Nowa unijna dyrektywa PSD2, regulująca usługi płatnicze w internecie, wprowadza zabezpieczenia transakcji, ale niesie ze sobą także zagrożenia - wskazuje Piotr Gałązka dyrektor Przedstawicielstwa Związku Banków Polskich w Brukseli. Wyjaśnił, że do tej pory obowiązywała zasada, że loginu i hasła używało się tylko na stronie banku i nie podawało ich na innych stronach. - Wraz z nowymi przepisami ta sztywna zasada trochę się rozmywa - ocenił.
Do stycznia 2018 roku Polska powinna implementować unijną dyrektywę PSD2 wraz z towarzyszącym jej rozporządzeniem Komisji Europejskiej, dotyczącym tak zwanych regulacyjnych standardów technicznych (RTS).
Dyrektywa reguluje między innymi kwestię cyberbezpieczeństwa i płatności w internecie. Przedstawiciel ZBP wskazuje na "silne uwierzytelnienie płatności". Dyrektywa wprowadza np. zasadę, że muszą występować dwa czynniki różnej natury, które będą uwierzytelniać daną płatność. Dodaje, że w Polsce takie zasady obowiązują już od jakiegoś czasu i istnieje np. obowiązek potwierdzenia transakcji internetowych przez kod wysyłany na komórkę. - Polska, w porównaniu do innych państw Unii, jest forpocztą, jeśli chodzi o stosowanie rozwiązań innowacyjnych w płatnościach - zaznacza.
Nowe uprawnienia
Gałązka podkreśla, że najistotniejszym nowym rozwiązaniem, wprowadzanym przez dyrektywę PSD2, jest wprowadzenie nowych kategorii instytucji płatniczych. Będą to tzw. podmioty trzecie, działające obok banków, dotychczasowych instytucji płatniczych czy operatorów pocztowych. Będą się do nich zaliczać dwie kategorie podmiotów: instytucje płatnicze, inicjujące płatność w internecie w imieniu klienta, a także podmioty świadczące usługę informacji o rachunku (zapewniające konsumentowi zagregowane informacje na temat jego rachunku lub rachunków, ewentualnie dostarczające analiz lub porównań transakcji). W Polsce, jak dodaje Gałązka, takie podmioty już funkcjonują - świadczą np. usługi realizacji płatności w sklepach internetowych. Przedstawiciel ZBP zwraca uwagę, że zmiana polega na tym, że "podmioty trzecie", pośredniczące w transakcjach internetowych, będą miały prawo pobierania od klientów loginów i haseł do kont bankowych. Zaznacza, że po wejściu w życie dyrektywy "będzie możliwość podania loginu i hasła na stronie instytucji płatniczej".
Zasada loginu i hasła
Gałązka dodaje, że w toku prac legislacyjnych środowisko bankowe zwracało uwagę na ryzyka związane ze stosowaniem tych przepisów. - Do tej pory obowiązywała zasada, że loginu i hasła używało się tylko na stronie banku i nie podawało ich na innych stronach. To gwarantowało bezpieczeństwo środków, jeśli hasło nie zostało nikomu ujawnione. Wraz z nowymi przepisami ta sztywna zasada trochę się rozmywa - podkreśla Gałązka. - Pojawia się bowiem pytanie, czy wszyscy konsumenci będą w stanie prawidłowo rozpoznawać takie podmioty trzecie – dodaje. Warto jednak podkreślić, że podmiot trzeci musi być zarejestrowany i posiadać licencję KNF. Choć dyrektywa, zaznacza Gałązka, ma stworzyć nowe możliwości płatności internetowych przez wpuszczenie na rynek nowych podmiotów, efekt może być odwrotny od zamierzonego. - Jeśli spadnie poziom bezpieczeństwa i wzrośnie odsetek oszustw w internecie, wywoła to wręcz spadek zaufania do płatności internetowych - komentuje.
Przekierowanie klienta
Rozporządzenie RTS wprowadza dwie kategorie dostępu dla podmiotów trzecich – za pośrednictwem bezpiecznego interfejsu komunikacyjnego (API) oraz, w przypadku gdyby API nie działało w odpowiedni sposób, za pośrednictwem tzw. mechanizmu "fall-back". Mechanizm ten wykorzystuje dostęp przez stronę klienta, jednak przy założeniu, że podmiot trzeci jest identyfikowany. W rozporządzeniu, dodaje Gałązka, zawarty jest także zakaz zastosowania tzw. metody "redirection" jako jedynego sposobu przeprowadzenia uwierzytelnienia klienta. Metoda ta, dobrze sprawdzająca się np. na polskim rynku, polega na przekierowaniu klienta do strony banku, aby tam dopiero podawał swoje dane do logowania. Inne metody mogą wymagać od klienta podania danych do logowania także na stronach lub w aplikacjach podmiotów trzecich. - To wszystko powoduje, że banki muszą zwiększyć wysiłki na rzecz działań edukacyjnych, związanych z płatnościami w internecie - dodaje przedstawiciel ZBP
Autor: ps/ms / Źródło: PAP
Źródło zdjęcia głównego: Shutterstock