3D Secure to protokół bezpieczeństwa, który pomaga realizować wymogi Silnego Uwierzytelniania Klienta (SCA) wynikające z unijnej dyrektywy PSD2. Przy płatności internetowej bank może wymagać potwierdzenia tożsamości za pomocą co najmniej dwóch niezależnych czynników, na przykład aplikacji mobilnej i kodu lub PIN-u.
Czym jest 3D Secure i dlaczego jest wymagane?
3D Secure zabezpiecza płatności kartą wykonywane bez fizycznego użycia karty, czyli przede wszystkim zakupy w internecie. Po wpisaniu danych karty użytkownik może zostać przekierowany do banku albo zobaczyć ekran bankowej autoryzacji bezpośrednio w procesie płatności.
Podstawą tego rozwiązania jest SCA, czyli Silne Uwierzytelnianie Klienta. Wymóg ten wynika z dyrektywy PSD2 i ma ograniczać ryzyko nieautoryzowanych transakcji. Nie jest to opcjonalna funkcja dodawana wyłącznie przez wybrane banki. Sposób jej realizacji zależy jednak od banku, sklepu, organizacji płatniczej i rodzaju transakcji.
Jak działa uwierzytelnianie dwuskładnikowe?
System sprawdza co najmniej dwa czynniki należące do różnych kategorii. Samo podanie numeru karty i kodu CVV nie zawsze spełnia ten warunek, ponieważ są to dane związane z instrumentem płatniczym, a nie pełne potwierdzenie tożsamości właściciela.
Trzy kategorie czynników uwierzytelniania obejmują:
- Wiedzę – coś, co znasz, na przykład PIN, hasło lub ustaloną odpowiedź.
- Posiadanie – coś, co masz, na przykład telefon z aplikacją bankową, zaufane urządzenie albo token.
- Cechy użytkownika – coś, czym jesteś, na przykład odcisk palca lub cecha twarzy rozpoznawana przez urządzenie.
Przykładem może być zatwierdzenie płatności w aplikacji mobilnej za pomocą biometrii. Telefon pełni wtedy rolę czynnika posiadania, a biometria – czynnika związanego z cechą użytkownika. W innym wariancie bank może połączyć kod SMS z PIN-em, choć dokładny sposób działania zależy od jego procedur.
Jak przebiega płatność z 3D Secure?
Typowy proces wygląda następująco:
- W sklepie internetowym wybierasz płatność kartą i wpisujesz jej numer, datę ważności oraz kod CVV lub CVC.
- Sklep przekazuje żądanie autoryzacji do banku lub operatora płatności. Możesz zostać przekierowany na stronę banku albo zobaczyć okno potwierdzenia w procesie płatności.
- Sprawdzasz kwotę, nazwę odbiorcy i inne szczegóły transakcji. Następnie potwierdzasz ją w aplikacji mobilnej, kodem SMS, PIN-em lub inną metodą wskazaną przez bank.
- Po pozytywnej weryfikacji wracasz do sklepu, a płatność jest dalej przetwarzana. Nieudane lub anulowane uwierzytelnienie może zakończyć się odrzuceniem transakcji.
W aplikacji mobilnej potwierdzenie zwykle polega na otwarciu powiadomienia, sprawdzeniu danych i zaakceptowaniu operacji PIN-em do aplikacji albo biometrią. Przy metodzie SMS użytkownik wpisuje jednorazowy kod, a czasem także dodatkowy PIN lub hasło. Nie podawaj takich danych poza ekranem wyświetlonym przez bank lub certyfikowanego operatora płatności.
3D Secure 1.0 i 2.0 – czym się różnią?
Starszy 3D Secure 1.0 opierał się głównie na przekierowaniu do osobnej strony i wpisaniu hasła albo kodu SMS. Nowszy 3D Secure 2.0 lepiej współpracuje z aplikacjami mobilnymi, biometrią i analizą ryzyka. Może też przekazywać bankowi więcej informacji o transakcji, dzięki czemu część płatności przechodzi bez dodatkowego ekranu dla użytkownika.
| Metoda | Wygoda | Bezpieczeństwo |
|---|---|---|
| Aplikacja mobilna z PIN-em lub biometrią | Szybkie potwierdzenie w telefonie, bez przepisywania kodu | Wysokie, gdy urządzenie i aplikacja są właściwie chronione |
| SMS i PIN lub hasło | Nie wymaga aktywnej aplikacji, ale wymaga odebrania wiadomości i wpisania danych | Zależne od ochrony numeru telefonu oraz poufności PIN-u lub hasła |
Dlaczego 3D Secure nie pojawia się przy każdej płatności?
Brak dodatkowego potwierdzenia nie musi oznaczać błędu. O uruchomieniu pełnego uwierzytelniania decyduje system obsługujący transakcję, na podstawie oceny ryzyka. Znaczenie mogą mieć między innymi kwota, historia zakupów, urządzenie, lokalizacja, sklep oraz wcześniejsze zachowanie klienta.
Przepisy przewidują sytuacje, w których bank lub operator może zastosować wyłączenie. Najczęściej chodzi o:
- transakcje o niskiej wartości, jeśli spełniają warunki określone w przepisach,
- płatności ocenione przez system jako niskiego ryzyka, czyli tak zwany frictionless flow,
- sprzedawców dodanych do listy zaufanych odbiorców, jeśli bank i klient umożliwiają takie rozwiązanie,
- płatności realizowane w sklepie, który nie obsługuje 3D Secure, choć wtedy bank może zastosować własne reguły bezpieczeństwa albo odrzucić transakcję.
Ważne jest rozróżnienie ról. Sklep i operator płatności inicjują proces, a bank wydawcy karty ocenia ryzyko i może zażądać dodatkowego potwierdzenia. Użytkownik nie wybiera samodzielnie, czy dana płatność będzie wymagała 3D Secure. Gdy pojawi się ekran autoryzacji, sprawdź dane transakcji przed zatwierdzeniem.
Najprościej mówiąc, 3D Secure łączy płatność internetową z dodatkowym potwierdzeniem tożsamości. Nie każda transakcja wymaga widocznej autoryzacji, ponieważ system może uznać ją za niskiego ryzyka, ale decyzję podejmują mechanizmy banku i operatora płatności, a nie sam użytkownik.
Artykuł ma charakter informacyjny i nie zastępuje regulaminu banku ani indywidualnej pomocy w sprawie zablokowanej karty lub nieudanej autoryzacji.
