Usa o homebanking ou faz compras online? Saiba o que muda a partir de sábado
Entram amanhã em vigor na União Europeia novas regras de autenticação aplicáveis aos serviços de pagamento eletrónicos.
A partir de amanhã, os prestadores de serviços de pagamento (incluindo bancos) devem efetuar a autenticação forte dos seus clientes sempre que estes:
- acedam online à sua conta de pagamento;
- iniciem uma operação de pagamento eletrónico;
- ou realizem uma ação, através de um canal remoto, que possa envolver risco de fraude no pagamento ou outros abusos.
A autenticação forte é um procedimento adotado para verificar a identidade do utilizador e a legitimidade das operações. Este procedimento implica que os prestadores de serviços de pagamento/bancos, em todas as situações descritas, solicitem ao cliente dois ou mais elementos pertencentes às categorias de “conhecimento” (algo que só o cliente sabe, como, por exemplo, uma palavra-passe), de “posse” (algo que só o cliente tem, como, por exemplo, um telemóvel para o qual é enviado um código por mensagem) e de “inerência” (uma caraterística inerente ao cliente, como a impressão digital), sendo que pelo menos dois dos elementos solicitados deverão pertencer a categorias diferentes. Os elementos utilizados na autenticação forte são escolhidos por cada prestador de serviços de pagamento/banco, desde que estejam em cumprimento das novas regras aplicáveis.
A autenticação forte dos clientes já era realizada pelos prestadores de serviços de pagamento/bancos em algumas situações específicas, mas, a partir de amanhã, passa a ser obrigatória para a generalidade das operações eletrónicas, por força da entrada em vigor do Regulamento Delegado (UE) 2018/389 da Comissão, de 27 de novembro de 2017, que complementa a Diretiva dos Serviços de Pagamento revista.
Além de ser solicitada no acesso à conta através de homebanking ou app, a autenticação forte poderá ainda ser exigida aos clientes, por exemplo, nas seguintes operações:
- Para fazer compras e pagamentos online com cartão;
- Para iniciar transferências;
- Para efetuar pagamentos de serviços;
- Para consultar online os movimentos da sua conta;
- Para consultar e alterar online outra informação (por exemplo, dados de operações recorrentes ou listas de beneficiários preferenciais).
Os clientes devem contactar o seu prestador de serviços de pagamento/banco e informar-se sobre os procedimentos a adotar para continuarem a aceder online à sua conta e a autorizar operações de pagamento eletrónicas. Devem ainda certificar-se de que os seus dados pessoais, anteriormente fornecidos aos seus prestadores de serviços de pagamento/bancos (incluindo dados de contacto), se encontram atualizados.
QUATRO PERGUNTAS E RESPOSTAS
A “autenticação forte” é um procedimento realizado pelo seu banco/prestador de serviços de pagamento com o objetivo de validar a sua identificação e a legitimidade da sua utilização do serviço de pagamento, com segurança acrescida.
A partir de 14 de setembro de 2019, os serviços de pagamento oferecidos por via eletrónica exigirão, por norma, a introdução de dois elementos de segurança, em cumprimento das regras europeias de “autenticação forte do cliente” (também designada por “autenticação de dois fatores”).
Assim, para aceder ao seu homebanking ou à app do seu banco, ou para fazer compras ou pagamentos online, entre outras operações, pode ser-lhe pedido, por exemplo, além da habitual palavra-passe:
- Um código enviado por SMS para o seu telemóvel; ou
- Um elemento biométrico, como a sua impressão digital.
A “autenticação forte” não é nova. É possível que já lhe tenha sido solicitada, por exemplo, para fazer transferências ou pagamentos através do homebanking ou da app do seu banco. Talvez até já a utilize para o acesso às redes sociais ou ao seu e-mail.
Mas, a partir de agora, este procedimento será obrigatório em grande parte das operações de pagamento eletrónico e no acesso online à sua conta, mesmo que apenas para consulta dos seus movimentos.
A “autenticação forte” poderá ser-lhe também solicitada na realização de outras ações efetuadas através de um canal remoto que possam envolver um risco de fraude ou outros abusos, tendo sempre em conta a sua segurança!
Na “autenticação forte”, os bancos/prestadores de serviços de pagamento solicitam aos utilizadores, pelo menos, dois elementos das seguintes categorias:
- Conhecimento – algo que só o utilizador conhece (por exemplo, uma palavra-passe);
- Posse – algo que só o utilizador possui (por exemplo, o telemóvel para o qual é enviado um código por SMS);
- Inerência – algo que só o utilizador é, validada através de um atributo que o identifique (por exemplo, uma impressão digital).
Os dois elementos solicitados devem pertencer a categorias de segurança diferentes.
Cada banco/prestador de serviços de pagamento poderá escolher os elementos de autenticação forte a solicitar aos seus clientes, desde que verificadas estas condições.
Nas operações de pagamento remotas, como por exemplo, nas compras online, o seu banco/prestador de serviços de pagamento terá de incluir um elemento na autenticação que esteja associado à operação específica que pretende efetuar. Este elemento traduz-se, muitas vezes, no envio de uma SMS para o seu telemóvel. Por isso, mantenha o telemóvel junto de si ao efetuar pagamentos na internet.
Alguns dos procedimentos de autenticação utilizados hoje em dia já são compatíveis com a autenticação forte do cliente. Por exemplo:
- a utilização de uma palavra-passe (elemento de conhecimento) conjuntamente com uma mensagem enviada para o telemóvel com um código (elemento de posse);
- o uso de identificação facial ou de uma impressão digital (elemento de inerência) numa aplicação instalada no telemóvel associado ao utilizador (elemento de posse);
- o PIN do cartão de pagamento (elemento de conhecimento) e o próprio cartão (elemento de posse) quando se realiza um pagamento presencial.
Informe-se com o seu banco/prestador de serviços de pagamento sobre os procedimentos de autenticação forte aplicáveis.
Sempre que o banco/prestador de serviços de pagamento a solicitar, a “autenticação forte” é obrigatória para concretizar a operação. Por isso:
#1 Informe-se junto do seu banco/prestador de serviços de pagamento sobre quais os procedimentos a adotar para continuar a fazer as suas operações de pagamento eletrónicas sem complicações.
#2 Mantenha sempre atualizados a informação e os dados de contacto que forneceu ao seu banco/prestador de serviços de pagamento.
#3 Leia sempre com atenção a informação que o seu banco/prestador de serviços de pagamento lhe enviar para autorizar a operação que pretende realizar. Geralmente, os dados do pagamento são apresentados na página de confirmação da operação e, caso o procedimento de “autenticação forte” inclua o envio de uma SMS, constarão também da SMS que o banco/prestador de serviços de pagamento envia para o número de telemóvel que forneceu como contacto.
#4 Seja consciencioso na divulgação de informação pessoal ou confidencial (por exemplo, palavras-passe, dados de documentos de identificação pessoal ou dados do cartão de pagamento). Evite fazê-lo a menos que tal seja imprescindível para a realização do pagamento e sempre em sites que lhe ofereçam segurança. Desconfie de solicitações de dados pessoais ou de natureza fora do comum, ainda que provenientes de uma entidade aparentemente confiável. Em caso de dúvida, peça sempre esclarecimentos ao seu prestador de serviços de pagamento, utilizando, para o efeito, os respetivos contactos oficiais.
Consulte o descodificador e o guia do Banco de Portugal para saber mais sobre o que muda e o que tem de fazer.
Há novas regras para levantar dinheiro e fazer pagamentos (veja aqui tudo o que muda)