3D Secure: VISA e Mastercard saranno più sicure

Già nel 2000, l’istituto di carte di credito VISA ha sviluppato una procedura per rendere più sicuro l’uso delle carte di credito su Internet. L’azienda stessa utilizza la tecnologia con il nome “Verified by VISA”. Allo stesso tempo, anche altri fornitori di carte di credito hanno implementato il meccanismo di sicurezza. Ad esempio, 3D Secure si chiama “SecureCode” (ora “Identity Check”) per Mastercard, “SafeKey” per American Express e “J/Secure” per JCB.

In precedenza, il pagamento con carta di credito su Internet era molto semplice: si inserivano i dati della carta di credito negli appositi campi, si confermava il possesso della carta con il Card Validation Code (CVC) che si trova sul retro di ogni carta di credito, e si addebitava sulla carta con un clic del mouse. Chiunque sia in possesso della carta di credito può comunque acquistare prodotti, anche di prezzi elevati, da Internet. Era ovvio che questo metodo non era particolarmente sicuro.

Con la continua espansione del settore e-commerce e il numero crescente di persone che pagano online con le loro carte di credito, aumenta anche l’interesse dei malintenzionati verso le informazioni sulle carte. Soprattutto attraverso il phishing e il social engineering, i malintenzionati ottengono spesso una grande quantità di dati. Per contenere questo fenomeno, è stato sviluppato 3D Secure.

Oltre alle informazioni contenute nella carta (e che ne confermano il possesso), questa procedura richiede l’indicazione di informazioni aggiuntive, come una password che solo il legittimo titolare della carta può conoscere. Si tratta quindi di un’autenticazione a due fattori: infatti sono necessari due diversi tipi di informazioni perché venga addebitato l’importo sulla carta di credito.

Per farlo, il consumatore viene reindirizzato al sito della compagnia della carta di credito e vi inserisce l’ulteriore funzione di sicurezza. Il secondo fattore viene comunicato dall’utente solo alla banca o alla compagnia della carta di credito. Il gestore dello shop online riceve solo la conferma che l’utilizzo della carta è legittimo. Ma anche questo metodo non si è rivelato molto sicuro. Entro il 2016 l’importo delle frodi nell’area SEPA secondo la Banca Centrale Europea è salito a 1,32 miliardi di euro.

La password statiche non sono una buona scelta per la sicurezza: una volta cadute nelle mani di terzi, la protezione viene meno. I metodi dinamici, che variano a ogni processo, sono quindi più adatti. Un esempio sono gli SMS con un codice sicuro generato secondo procedure criptiche, codice valido per un solo pagamento.

Sia i clienti che i rivenditori online non erano per niente soddisfatti della prima versione di 3D Secure. Il sito web per l’inserimento del fattore di sicurezza aggiuntivo non era bello dal punto di vista estetico, l’applicazione e l’utilizzo della password richiesta non erano chiari e il processo non ha potuto essere integrato in modo soddisfacente nelle applicazioni mobili. I clienti rimanevano sempre infastiditi, annullando i processi di ordinazione, rovinando le conversioni e quindi danneggiando i commercianti online.

La seconda versione di 3D Secure, conosciuta anche come 3DS2, risolve questo problema e migliora la sicurezza. Le nuove caratteristiche sono inoltre conformi alle nuove direttive UE sui servizi di pagamento. Inoltre gli istituti di carte di credito stanno reagendo agli sviluppi tecnici con la nuova versione. Oggi i dispositivi moderni (ad esempio gli smartphone) offrono in particolare l’autenticazione tramite dati biometrici: impronta digitale o analisi delle caratteristiche del volto.

3D Secure è stato progettato in modo tale che i commercianti online possano integrare la procedura nel processo di pagamento. Questo si traduce in un’esperienza di acquisto più piacevole per il cliente. Inoltre, dovrebbe essere un sistema intelligente. Il metodo di autenticazione si adatta quindi al rischio. Ciò significa che a minori importi si applicano requisiti di sicurezza minori rispetto a quelli per grandi importi. Inoltre, 3DS2 può essere utilizzato anche per i pagamenti mobili e funziona con le app delle banche.