Sterk kundeautentisering (SCA)
Sterk kundeautentisering, ofte forkortet SCA, er et krav om at du bekrefter en betaling eller innlogging i nettbanken med minst to uavhengige faktorer fra ulike kategorier. I norsk rett er begrepet definert i finansavtaleloven § 1-8, og kravet bygger på EUs betalingstjenestedirektiv PSD2. Spillere møter det ved innskudd, når banken eller betalingstjenesten ber om BankID, kode eller fingeravtrykk før pengene går til spillkontoen.
To faktorer fra ulike kategorier
De tre kategoriene er kunnskap, besittelse og iboende egenskap, og minst to av dem må brukes sammen. Kunnskap er noe bare du vet, som en PIN-kode eller et passord. Besittelse er noe bare du har, typisk mobiltelefonen eller en kodebrikke, mens iboende egenskap er biometri som fingeravtrykk eller ansiktsgjenkjenning.
Poenget ligger i uavhengigheten.
Faktorene skal være så frittstående at et brudd på én av dem ikke setter de andre i fare. To passord gir derfor ikke sterk autentisering, fordi begge hører til samme kategori. BankID på mobil med PIN-kode kombinerer besittelse og kunnskap, og er det vanligste norske eksemplet.
Hvor du møter kravet ved innskudd
Kravet stilles av betalingsleddet, ikke av spillselskapet. Ved kortbetaling skjer bekreftelsen gjennom 3-D Secure, der kortutstederen sender deg videre til bankappen. Ved kontooverføring gjennom en betalingsinitieringstjeneste logger du inn i nettbanken, som regel med BankID.
Regelverket har også unntak, og det viktigste for små innskudd gjelder nettbetalinger på inntil 30 euro. Utstederen kan da hoppe over den ekstra bekreftelsen, men bare for fem slike betalinger på rad eller inntil 100 euro samlet siden forrige sterke autentisering. Unntaket er valgfritt for banken, så to kort kan oppføre seg ulikt ved samme beløp.
Grensene står i euro i EUs tekniske standard, og banken bruker tilsvarende beløp i kroner.
Sterk kundeautentisering mot tofaktor på spillkontoen
SCA forveksles oftest med tofaktor på selve spillkontoen. Begge bruker to faktorer, men de beskytter ulike ting og stilles av ulike aktører.
Sterk kundeautentisering | Tofaktor hos operatøren |
|---|---|
| Lovkrav for banker og betalingstjenester | Frivillig, praksis varierer mellom operatører |
| Beskytter selve betalingen | Beskytter innloggingen på spillkontoen |
| Utføres hos banken eller betalingstjenesten | Utføres hos spillselskapet |
| Kan unntas for små nettbetalinger | Avhenger av operatørens oppsett |
Avvist innskudd og vanlige forvekslinger
Et avvist innskudd skyldes ikke nødvendigvis en mislykket autentisering, og sjelden operatøren. Norske banker stopper kortbetalinger til spillselskaper uten norsk tillatelse etter betalingsformidlingsforbudet i pengespillforskriften, og transaksjoner med brukerstedskode MCC 7995 kan bli avvist selv om du bekreftet riktig.
Godkjente du i bankappen og betalingen likevel ble stoppet, er det banken som tok avgjørelsen og banken som kan forklare den.
SCA er heller ikke det samme som KYC. KYC er operatørens kontroll av hvem du er, og kreves typisk før uttak etter hvitvaskingsreglene, mens sterk kundeautentisering bekrefter at du godkjenner én bestemt betaling.
