Serviços de pagamento eletrónicos (online) têm novas regras a partir de amanhã

Com vista a melhorar a segurança dos utilizadores, entram amanhã, 14 de setembro, em vigor em Portugal e nos outros países da União Europeia, novas regras de autenticação nos serviços de pagamento online.

A partir de amanhã, os prestadores de serviços de pagamento (incluindo bancos) estão obrigados a proceder à “autenticação forte” dos seus clientes sempre que estes:

• acedam online à sua conta de pagamento;
• iniciem uma operação de pagamento eletrónico;
• ou realizem uma ação, através de um canal remoto, que possa envolver risco de fraude no pagamento, ou outros abusos.

O Banco de Portugal esclarece o que é a autenticação forte, o que muda a partir de amanhã e o que tem de fazer.

1. O que é a autenticação forte?
A “autenticação forte” é um procedimento realizado pelo seu banco/prestador de serviços de pagamento com o objetivo de validar a sua identificação e a legitimidade da sua utilização do serviço de pagamento, com segurança acrescida.

2. O que muda?
A partir de 14 de setembro de 2019, os serviços de pagamento oferecidos por via eletrónica exigirão, por norma, a introdução de dois elementos de segurança, em cumprimento das regras europeias de “autenticação forte do cliente” (também designada por “autenticação de dois fatores”).

Assim, para aceder ao seu homebanking ou à app móvel do seu banco, ou para fazer compras ou pagamentos online, entre outras operações, pode ser-lhe pedido, por exemplo, além da habitual palavra-passe:

• Um código enviado por SMS para o seu telemóvel; ou
• Um elemento biométrico, como a sua impressão digital.

A “autenticação forte” não é nova. É possível que já lhe tenha sido solicitada, por exemplo, para fazer transferências ou pagamentos através do homebanking ou da app do seu banco. Talvez até já a utilize para o acesso às redes sociais ou ao seu e-mail.

Mas, a partir de agora, este procedimento será obrigatório em grande parte das operações de pagamento eletrónico e no acesso online à sua conta, mesmo que apenas para consulta dos seus movimentos.

A “autenticação forte” poderá ser-lhe também solicitada na realização de outras ações efetuadas através de um canal remoto que possam envolver um risco de fraude ou outros abusos, tendo sempre em conta a sua segurança!

3. Que elementos lhe podem ser solicitados?
Na “autenticação forte”, os bancos/prestadores de serviços de pagamento solicitam aos utilizadores, pelo menos, dois elementos das seguintes categorias:

• Conhecimento – algo que só o utilizador conhece (por exemplo, uma palavra-passe);
• Posse – algo que só o utilizador possui (por exemplo, o telemóvel para o qual é enviado um código por SMS);
• Inerência – algo que só o utilizador é, validada através de um atributo que o identifique (por exemplo, uma impressão digital).

Os dois elementos solicitados devem pertencer a categorias de segurança diferentes.

Cada banco/prestador de serviços de pagamento poderá escolher os elementos de autenticação forte a solicitar aos seus clientes, desde que verificadas estas condições.

Nas operações de pagamento remotas, como por exemplo, nas compras online, o seu banco/prestador de serviços de pagamento terá de incluir um elemento na autenticação que esteja associado à operação específica que pretende efetuar. Este elemento traduz-se, muitas vezes, no envio de uma SMS para o seu telemóvel. Por isso, mantenha o telemóvel junto de si ao efetuar pagamentos na internet.

Alguns dos procedimentos de autenticação utilizados hoje em dia já são compatíveis com a autenticação forte do cliente. Por exemplo:

• a utilização de uma palavra-passe (elemento de conhecimento) conjuntamente com uma mensagem enviada para o telemóvel com um código (elemento de posse);
• o uso de identificação facial ou de uma impressão digital (elemento de inerência) numa aplicação instalada no telemóvel associado ao utilizador (elemento de posse);
• o PIN do cartão de pagamento (elemento de conhecimento) e o próprio cartão (elemento de posse) quando se realiza um pagamento presencial.

Informe-se com o seu banco/prestador de serviços de pagamento sobre os procedimentos de autenticação forte aplicáveis.

4. O quem tem de fazer?
Sempre que o banco/prestador de serviços de pagamento a solicitar, a “autenticação forte” é obrigatória para concretizar a operação. Por isso:

#1 Informe-se junto do seu banco/prestador de serviços de pagamento sobre quais os procedimentos a adotar para continuar a fazer as suas operações de pagamento eletrónicas sem complicações.

#2 Mantenha sempre atualizados a informação e os dados de contacto que forneceu ao seu banco/prestador de serviços de pagamento.

#3 Leia sempre com atenção a informação que o seu banco/prestador de serviços de pagamento lhe enviar para autorizar a operação que pretende realizar. Geralmente, os dados do pagamento são apresentados na página de confirmação da operação e, caso o procedimento de “autenticação forte” inclua o envio de uma SMS, constarão também da SMS que o banco/prestador de serviços de pagamento envia para o número de telemóvel que forneceu como contacto.

#4 Seja consciencioso na divulgação de informação pessoal ou confidencial (por exemplo, palavras-passe, dados de documentos de identificação pessoal ou dados do cartão de pagamento). Evite fazê-lo a menos que tal seja imprescindível para a realização do pagamento e sempre em sites que lhe ofereçam segurança. Desconfie de solicitações de dados pessoais ou de natureza fora do comum, ainda que provenientes de uma entidade aparentemente confiável. Em caso de dúvida, peça sempre esclarecimentos ao seu prestador de serviços de pagamento, utilizando, para o efeito, os respetivos contactos oficiais.

#5 Para obter mais informação sobre autenticação forte do cliente, consulte o guia preparado pelo Banco de Portugal.

Consulte (aqui) o guia do Banco de Portugal para saber mais sobre o que muda e o que tem de fazer.

[Imagem: BP]