Avolute Technology

Пам’ятаєте часи, коли онлайн-платежі були схожі на російську рулетку? Вводиш дані картки і молишся, щоб все пройшло гаразд. Насправді PSD2 та безпека платежів — це як раз про те, як європейські регулятори вирішили навести лад у цифровому банкінгу. І знаєте що? Це справді спрацювало, хоча й не без проблем.

Що таке це PSD2 і навіщо воно взагалі?

Якщо коротко — це директива Євросоюзу, яка кардинально змінила правила гри в онлайн-платежах. PSD2 та безпека платежів тепер йдуть рука об руку, бо головна мета була проста: зробити так, щоб ваші гроші не могли спіймати хто попало.

Суть проста до неможливості: тепер для підтвердження платежу потрібно два різних підтвердження особи. Це називається сильною автентифікацією клієнта, але давайте без цих складних термінів. По-людськи це означає, що крім пароля вам треба підтвердити операцію через SMS, додаток чи відбиток пальця. І так, це трохи довше, але ваші гроші вже не зможе вкрасти хтось, хто просто дізнався номер картки.

Чесно кажучи, багато хто скаржився спочатку. “Занадто складно”, “довго”, “незручно”. Але коли люди побачили статистику зниження шахрайства — претензії стихли. Fraud management вийшов на новий рівень саме завдяки PSD2.

Як насправді працює сильна автентифікація?

Ось тут починається цікаве. PSD2 та безпека платежів базуються на концепції трьох факторів: щось, що ви знаєте (пароль), щось, чим ви володієте (телефон) і щось, чим ви є (біометрія). Для підтвердження платежу потрібні мінімум два з трьох.

Погляньмо на реальний приклад. Купуєте щось онлайн — вводите дані картки (знання), потім вам приходить SMS на телефон (володіння), ви підтверджуєте через додаток банку за допомогою відбитка пальця (біометрія). Ось вам і три рівні захисту. Шахрай має вкрасти не тільки дані картки, а й ваш телефон, і якось обійти біометрію. Складно? Саме в цьому суть.

А що з бізнесом і магазинами?

Тут справа цікавіша. Якщо ви приймаєте платежі онлайн — вам треба відповідати вимогам PSD2. І це не просто галочка “встановлено”, а реальна інтеграція з банківськими системами. Багато власників бізнесу спочатку думали: “Ну що там складного?” А потім виявилося, що треба переробляти весь платіжний процес.

Найбільше страждають ті, хто зробив власний платіжний шлюз. Тут PSD2 та безпека платежів вимагають серйозних технічних змін. Треба підтримувати різні методи автентифікації, працювати з токенами, забезпечувати шифрування на всіх етапах. І так, наскрізне шифрування тут не просто бажане — воно обов’язкове.

• Інтеграція з банками — потрібні API, які підтримують сильну автентифікацію
• Управління винятками — є ситуації, коли PSD2 дозволяє спрощену перевірку
• Моніторинг транзакцій — система має виявляти підозрілу активність
• Зберігання даних — жорсткі вимоги до того, що і як можна зберігати

Багато компаній вирішили не морочитись і просто перейшли на готові платіжні рішення типу Stripe чи PayPal. Чесно кажучи, це розумно — вони вже все налаштували, підтримують PSD2 з коробки, і ви просто отримуєте готовий інструмент.

Виняткові ситуації та лазівки

Тут стає цікаво. PSD2 не така вже й жорстка, як здається. Є купа винятків, коли сильна автентифікація не потрібна. Наприклад, платежі до 30 євро, регулярні платежі довіреним отримувачам, транзакції з низьким ризиком. Але тут є нюанс — визначає рівень ризику банк, а не магазин.

Є ще така штука як аналіз ризику в реальному часі. Банки дивляться на десятки параметрів: звідки платіж, якого розміру, чи типовий для цього клієнта, чи з нового пристрою. Якщо все виглядає підозріло — привіт, додаткова перевірка. І тут предиктивна аналітика кіберзагроз відіграє ключову роль.

Що з Open Banking та доступом до даних?

Ось тут PSD2 справді революційна. Тепер банки зобов’язані надавати доступ до рахунків сторонніх постачальників — але тільки з вашої згоди. Це відкрило дорогу новим фінтех-сервісам: програми для управління фінансами, сервіси миттєвих платежів, агрегатори банківських рахунків.

Погляньмо правді в очі — банкам це не дуже сподобалося. Вони втратили монополію на дані клієнтів. Але для нас, звичайних користувачів, це плюс. Тепер можна бачити всі свої рахунки в різних банках в одному додатку. Зручно? Ще й як.

Але є і зворотна сторона медалі. Більше доступу — більше ризиків. Тому PSD2 та безпека платежів встановлюють жорсткі правила для тих, хто отримує доступ до банківських даних. Ліцензування, аудити, технічні вимоги — все по-дорослому. І для захисту інфраструктури багато компаній використовують Symantec Endpoint Security Complete, бо коли йдеться про фінансові дані, жартів бути не може.

Реальні проблеми при впровадженні

Якби все було так гладко, як у презентаціях регуляторів. Насправді PSD2 створив купу головного болю. По-перше, покинуті кошики. Люди звикли до швидких покупок одним кліком, а тут раптом треба підтверджувати через додаток банку. Частина просто відмовляється від покупки.

По-друге, технічні проблеми. Коли запускали PSD2, сервери деяких банків просто лягли під навантаженням. Уявіть: чорна п’ятниця, всі кинулися купувати, а банк не встигає обробляти запити на автентифікацію. Хаос повний. Тому надійна інфраструктура — це не опція, а необхідність.

Що буде далі з платежами?

Чесно? PSD2 — це тільки початок. Вже обговорюють PSD3, де планують ще більше посилити захист та розширити Open Banking. Біометрія стане стандартом, штучний інтелект буде аналізувати транзакції в реальному часі, блокчейн може змінити сам підхід до платежів.

PSD2 та безпека платежів еволюціонують разом з технологіями. Те, що здається складним зараз, через рік буде звичайною справою. Головне — не боятися змін і розуміти, що все це насправді заради нашої безпеки. І так, комплексний кіберзахист фінансових операцій стає все складнішим, але альтернатива — це повернення до часів, коли онлайн-шахрайство було нормою.

Підсумовуючи: PSD2 змінила правила гри назавжди. Так, це додало складнощів. Так, довелося всім перебудовуватися. Але результат того вартий — безпечніші платежі, менше шахрайства, більше контролю над своїми грошима. І це лише початок трансформації фінансової безпеки, яку ми побачимо найближчим часом.