La autenticación fuerte de clientes ( SCA ) es un requisito de la Directiva revisada de la UE sobre servicios de pago (PSD2) para los proveedores de servicios de pago dentro del Espacio Económico Europeo . El requisito garantiza que los pagos electrónicos se realicen con autenticación multifactor , para aumentar la seguridad de los pagos electrónicos. [1] Las transacciones con tarjetas físicas ya cuentan comúnmente con lo que podría denominarse autenticación fuerte de clientes en la UE ( chip y PIN ), pero esto no ha sido generalmente cierto para las transacciones por Internet en la UE antes de la implementación del requisito, [1] y muchos pagos con tarjetas sin contacto no utilizan un segundo factor de autenticación.
El requisito de la SCA entró en vigor el 14 de septiembre de 2019. [2] Sin embargo, con la aprobación de la Autoridad Bancaria Europea , [3] varios países del EEE han anunciado que su implementación se retrasará temporalmente o se realizará en fases, [4] [5] con una fecha límite final establecida para el 31 de diciembre de 2020. [6]
El artículo 97(1) de la Directiva exige que los proveedores de servicios de pago utilicen una autenticación reforzada de clientes cuando un ordenante: [7]
(a) accede a su cuenta de pago en línea;
(b) inicia una transacción de pago electrónico;
(c) realiza cualquier acción a través de un canal remoto que pueda implicar un riesgo de fraude de pago u otros abusos.
El artículo 4(30) define la "autenticación fuerte del cliente" en sí misma (como autenticación multifactor): [7]
una autenticación basada en el uso de dos o más elementos categorizados como conocimiento (algo que sólo el usuario sabe), posesión (algo que sólo el usuario posee) e inherencia (algo que el usuario es) que son independientes, en el sentido de que la violación de uno no compromete la fiabilidad de los otros, y está diseñada de tal manera que protege la confidencialidad de los datos de autenticación
La Autoridad Bancaria Europea publicó una opinión sobre qué enfoques podrían constituir diferentes "elementos" de la SCA. [3]
3-D Secure 2.0 puede (pero no siempre [3] ) cumplir con los requisitos de la SCA. 3-D Secure tiene implementaciones de Mastercard (Mastercard Identity Check) [8] y Visa [9] que se comercializan como habilitadoras del cumplimiento de la SCA.
Los comerciantes de comercio electrónico deben actualizar los flujos de pago en sus sitios web y aplicaciones para admitir la autenticación. [10] Si no se admite la autenticación, muchos pagos se rechazarán una vez que se implemente por completo la SCA. [10]
El 31 de enero de 2013, el Banco Central Europeo (BCE) emitió recomendaciones sobre la seguridad de los pagos por Internet, exigiendo una autenticación fuerte de los clientes. [11] Los requisitos del BCE son tecnológicamente neutrales, con el fin de fomentar la innovación y la competencia. El proceso de presentación pública [12] al BCE identificó tres soluciones para la autenticación fuerte de los clientes, dos de las cuales se basan en la autenticación de confianza y la otra es la nueva variante de 3-D Secure que incorpora contraseñas de un solo uso .
Posteriormente, la Comisión Europea elaboró propuestas para una Directiva de Servicios de Pago actualizada que incluyera este requisito, que pasó a ser la PSD2. La autenticación reforzada de clientes de la PSD2 ha sido un requisito legal para los pagos electrónicos y las tarjetas de crédito desde el 14 de septiembre de 2019. [13]
En 2016, Visa criticó la propuesta de hacer obligatoria la autenticación fuerte de clientes, con el argumento de que podría dificultar los pagos en línea y, por lo tanto, perjudicar las ventas de los minoristas en línea. [14]
En 2019, el grupo de representación de consumidores Which? señaló que muchos bancos del Reino Unido estaban implementando la SCA al exigir un teléfono capaz de recibir mensajes de texto o notificaciones automáticas . Cuando se les encuestó, casi uno de cada cinco miembros de Which? estaban preocupados por no poder realizar pagos si no había otra alternativa, ya sea por mala recepción o por no tener un teléfono. [15]
En 2020, un informe independiente realizado por la consultora CMSPI concluyó que la posible disrupción causada por la autenticación fuerte de clientes (excluyendo el Reino Unido) podría ser de 108 000 millones de euros en 2021. [16]
El Banco de la Reserva de la India ha impuesto un "factor adicional de autenticación" para las transacciones sin tarjeta presente. [17]
En 2016, la Comisión Australiana de Competencia y Consumo bloqueó una propuesta para hacer obligatorio el 3-D Secure en Australia tras objeciones. [18]