio la sola password. La combinazione di due fattori rende molto più difficile per un truffatore completare una transazione fraudolenta, anche se è riuscito a ottenere uno dei fattori di autenticazione dell’utente.

Il Contesto e le Ragioni Dietro la SCA

L’implementazione della Strong Customer Authentication non è un evento isolato, ma si inserisce in un contesto più ampio caratterizzato dalla crescente digitalizzazione dei servizi finanziari e dal parallelo aumento delle minacce informatiche e delle frodi online. Con sempre più transazioni che avvengono attraverso canali digitali, la necessità di proteggere i consumatori e le aziende da attività illecite è diventata una priorità assoluta.

Uno dei principali motori dietro l’adozione della SCA è la Payment Services Directive 2 (PSD2), una direttiva europea entrata in vigore con l’obiettivo di modernizzare i servizi di pagamento, aumentare la concorrenza e, soprattutto, migliorare la sicurezza per i consumatori. La PSD2 ha reso obbligatoria l’implementazione della Strong Customer Authentication per la maggior parte dei pagamenti elettronici all’interno dello Spazio Economico Europeo (SEE).

Le ragioni alla base dell’introduzione della SCA sono molteplici e tutte convergenti verso un obiettivo comune: aumentare la sicurezza dei pagamenti online e ridurre le frodi. I metodi di autenticazione tradizionali, basati principalmente su password o numeri di carta, si sono dimostrati sempre più vulnerabili agli attacchi informatici, al phishing e ad altre tecniche di frode. La SCA, con il suo approccio multi-fattore, introduce una barriera di sicurezza molto più robusta, rendendo più difficile per i criminali informatici portare a termine transazioni non autorizzate.

I benefici della SCA sono significativi sia per i consumatori che per le aziende. Per i consumatori, la SCA si traduce in una maggiore protezione contro le frodi, riducendo il rischio di subire perdite finanziarie a causa di transazioni non autorizzate. Per le aziende, l’implementazione della SCA può portare a una diminuzione delle contestazioni di pagamento e delle perdite dovute a frodi, oltre a migliorare la fiducia dei clienti nei propri servizi online.

I Tre Fattori di Autenticazione

Come accennato, la Strong Customer Authentication si basa sull’utilizzo di almeno due fattori appartenenti a tre diverse categorie: conoscenza, possesso e inerenza. Analizziamo nel dettaglio ciascuna di queste categorie, fornendo esempi e discutendo i rispettivi punti di forza e di debolezza.

Qualcosa che solo l’utente conosce (Knowledge)

Questo fattore di autenticazione si basa su informazioni che l’utente ha memorizzato e che dovrebbero essere uniche e segrete.

• Esempi:
  • Password: Una sequenza di caratteri alfanumerici scelta dall’utente per accedere a un account o autorizzare una transazione.
  • Codice PIN: Un codice numerico di solito composto da 4 o più cifre, spesso utilizzato per l’accesso a carte di pagamento o servizi bancari.
  • Risposte a domande di sicurezza: Domande predefinite (ad esempio, "Qual è il nome del tuo animale domestico?") a cui l’utente ha fornito una risposta durante la fase di registrazione.
  • Pattern di sblocco: Una sequenza di punti da tracciare sullo schermo di un dispositivo mobile per sbloccarlo o autorizzare un’azione.
• Punti di forza: I fattori di conoscenza sono spesso facili da implementare e non richiedono hardware aggiuntivo.
• Punti di debolezza: Le password possono essere dimenticate, indovinate o rubate tramite tecniche di phishing o data breach. Le risposte alle domande di sicurezza possono essere facilmente reperibili o indovinabili. I pattern di sblocco possono essere osservati.

Qualcosa che solo l’utente possiede (Possession)

Questo fattore di autenticazione si basa sul possesso di un oggetto fisico che l’utente controlla.

• Esempi:
  • Smartphone o Tablet: Utilizzati per ricevere codici monouso (OTP) via SMS o tramite app di autenticazione.
  • Hardware Token: Dispositivi fisici che generano codici monouso a intervalli regolari.
  • Smart Card: Carte dotate di chip che richiedono un lettore per l’autenticazione.
  • Security Key: Dispositivi USB o Bluetooth che forniscono un ulteriore livello di sicurezza per l’accesso agli account.
• Punti di forza: I fattori di possesso offrono un livello di sicurezza superiore rispetto ai soli fattori di conoscenza, in quanto richiedono l’accesso fisico all’oggetto.
• Punti di debolezza: Gli oggetti possono essere smarriti, rubati o danneggiati. La ricezione di OTP via SMS può essere vulnerabile a intercettazioni o SIM swapping.

Qualcosa che solo l’utente è (Inherence)

Questo fattore di autenticazione si basa su caratteristiche biometriche uniche dell’utente.

• Esempi:
  • Impronta Digitale: Scansione dell’impronta digitale per sbloccare dispositivi o autorizzare pagamenti.
  • Riconoscimento Facciale: Analisi delle caratteristiche uniche del volto per l’autenticazione.
  • Scansione dell’Iride: Scansione del pattern unico dell’iride dell’occhio.
  • Riconoscimento Vocale: Identificazione dell’utente tramite l’analisi della sua voce.
• Punti di forza: I fattori di inerenza sono intrinsecamente legati all’utente e sono difficili da falsificare o rubare.
• Punti di debolezza: La tecnologia biometrica può essere costosa da implementare e può sollevare preoccupazioni relative alla privacy e alla sicurezza dei dati biometrici. L’accuratezza del riconoscimento può variare a seconda delle condizioni ambientali o delle caratteristiche fisiche dell’utente.

Come Funziona il Processo di Strong Customer Authentication

Il processo di Strong Customer Authentication per un pagamento elettronico tipico segue generalmente questi passaggi:

1. L’utente avvia un pagamento: L’utente seleziona un prodotto o servizio online e procede al pagamento.
2. Il sistema richiede l’autenticazione: Il sistema del merchant o del fornitore di servizi di pagamento rileva la necessità di applicare la SCA e richiede all’utente di autenticarsi.
3. Selezione dei fattori di autenticazione: L’utente viene presentato con diverse opzioni per autenticarsi, che coinvolgono la combinazione di almeno due dei tre fattori (conoscenza, possesso, inerenza).
4. Inserimento delle informazioni o verifica: A seconda dei fattori scelti, l’utente potrebbe dover inserire una password e un codice OTP ricevuto via SMS, oppure utilizzare l’impronta digitale e una password.
5. Verifica dei fattori: Il sistema verifica l’accuratezza delle informazioni fornite o la validità della verifica biometrica.
6. Autorizzazione del pagamento: Se la verifica di entrambi i fattori ha successo, il pagamento viene autorizzato e completato.

Un esempio comune di SCA è l’utilizzo di una password (knowledge) insieme a un codice monouso (OTP) inviato al numero di telefono dell’utente (possession) per autorizzare un pagamento con carta di credito online. Un altro esempio potrebbe essere l’utilizzo dell’impronta digitale (inherence) combinata con il PIN della carta (knowledge).

L’Impatto della SCA sugli Utenti

L’introduzione della Strong Customer Authentication ha avuto un impatto significativo sull’esperienza degli utenti durante i pagamenti online.

• Maggiore sicurezza: Il principale vantaggio per gli utenti è un aumento significativo della sicurezza dei pagamenti elettronici. La necessità di utilizzare due fattori di autenticazione rende molto più difficile per i truffatori completare transazioni non autorizzate, proteggendo così gli utenti da potenziali perdite finanziarie.
• Riduzione del rischio di frodi: Grazie alla SCA, il rischio di subire frodi online si riduce notevolmente. Anche se un truffatore dovesse riuscire a ottenere la password di un utente, non sarebbe in grado di completare un pagamento senza avere accesso anche al suo secondo fattore di autenticazione, come lo smartphone o l’impronta digitale.
• Potenziale frizione: Un aspetto che alcuni utenti potrebbero percepire come negativo è la potenziale maggiore frizione nel processo di pagamento. L’introduzione di un secondo fattore di autenticazione può rendere il processo leggermente più lungo e complesso rispetto ai metodi tradizionali basati su un solo fattore. Tuttavia, molti fornitori di servizi di pagamento stanno lavorando per rendere il processo di SCA il più fluido e user-friendly possibile, ad esempio tramite l’utilizzo di autenticazione biometrica integrata nei dispositivi mobili.
• Importanza della sicurezza dei fattori: La SCA aumenta la responsabilità degli utenti nel mantenere sicuri i propri fattori di autenticazione. È fondamentale proteggere le proprie password, non condividere i codici OTP e assicurarsi che i dispositivi utilizzati per l’autenticazione siano protetti da password o altri meccanismi di sicurezza.

L’Impatto della SCA sulle Imprese

Anche le imprese hanno dovuto adattarsi all’introduzione della Strong Customer Authentication.

• Riduzione della responsabilità per frodi: Per le aziende che implementano correttamente la SCA, la responsabilità per le transazioni fraudolente si riduce. Se un pagamento viene autenticato tramite SCA, la responsabilità per eventuali frodi ricade generalmente sul fornitore del servizio di pagamento o sulla banca dell’utente.
• Necessità di aggiornamenti tecnici: L’implementazione della SCA ha spesso richiesto alle aziende di effettuare aggiornamenti tecnici ai propri sistemi di pagamento per supportare i nuovi protocolli di autenticazione. Questo può aver comportato investimenti in nuove tecnologie e infrastrutture.
• Conformità normativa: Le aziende che operano all’interno del SEE sono tenute a conformarsi alla normativa PSD2 e implementare la SCA per la maggior parte dei pagamenti elettronici. La mancata conformità può comportare sanzioni e multe.
• Ottimizzazione del processo di checkout: Per le aziende è fondamentale ottimizzare il processo di checkout per minimizzare la potenziale frizione causata dalla SCA e garantire un’esperienza di acquisto positiva per i clienti. Questo può includere l’offerta di diverse opzioni di autenticazione user-friendly e la fornitura di chiare istruzioni agli utenti durante il processo di pagamento.

Esenzioni dalla Strong Customer Authentication

Sebbene la SCA sia obbligatoria per la maggior parte dei pagamenti elettronici, la normativa PSD2 prevede alcune esenzioni in determinate circostanze. Queste esenzioni sono state introdotte per bilanciare la necessità di maggiore sicurezza con la volontà di garantire un’esperienza di pagamento fluida e senza interruzioni per gli utenti. Alcuni esempi comuni di esenzioni dalla SCA includono:

• Transazioni a basso valore: Pagamenti di importo inferiore a una certa soglia (ad esempio, 30 euro) possono essere esentati dalla SCA, a condizione che non vengano superati determinati limiti sul numero di transazioni esenti consecutive o sull’importo totale delle transazioni esenti.
• Merchant "whitelisted" o "trusted beneficiaries": Gli utenti possono indicare alcuni merchant come "affidabili" o aggiungere beneficiari a una "lista bianca". I pagamenti verso questi merchant o beneficiari potrebbero essere esentati dalla SCA.
• Pagamenti ricorrenti: I pagamenti ricorrenti per abbonamenti o servizi potrebbero richiedere l’applicazione della SCA solo per la prima transazione, mentre le transazioni successive potrebbero essere esentate.
• Transazioni considerate a basso rischio: I fornitori di servizi di pagamento possono valutare il livello di rischio di una transazione in tempo reale e, se il rischio è considerato basso, potrebbero decidere di esentare la transazione dalla SCA.
• Transazioni "Merchant Initiated Transactions" (MIT): Transazioni avviate dal merchant senza la diretta interazione dell’utente (ad esempio, addebiti automatici per servizi sottoscritti) possono essere esentate dalla SCA, a condizione che l’utente abbia fornito il proprio consenso iniziale.

È importante notare che l’applicazione di queste esenzioni non è automatica e dipende dalla decisione del fornitore di servizi di pagamento o della banca. Inoltre, anche se una transazione rientra in una delle categorie di esenzione, il fornitore di servizi di pagamento potrebbe comunque richiedere l’applicazione della SCA se lo ritiene necessario per motivi di sicurezza.

Il Futuro della Strong Customer Authentication

Il panorama della Strong Customer Authentication è in continua evoluzione, con l’emergere di nuove tecnologie e l’affinamento delle normative esistenti. Il futuro della SCA potrebbe essere caratterizzato da:

• Tecnologie di autenticazione emergenti: Si prevede che l’utilizzo di tecnologie di autenticazione biometrica diventerà sempre più diffuso, grazie alla loro elevata sicurezza e alla crescente familiarità degli utenti con queste soluzioni integrate nei dispositivi mobili. Altre tecnologie emergenti, come l’autenticazione comportamentale (basata sull’analisi del modo in cui un utente interagisce con il proprio dispositivo) potrebbero in futuro giocare un ruolo importante nel rendere l’autenticazione ancora più fluida e invisibile.
• Metodi di autenticazione più user-friendly: L’obiettivo principale per il futuro è quello di rendere il processo di autenticazione il più sicuro possibile senza compromettere l’esperienza dell’utente. Si prevede quindi lo sviluppo di metodi di autenticazione che richiedano meno interazioni da parte dell’utente e che siano integrati in modo più trasparente nei flussi di pagamento.
• Evoluzione delle normative: Le normative relative alla sicurezza dei pagamenti digitali, come la PSD2, sono soggette a revisioni e aggiornamenti per tenere il passo con l’evoluzione delle minacce informatiche e delle tecnologie di pagamento. È probabile che in futuro vedremo ulteriori sviluppi e chiarimenti normativi in materia di Strong Customer Authentication.
• Adozione globale: Sebbene la PSD2 abbia introdotto l’obbligo della SCA principalmente all’interno del SEE, l’importanza di una forte autenticazione dei clienti per i pagamenti online è riconosciuta a livello globale. È possibile che in futuro vedremo una maggiore convergenza verso standard di autenticazione simili in diverse giurisdizioni.

In conclusione, la Strong Customer Authentication rappresenta un elemento cruciale per garantire la sicurezza e l’affidabilità dei pagamenti online. Sebbene la sua implementazione possa aver introdotto una maggiore complessità nel processo di pagamento per alcuni utenti, i benefici in termini di riduzione delle frodi e protezione dei consumatori sono innegabili. Con l’evoluzione delle tecnologie e delle normative, possiamo aspettarci che la SCA continui a giocare un ruolo fondamentale nel plasmare il futuro dei pagamenti digitali.

« Torna all'indice del Glossario