PSD2, Avrupa Birliği’nin ödeme hizmetleri piyasasını düzenleyen ikinci ödeme direktifidir; SCA ise bu direktifin çekirdeğindeki teknik zorunluluk olarak, çevrimiçi ödemelerde kullanıcının birbirinden bağımsız en az iki kanıtla doğrulanmasını şart koşar. Amaç ikilidir: bir yandan tüketiciyi dolandırıcılığa karşı korumak, diğer yandan bankacılık altyapısını üçüncü taraf uygulamalara güvenli biçimde açmak.

SCA, ödemeyi yapanın gerçekten hesap sahibi olduğunu, tek bir çalınmış bilgiyle taklit edilemeyecek biçimde kanıtlatan kuraldır.

Üç Faktör ve Bağımsızlık İlkesi

Kural, kimlik kanıtını üç kategoriye ayırır: bildiğiniz bir şey (parola, PIN), sahip olduğunuz bir şey (telefon, kart) ve olduğunuz bir şey (parmak izi, yüz). SCA, bu kategorilerin en az ikisinin bir arada kullanılmasını ister ve kritik koşul, seçilen faktörlerin gerçekten bağımsız olmasıdır; birinin ele geçmesi diğerini açık etmemelidir. Bu mantık Çok faktörlü kimlik doğrulama yaklaşımının ödeme dünyasına uyarlanmış halidir.

Uygulamada bankalar üçüncü faktör için giderek Biyometrik kimlik doğrulama‘ya yöneliyor, çünkü parmak izi veya yüz tanıma hem kullanıcı için sürtünmesiz hem de cihazdan çıkarılması zor bir kanıttır. Ancak biyometri tek başına yeterli değildir; direktif, dinamik bir öğeyle (işlem tutarı ve alıcıya bağlanan tek kullanımlık kod) desteklenmesini bekler.

İstisnalar Nasıl İşler?

Her işlemde tam doğrulama istemek kullanıcıyı yorar, bu yüzden direktif ölçülü istisnalar tanımlar. Düşük tutarlı ödemeler, tekrar eden aboneliklerin ilk kaydından sonraki çekimler ve kullanıcının güvenilir olarak işaretlediği alıcılar SCA’dan muaf tutulabilir. Bu muafiyetlerin güvenli kalması, arka planda çalışan bir risk motoruna bağlıdır.

• Düşük tutar istisnası: belirli bir eşiğin altındaki tek seferlik ödemeler
• Güvenilir alıcı: kullanıcının beyaz listeye aldığı satıcılar
• İşlem risk analizi: düşük risk skoru alan ödemeler
• Tekrarlayan işlemler: aynı tutar ve alıcıya yapılan abonelik çekimleri

Bankalara Yüklediği Teknik Yük

İstisnaların ayrıcalık değil, kanıta dayalı bir karar olması gerekir. Bu noktada İşlem izleme ve fraud skorlama devreye girer: her ödeme, cihaz parmak izi, konum ve davranış geçmişiyle anlık puanlanır ve yalnızca gerçekten düşük riskli işlemler tam doğrulamadan muaf tutulur. Ayrıca PSD2, bankaların hesaplarını lisanslı üçüncü taraflara açmasını zorunlu kıldığından, bu erişim güvenli API’ler üzerinden yürümek durumundadır; Açık bankacılık güvenliği bu arayüzlerin kötüye kullanılmasını engelleyen katmandır.

Bir ödeme kuruluşu için PSD2 uyumu, tek bir yazılım güncellemesiyle bitmez; kimlik doğrulama akışı, API erişim kontrolleri ve risk motorunun birbiriyle tutarlı çalışması gerekir. Priva Security’nin Altyapı ve mimari gözden geçirme hizmetimiz, bu bileşenlerin uçtan uca doğru kurgulandığını ve istisna mantığında açık bırakılmadığını denetler.