In breve
- La SCA (autenticazione forte del cliente) è un obbligo della direttiva europea PSD2: per pagare online, accedere al conto e disporre bonifici servono almeno due fattori tra conoscenza, possesso e inerenza.
- 3D Secure è il modo in cui Visa e Mastercard applicano la SCA agli acquisti online con carta; la versione 2 usa notifiche nell'app della banca e biometria, non più password fisse.
- Non tutti i pagamenti chiedono la conferma: esistono esenzioni per importi bassi, beneficiari fidati, abbonamenti ricorrenti e operazioni a basso rischio.
- Se il codice non arriva, la causa è quasi sempre nell'app, nelle notifiche o nel numero registrato; la soluzione non è mai comunicare il codice a qualcuno.
- La SCA riduce le frodi ma non le azzera: il tuo comportamento, e il fatto di non condividere mai i codici, resta la protezione principale.
Che cos'è la PSD2 e perché ti riguarda
La PSD2 (direttiva (UE) 2015/2366 sui servizi di pagamento) è la norma europea che regola i pagamenti elettronici nell'Unione e che ha introdotto l'obbligo di autenticazione forte del cliente per la maggior parte delle operazioni. Ti riguarda ogni volta che accedi all'app della banca, paghi online con la carta, disponi un bonifico o aggiungi la carta a un wallet: la conferma che ti viene chiesta è l'applicazione pratica di quella direttiva.
La PSD2 ha anche fissato regole sulla responsabilità in caso di operazioni non autorizzate. Se qualcuno usa la tua carta senza il tuo consenso prima che tu abbia segnalato lo smarrimento o il furto, la franchigia massima a tuo carico è di 50 €, salvo dolo o colpa grave da parte tua; dopo la segnalazione la responsabilità è dell'emittente. È una tutela che va di pari passo con la SCA: l'emittente deve proteggere le operazioni, e tu devi custodire gli strumenti di autenticazione. Cosa fare in caso di frode e come ottenere il rimborso lo spieghiamo in frode con carta di credito: cosa fare.
Le regole tecniche di dettaglio sulla SCA (i fattori ammessi, le esenzioni, i requisiti dei canali di comunicazione) sono contenute nelle norme tecniche di regolamentazione elaborate dall'Autorità Bancaria Europea e adottate dalla Commissione.
Come funziona l'autenticazione forte: i tre fattori
L'autenticazione forte richiede che tu dimostri la tua identità con almeno due elementi appartenenti a categorie diverse, in modo che la compromissione di uno non comprometta l'altro. Le categorie sono tre.
| Fattore | Cosa significa | Esempi |
|---|---|---|
| Conoscenza (qualcosa che sai) | Un'informazione nota solo a te | PIN dell'app, password, codice di sicurezza scelto da te |
| Possesso (qualcosa che hai) | Un oggetto che solo tu detieni | Smartphone registrato con l'app, token fisico, SIM con il numero registrato |
| Inerenza (qualcosa che sei) | Una caratteristica fisica | Impronta digitale, riconoscimento del volto |
La combinazione più diffusa oggi è possesso più inerenza o possesso più conoscenza: la notifica arriva sul tuo smartphone registrato (possesso) e la confermi con l'impronta o con il PIN dell'app (inerenza o conoscenza). Il vecchio codice OTP inviato via SMS conta come fattore di possesso, ma è considerato più debole perché gli SMS possono essere intercettati o dirottati; per questo molti emittenti lo hanno sostituito con la notifica in app.
Un requisito ulteriore della normativa è il collegamento dinamico: il codice o la conferma devono essere legati all'importo e al beneficiario specifici di quell'operazione. È il motivo per cui, quando confermi un pagamento nell'app, vedi l'importo e il nome del negoziante: se qualcuno modificasse l'operazione, la conferma non sarebbe più valida.
3D Secure: la SCA applicata agli acquisti online con carta
3D Secure è il protocollo dei circuiti che inserisce, nel percorso di pagamento online, un passaggio di verifica tra te e l'emittente della carta. Il nome deriva dai "tre domini" coinvolti: il dominio dell'esercente e della sua banca, il dominio dell'emittente della carta e il dominio del circuito che li mette in comunicazione. Visa lo chiama Visa Secure, Mastercard lo chiama Mastercard Identity Check; American Express ha un proprio sistema equivalente.
Dalla versione 1 alla versione 2
La prima versione di 3D Secure, diffusa dai primi anni Duemila, prevedeva una pagina di verifica in cui inserire una password statica scelta al momento dell'attivazione. Era scomoda, spesso dimenticata e non abbastanza sicura. La versione 2 (3DS2), diventata lo standard con la PSD2, ha cambiato approccio in due modi.
Il primo è la valutazione del rischio: durante il pagamento il negoziante trasmette all'emittente decine di informazioni sull'operazione (dispositivo, indirizzo, storico, importo) e l'emittente decide se l'operazione è a basso rischio, e quindi può passare senza conferma, o se serve l'autenticazione. Per te questo significa meno richieste di conferma sugli acquisti abituali.
Il secondo è il modo di confermare: non più una password, ma una notifica push nell'app della banca da confermare con biometria o PIN, oppure, come alternativa, un codice OTP via SMS. La conferma avviene nell'app dell'emittente, non sul sito del negoziante, ed è per questo che il negoziante non vede mai i tuoi fattori di autenticazione.
Cosa succede quando paghi online
La sequenza tipica di un pagamento online con 3DS2 è questa:
- Inserisci i dati della carta sul sito o nell'app del negoziante e confermi l'acquisto.
- Il negoziante invia l'operazione al circuito, che la inoltra al tuo emittente con i dati per la valutazione del rischio.
- L'emittente decide: se l'operazione rientra in un'esenzione o è a basso rischio, la autorizza subito; altrimenti ti invia una richiesta di conferma.
- Ricevi una notifica sull'app della banca (o un SMS con codice), vedi importo e negoziante, confermi con impronta, volto o PIN.
- L'emittente comunica l'esito al circuito e al negoziante, che completa l'ordine.
Tutto questo dura pochi secondi. Se non confermi entro il tempo previsto, l'operazione viene rifiutata e puoi ripeterla.
Quando non ti viene chiesta la conferma: le esenzioni
La conferma non viene richiesta quando l'operazione rientra in una delle esenzioni previste dalle norme tecniche della PSD2 o quando è fuori dall'ambito della SCA. Conoscerle aiuta a non allarmarsi quando un pagamento passa senza notifica, e a riconoscere invece i casi anomali.
- Importi bassi. I pagamenti online di importo contenuto (la soglia prevista dalle norme tecniche è di 30 €) possono essere esentati, entro limiti cumulativi: dopo un certo numero di operazioni consecutive esentate o un certo importo totale, la conferma viene comunque richiesta. Lo stesso principio vale per il contactless in negozio, con una soglia più alta (50 €) e limiti cumulativi analoghi.
- Beneficiari fidati. Puoi indicare all'emittente negozianti o beneficiari "di fiducia": i pagamenti successivi verso di loro possono passare senza conferma. La creazione della lista richiede a sua volta la SCA.
- Pagamenti ricorrenti. Gli abbonamenti e gli addebiti ricorrenti di importo fisso richiedono la conferma solo al primo pagamento; i successivi sono esentati.
- Operazioni a basso rischio. L'emittente o la banca del negoziante possono esentare operazioni valutate a basso rischio sulla base della propria analisi, entro soglie di importo e a condizione che il loro tasso di frode resti sotto livelli fissati dalla normativa.
- Operazioni avviate dal negoziante. Gli addebiti che il negoziante avvia senza di te sulla base di un accordo precedente (l'addebito finale dell'hotel, del noleggio auto, dei pedaggi) non richiedono la conferma, perché tu non sei presente al momento dell'operazione.
- Ordini per telefono o posta e pagamenti in cui una delle due parti è fuori dallo Spazio economico europeo possono non essere soggetti alla SCA europea.
Come la applicano le carte del confronto CartaSmart
Tutte le carte dei circuiti internazionali confrontate su CartaSmart, dalle carte di debito di Revolut, N26, Trade Republic e bunq alla carta di credito TF Mastercard Gold di TF Bank e alla prepagata Hype, supportano 3D Secure e applicano la SCA come richiesto dalla normativa europea, perché è un obbligo per chi emette strumenti di pagamento nell'Unione. Cambia il modo in cui la conferma ti viene proposta: nelle fintech nate con l'app la richiesta arriva come notifica push da confermare con biometria, con l'SMS come alternativa; nelle carte più tradizionali può essere ancora prevalente il codice via SMS.
Alcune funzioni offerte dalle app riducono ulteriormente il rischio, al di là della SCA. Revolut, per esempio, permette di generare carte virtuali usa e getta, che cambiano numero dopo ogni pagamento, e di disattivare singolarmente pagamenti online, contactless e prelievi; ne parliamo nella recensione Revolut e nella guida alle carte virtuali usa e getta. Il controllo della carta in tempo reale, con blocco istantaneo e notifiche per ogni movimento, è comune a tutte le carte del confronto e vale come terzo livello di protezione dopo la SCA e il tuo comportamento.
Per la TF Mastercard Gold di TF Bank, l'accesso all'area personale e la gestione della carta avvengono dall'area clienti ufficiale indicata da TF Bank, che segnala campagne di phishing a suo nome: dettagli nella recensione TF Bank.
Cosa fare se il codice o la notifica non arrivano
Il codice o la notifica che non arrivano sono il problema più frequente con la SCA, e nella maggior parte dei casi la causa è tecnica e risolvibile in pochi minuti. Ecco i controlli da fare, in ordine.
- Apri l'app della banca manualmente. Spesso la richiesta di conferma è visibile in una sezione dedicata anche se la notifica push non è comparsa.
- Verifica le notifiche. Controlla nelle impostazioni del telefono che le notifiche dell'app della banca siano attive e che la modalità "non disturbare" o il risparmio energetico non le blocchino.
- Aggiorna l'app. Le versioni vecchie possono non gestire correttamente le richieste 3DS2.
- Controlla il numero di telefono registrato nell'area clienti, se la conferma arriva via SMS: un numero vecchio è la causa classica del codice che "non arriva mai".
- Verifica la copertura e la SIM. Senza rete o con una SIM disattivata non ricevi né notifiche né SMS. Se hai cambiato telefono, l'app va di norma riattivata sul nuovo dispositivo con una procedura di sicurezza.
- Ripeti il pagamento dopo qualche minuto: le richieste hanno una scadenza e una nuova operazione genera una nuova richiesta.
- Contatta l'assistenza dell'emittente dai canali ufficiali (app, numero sul retro della carta, sito ufficiale) se nulla funziona.
Ciò che non devi fare mai è cercare il codice altrove: nessun operatore, nessun sito e nessun comparatore può "sbloccarti" il codice al telefono. Chi ti chiama proponendo di aiutarti a ricevere o a leggere il codice sta cercando di completare un pagamento a tuo nome.
La SCA non basta da sola: i codici non si condividono
La SCA rende molto difficile usare la tua carta senza di te, ma ha un punto debole che nessuna tecnologia può eliminare: te stesso. Le frodi più diffuse oggi non cercano di aggirare l'autenticazione forte, ma di convincerti a completarla al posto del truffatore. Lo schema tipico è una telefonata o un SMS che si presenta come la banca, segnala un'operazione sospetta e ti chiede di "confermare" o "bloccare" l'operazione comunicando il codice ricevuto o approvando la notifica nell'app. Quel codice o quella notifica sono in realtà l'autenticazione del pagamento che il truffatore sta facendo con i tuoi dati.
Le regole da fissare sono poche e assolute:
- il codice OTP e la notifica di conferma servono solo ad autorizzare un'operazione che stai facendo tu, in quel momento;
- nessuna banca, nessun emittente e nessun comparatore ti chiederà mai un codice, un PIN, una password o i dati completi della carta per telefono, SMS, email o chat;
- se una notifica di conferma compare mentre non stai pagando nulla, rifiutala e controlla i movimenti;
- se hai comunicato un codice, blocca subito la carta dall'app e contatta l'emittente.
CartaSmart non è una banca, non raccoglie dati e non ha alcun modulo di registrazione: non ti chiederà mai credenziali, codici OTP, PIN o numeri di carta con nessun mezzo, come spieghiamo in chi siamo. Gli schemi di phishing e smishing più comuni, con esempi concreti, sono descritti nella guida phishing, smishing e truffe bancarie.
Conclusione
L'autenticazione forte del cliente e 3D Secure sono il motivo per cui, oggi, pagare online con una carta europea è molto più sicuro di dieci anni fa: due fattori indipendenti, collegati all'importo e al beneficiario, confermati nell'app dell'emittente e non sul sito del negoziante. Le esenzioni per importi bassi, beneficiari fidati e abbonamenti evitano che la sicurezza diventi un fastidio; la valutazione del rischio di 3DS2 fa il resto. Quello che la tecnologia non può fare è impedirti di consegnare la conferma a chi te la chiede: il codice è tuo, serve solo a te, e nessuna banca e nessun sito, CartaSmart compreso, ha motivo di chiedertelo. Se vuoi ridurre ulteriormente il rischio degli acquisti online, la scelta di una carta con carte virtuali usa e getta e controllo in tempo reale dall'app è il passo successivo, e nel confronto CartaSmart trovi queste funzioni indicate per ogni prodotto.