Nová pravidla pro platby kartou a na internetu. Co bude od soboty jinak?

Hlavní změnou, která ovlivní spotřebitele, bude ověřování karetních plateb. Doposud stačilo do platební brány vepsat kód zaslaný SMS zprávou, nově už to nebude možné.

PSD2 regulace klade požadavek na použití dvou ze tří autentizačních faktorů:

Zaprvé něco, co uživatel ví, tedy PIN kód nebo heslo. Zadruhé něco, co uživatel vlastní, v tomto případě mobilní telefon. A zatřetí pak něco, čím uživatel je, tedy biometrický údaj.

„Potíž oproti stávající praxi je v tom, že SMS se počítá do stejné kategorie jako samotný telefon, tedy něco, co uživatel vlastní. Je proto potřeba přidat k ověření ještě jeden faktor,“ vysvětluje technologický konzultant z PwC Česká republika Martin Huňka.

Nejčastější variantou, kterou banky svým klientům nabídnou v rámci tohoto nového nařízení, bude ověřování totožnosti pomocí biometrického údaje v aplikaci. V praxi to bude fungovat tak, že namísto potvrzovací SMS se v chytrém telefonu otevře upozornění vybízející zákazníka k otisku prstu nebo skenu obličeje. Spojí se tedy dva body ze zmíněných tří.

Problém může nastávat u klientů bez chytrých telefonů. „V tomto případě to asi bude méně uživatelsky přívětivé a klienti bank si pravděpodobně budou muset zapamatovat speciální heslo či PIN, kterým budou vždy transakci ověřovat. Dojde tak k ověření dvěma faktory: něčím, co uživatel ví, a něčím, co uživatel vlastní,“ vysvětluje Huňka z PwC Česká republika.

Hlavní motivací je zvýšení bezpečnosti. „Rostoucí počet podvodů i s léta osvědčenými metodami, k nimž patří např. SMS, jen poukázal na dynamický vývoj na straně podvodníků a na skutečnost, že co bylo dříve považováno za etalon funkčního a bezpečného řešení, dnes už nemusí dostačovat,“ zasazuje vznik směrnice do kontextu expert PwC na kyberbezpečnost Jiří Urbanec.

Požadavek na dvoufaktorové zabezpečení je podle odborníků správnou cestou. A to kvůli tomu, že v podstatě každý z faktorů má sám o sobě svá rizika.

Detaily kolem systému PSD2

„Je známo, že heslo nebo PIN není zcela faktorem, který uživatelé spolehlivě udrží pod svou výhradní kontrolou, a sdělují je ostatním. U předmětů, které uživatel vlastní, může být situace lepší, ale i karty, případně telefony, se půjčují. Biometrika se zdá být nejvíce pokročilým faktorem, nicméně jsou známy případy, kdy uživatelé mají v sadě svých otisků prstů nasnímány otisky partnera, případně že technika rozlišení obličeje přijme prostou fotografii,“ vysvětluje Urbanec.

„Osobně nejvíc věřím v kombinaci faktorů ‚něco, čím uživatel je‘ a ‚něco, co uživatel ví‘, neboť prokázání určité znalosti ukazuje na záměr platbu nebo přihlášení provést. Chápu však, že toto je právě kombinace, která je obtížně přijatelná z pohledu uživatelské přívětivosti, a v praxi se nejspíše prosadí kombinace faktorů, které budou reagovat na výši transakce a s ní související rizika,“ říká Urbanec z PwC.

Německo, Francie, Itálie a Spojené království vyhlásily určité toleranční období, které budou mít banky navíc na to, aby se zpřísnění přizpůsobily. Někteří zdejší poskytovatelé platebních služeb už změny ve svých aplikacích aktivovali, vypadá to tedy, že na nástup nové směrnice jsou tuzemské instituce připravené. Česká národní banka však ve středu varovala, že v souvislosti se sobotním startem nových bruselských pravidel pro bezpečné platby na internetu nemusí vždy fungovat placení platebními kartami. Terminály mohou odmítat platby bezkontaktními kartami v částkách do 500 korun bez ověření.

Novým pravidlům, pro něž se vžila zkratka PSD2, se přizpůsobují i banky. Česká spořitelna. Banka s největším počtem klientů (1,5 milionu) oznámila, že všem postupně zpřístupní aplikaci George klíč, která vyhovuje bruselskému nařízení. mBank zase klientům nabídla aplikaci mKlíč.