I processi antifrode introdotti dalla PSD2

La direttiva europea sui servizi di pagamento PSD2 è entrata in vigore in Italia nel gennaio 2018 attraverso il decreto legislativo n. 218/2017, modificando in modo significativo il funzionamento del mercato dei pagamenti.

La normativa ha ridefinito il rapporto tra banche, fintech, prestatori di servizi di pagamento e consumatori, introducendo nuove opportunità di accesso ai dati e nuovi requisiti in materia di sicurezza.

Il suo impatto ha coinvolto numerose funzioni aziendali, tra cui compliance, finance, infrastrutture informatiche, gestione del rischio e affari legali. La PSD2 ha infatti accompagnato un cambiamento più ampio: il passaggio da un sistema bancario chiuso a un ecosistema nel quale soggetti autorizzati possono offrire servizi basati sull’accesso ai conti di pagamento.

I fondamenti dell’Open Banking

L’Open Banking si basa sulla condivisione sicura dei dati finanziari attraverso interfacce informatiche, generalmente API.

Con il consenso dell’utente, queste infrastrutture permettono a operatori autorizzati di accedere a determinate informazioni sui conti o di avviare operazioni di pagamento. L’obiettivo è favorire maggiore concorrenza, trasparenza e innovazione nei servizi finanziari.

La PSD2 ha introdotto e regolamentato i Third Party Payment Service Providers, operatori terzi che possono fornire servizi di pagamento pur non detenendo direttamente il conto del cliente. Gli istituti presso cui sono aperti i conti, definiti Account Servicing Payment Service Providers, devono consentire l’accesso agli operatori autorizzati secondo le condizioni previste dalla normativa.

I vantaggi per i consumatori

L’Open Banking permette ai consumatori di accedere più facilmente alle proprie informazioni finanziarie, visualizzare conti detenuti presso istituti differenti e utilizzare nuovi servizi di pagamento o gestione delle finanze personali.

La maggiore apertura del mercato può inoltre favorire lo sviluppo di prodotti personalizzati e una maggiore concorrenza tra operatori tradizionali e fintech.

L’accesso ai dati non è però automatico: deve avvenire con il consenso dell’utente, attraverso soggetti autorizzati e nel rispetto delle regole in materia di sicurezza e protezione dei dati.

Sicurezza dei pagamenti e autenticazione forte

Uno degli elementi centrali introdotti dalla PSD2 è la Strong Customer Authentication, applicabile ai pagamenti elettronici e all’accesso online ai conti, salvo le esenzioni previste dalla normativa.

L’autenticazione deve basarsi su almeno due elementi indipendenti appartenenti a categorie differenti:

• qualcosa che il cliente conosce, come una password o un PIN
• qualcosa che il cliente possiede, come uno smartphone o un token
• qualcosa che identifica il cliente, come un’impronta digitale o il riconoscimento facciale

Per i pagamenti elettronici a distanza, l’autenticazione prevede inoltre il cosiddetto dynamic linking. Il codice di autorizzazione viene collegato all’importo e al beneficiario della specifica operazione, rendendo invalido il codice qualora uno di questi elementi venga modificato.

La sicurezza non dipende soltanto dalla presenza di una password temporanea, ma dal legame tra l’autenticazione e la transazione effettivamente autorizzata dall’utente.

I servizi di accesso al conto

Tra le principali innovazioni introdotte dalla PSD2 rientra l’accesso regolamentato ai conti di pagamento da parte di operatori terzi autorizzati. I principali servizi previsti sono:

• Payment Initiation Service · consente a un operatore autorizzato di avviare, su richiesta dell’utente, un pagamento da un conto detenuto presso un altro prestatore di servizi di pagamento
• Account Information Service · permette di raccogliere e presentare in modo aggregato le informazioni relative a uno o più conti detenuti presso banche o intermediari differenti
• Conferma della disponibilità dei fondi · permette, in specifiche circostanze e con il consenso dell’utente, di ottenere una risposta positiva o negativa sulla disponibilità dell’importo necessario per una determinata operazione

A questi strumenti si affiancano servizi come il Check IBAN e la Verification of Payee, utilizzati per verificare la corrispondenza tra un IBAN e il nominativo o l’identificativo associato.

Questi controlli possono ridurre errori nei pagamenti e alcuni tentativi di frode, ma non equivalgono a una verifica completa dell’identità della persona né alla conferma della disponibilità dei fondi, che costituisce un servizio distinto.

Conclusioni

La PSD2 ha contribuito ad aprire il mercato dei pagamenti, favorendo l’ingresso di nuovi operatori e lo sviluppo dell’Open Banking. Parallelamente, ha introdotto requisiti più rigorosi in materia di autenticazione, accesso ai dati e sicurezza delle transazioni.

La prevenzione delle frodi non dipende però da un singolo controllo. Richiede l’integrazione tra autenticazione forte, verifica del beneficiario, monitoraggio delle operazioni, qualità dei dati e capacità di individuare comportamenti anomali.

Il quadro normativo è oggi in evoluzione verso PSD3 e il nuovo Payment Services Regulation, con l’obiettivo di rafforzare ulteriormente la protezione degli utenti, l’efficienza dell’Open Banking e la responsabilità degli operatori.