A PSD2 e a autenticação forte
A Diretiva Europeia dos Serviços de Pagamento (PSD2), transposta para o direito francês desde 2019, impõe a autenticação forte: conhecida por SCA, ou Strong Customer Authentication, para todos os pagamentos online e para o acesso às contas bancárias.
A SCA exige a combinação de, pelo menos, dois fatores de três categorias: algo que se sabe (palavra-passe, PIN, pergunta secreta), algo que se possui (telemóvel, token físico, cartão inteligente) e algo que se é (impressão digital, reconhecimento facial, voz).
Uma palavra-passe não é, portanto, um retrocesso: é o primeiro fator de uma autenticação multifator. O segundo fator é habitualmente uma notificação push na aplicação bancária ou um código por SMS. É esta combinação que constitui a autenticação forte exigida pela regulamentação.
Os bancos franceses estão a recuperar o atraso
Vários bancos tradicionais franceses continuam a usar palavras-passe de 6 dígitos ou códigos numéricos curtos. Não se trata de uma fragilidade técnica deliberada: é uma limitação herdada de sistemas antigos. Os sistemas centrais de algumas instituições remontam aos anos 1980 1990, e migrá-los custa centenas de milhões de euros.
Os neobancos e os bancos online: Revolut, N26, Lydia, Boursorama, migraram para arquiteturas modernas que suportam biometria nativa, notificações push instantâneas e códigos dinâmicos de utilização única. Os seus sistemas foram concebidos para o telemóvel desde o primeiro dia.
Esta diferença cria uma perceção injusta: os grandes bancos parecem menos seguros quando, na realidade, aplicam a mesma regulamentação. A diferença está na experiência do utilizador, não no nível efetivo de proteção.
O que pode fazer
Seja qual for o seu banco, algumas ações simples maximizam o seu nível real de proteção.
- →Ative sempre a biometria na sua aplicação bancária, se estiver disponível.
- →Utilize um gestor de palavras-passe para gerar e guardar uma palavra-passe longa e única para cada banco.
- →Nunca reutilize o PIN do seu cartão de débito como palavra-passe de outro serviço: é o erro mais comum.
- →Ative as notificações de transações em tempo real para detetar de imediato qualquer operação não autorizada.
- →Verifique regularmente as sessões ativas na sua aplicação: a maioria dos bancos permite consultar e encerrar as ligações em curso.
A verdadeira proteção não reside na complexidade da palavra-passe, mas na ativação do segundo fator de autenticação. Um código de 4 dígitos combinado com uma confirmação biométrica é objetivamente mais seguro do que uma palavra-passe de 20 caracteres sem 2FA. Concentre os seus esforços na configuração certa.
- Directive (EU) 2015/2366 (PSD2) of the European Parliament and of the Council on payment services in the internal market, 2015 — EUR-Lex
- Commission Delegated Regulation (EU) 2018/389 — Regulatory Technical Standards for Strong Customer Authentication, 2018 — EUR-Lex
- European Commission, Strong Customer Authentication requirement of PSD2 comes into force, 2019
Verifique a segurança das suas aplicações