L’arrivo del cosiddetto Open Banking introduce cambiamenti significativi nei settori dei pagamenti e dei servizi finanziari. L’obiettivo è chiaro: favorire l’innovazione e lo sviluppo del mercato europeo, promuovendo al tempo stesso la concorrenza, riducendo i costi per i consumatori e, naturalmente, migliorando la sicurezza dei pagamenti e la protezione dei clienti.
Per garantire la salvaguardia dei pagamenti elettronici, la direttiva promuove la creazione di solidi sistemi di autenticazione per gli utenti, noti come Strong Customer Authentication (SCA), che impongono che i processi contengano almeno due dei tre fattori critici di autenticazione.
Devono quindi includere qualcosa che solo il cliente conosce - una chiave di sicurezza, risposte a domande personali, un PIN di accesso, sequenze di controllo e così via; qualcosa che solo il cliente possiede – generalmente il dispositivo dal quale viene effettuato o autorizzato il pagamento. Il terzo elemento viene definito da qualcosa che il cliente è – un requisito personale. Quest’area necessita di maggiore innovazione dato che non si limita alle impronte digitali o al riconoscimento facciale, ma gli schemi biometrici e il modo di utilizzare il device sono considerati elementi di autenticazione validi.
L’Autorità Bancaria Europea (EBA) ha aggiunto un elemento ulteriore noto come Dynamic Linking che richiede che l’autenticazione sia tradotta in un codice a uso singolo direttamente correlato a una transazione con un beneficiario specifico e un importo determinato. In pratica, questo significa che il fattore di possesso sarà sempre necessario per determinare la validità dell’autenticazione e della validazione.
Il rischio per i servizi finanziari è una maggiore frizione in termini di customer experience dovuta all’aggiunta di nuove sequenze di controllo – in particolare per smartphone e hand-held device, per i quali i controlli 3D Secure possono reindirizzare l’utente a un indirizzo web generalmente non ottimizzato per il dispositivo.
Le transazioni di successo e la valutazione del rischio in tempo quasi reale devono essere adesso supportate da un maggior volume di informazioni e dati. Si prevede che possano essere più di 100 gli elementi da considerare, relativi a indirizzo di spedizione, ID del device, transaction history e schemi biometrici obbligatori per il benchmark. D’altra parte, l’esperienza del cliente dovrà essere protetta ma rimanere fluida, perché re-indirizzamenti o la necessità di interventi aggiuntivi potrebbero portare gli utenti ad abbandonare il processo originario a favore di uno alternativo caratterizzato da maggiore semplicità.
