Silné ověření (SCA) a 3-D Secure: proč banka chce potvrzení a kdy ho nevyžaduje
Co je silné ověření uživatele podle § 223 zákona o platebním styku a PSD2, jak funguje 3-D Secure při platbě online, výjimky pro bezkontaktní a malé platby a jak se bránit zneužití.
Silné ověření uživatele (SCA) znamená, že platbu potvrzujete alespoň dvěma nezávislými prvky ze tří skupin: něco, co znáte (PIN, heslo), něco, co máte (telefon s aplikací, karta) a něco, čím jste (otisk prstu, obličej). Ukládá ho § 223 zákona č. 370/2017 Sb. o platebním styku, který provádí evropskou směrnici PSD2. U platby kartou na internetu se SCA realizuje přes 3-D Secure – potvrzení v aplikaci banky nebo kódem. Výjimky stanoví evropské nařízení (EU) 2018/389, například pro menší bezkontaktní platby. Pro vás je důležité i to, že pokud banka silné ověření nepožadovala tam, kde je povinné, nenesete ztrátu z neautorizované platby (§ 182 odst. 3 písm. c).
Článek patří k rozcestníku problém s kartou: co dělat.
Kdy je silné ověření povinné
Podle § 223 odst. 1 použije poskytovatel silné ověření, jestliže plátce:
- přistupuje ke svému platebnímu účtu přes internet,
- dává platební příkaz k elektronické platební transakci,
- provádí jiný úkon spojený s rizikem podvodu či zneužití,
- požaduje informace o účtu přes poskytovatele služby informování o účtu.
U plateb na dálku (internet, telefon) musí ověření obsahovat jednorázové prvky propojující platbu s přesnou částkou a konkrétním příjemcem (§ 223 odst. 2). Proto vidíte v aplikaci částku a název obchodníka – a máte je zkontrolovat.
Tři skupiny prvků
| Skupina | Příklady | Na co si dát pozor |
|---|---|---|
| Znalost | PIN, heslo, odpověď na otázku | Nikomu ho nesdělujte, ani „bance“ po telefonu |
| Držení | Telefon s aplikací banky, karta, čtečka | Telefon zamykejte, aplikaci neinstalujte podle cizích pokynů |
| Biometrie | Otisk prstu, rozpoznání obličeje | Nepřidávejte do telefonu cizí otisky |
Prvky musí být vzájemně nezávislé – prolomení jednoho nesmí oslabit ostatní (§ 223 odst. 4).
Výjimky z nařízení (EU) 2018/389
Způsob a výjimky stanoví přímo použitelné nařízení Komise v přenesené pravomoci (EU) 2018/389. Nejčastěji se setkáte s těmito:
| Výjimka | Princip |
|---|---|
| Bezkontaktní platba v obchodě | Do 50 € za platbu, s kumulativním limitem (150 € nebo 5 plateb od posledního ověření) |
| Malé platby online | Do 30 € za platbu, s kumulativním limitem (100 € nebo 5 plateb) |
| Neobsluhované terminály | Například jízdné a parkovné |
| Důvěryhodní příjemci | Obchodníci, které si sami označíte jako důvěryhodné |
| Opakované platby | Stejná částka stejnému příjemci po první ověřené platbě |
| Analýza rizik transakce | Banka vyhodnotí platbu jako nízkorizikovou podle limitů nařízení |
Výjimky jsou možnost, ne povinnost – banka může ověření vyžadovat i tak. Proto se někdy PIN vyžádá i u malé bezkontaktní platby. Platby iniciované obchodníkem (např. předplatné nebo doplatky strhávané podle dohody bez vašeho aktivního zásahu) nejsou výjimkou – podle výkladu EBA vůbec nespadají do rozsahu silného ověření, protože je nezahajujete vy. Silné ověření se obvykle vyžaduje při prvním zadání karty a udělení souhlasu.
Jak 3-D Secure probíhá
- V e-shopu zadáte údaje karty.
- Banka pošle notifikaci do aplikace (nebo SMS kód, podle nastavení).
- V aplikaci vidíte částku a obchodníka – zkontrolujte je.
- Potvrdíte biometrií nebo PINem aplikace.
- Platba proběhne.
Silné ověření a podvody
SCA velmi ztěžuje zneužití ukradených údajů karty. Podvodníci proto zkoušejí přimět vás, abyste platbu potvrdili sami – telefonátem „z bezpečnostního oddělení“, falešnou SMS od dopravce nebo inzerátem s „platbou za doručení“. Pokud platbu sami potvrdíte, banka může namítnout, že jde o autorizovanou platbu, případně o hrubou nedbalost. Podrobně v článku podvody s platebními kartami.
Co dělat, když ověření nefunguje
- Nová aplikace nebo telefon: aktivujte ověření znovu podle návodu banky – jen v oficiální aplikaci.
- Nepřichází notifikace: zkontrolujte povolení notifikací a připojení; některé banky nabízejí záložní SMS.
- Platba v zahraničí odmítnuta: zkontrolujte, zda nemáte v aplikaci omezené platby v zahraničí nebo online.
- Obchodník 3-D Secure nepodporuje: platbu může vaše banka zamítnout. Zvažte, zda je obchodník důvěryhodný.
Odpovědnost při chybějícím ověření
| Situace | Kdo nese ztrátu |
|---|---|
| Banka nepožadovala SCA, kde měla, plátce nejednal podvodně | Banka (§ 182 odst. 3 písm. c) |
| Obchodník nebo jeho banka neumožnili SCA | Banka plátce vám ztrátu nahradí a má postih vůči nim (§ 189 odst. 3) |
| Plátce sám potvrdil platbu podvodníkovi | Posuzuje se, zda šlo o autorizaci či hrubou nedbalost |
Související: neautorizovaná platba a 50 eur a chargeback a reklamace.
Mobilní peněženky a tokenizace
Když si kartu přidáte do mobilní peněženky v telefonu nebo hodinkách, obchodník při platbě nedostává skutečné číslo karty, ale token – náhradní číslo vázané na konkrétní zařízení. Platbu ověřujete odemčením telefonu (biometrií nebo kódem), což může splňovat požadavek silného ověření.
| Výhoda | Riziko |
|---|---|
| Obchodník nevidí číslo karty | Přidání karty do cizího zařízení je hlavní cíl podvodníků |
| Ztracená fyzická karta neohrožuje token v telefonu (a naopak lze zablokovat zvlášť) | Ztracený odemčený telefon |
| Ověření biometrií je pohodlné | Sdílení telefonu s jinými osobami |
Klíčové pravidlo: přidání karty do peněženky vždy potvrzuje banka zvláštní notifikací nebo kódem. Pokud vám takový požadavek přijde, aniž byste kartu přidávali, zamítněte ho a volejte banku. V aplikaci banky obvykle vidíte seznam zařízení, ve kterých je karta uložena – neznámé zařízení odeberte.
Co dělat, když jste platbu schválili omylem
Pokud jste potvrdili notifikaci, kterou jste nečetli, nebo ji potvrdili na pokyn cizí osoby, jednejte okamžitě: zablokujte kartu v aplikaci, zavolejte banku na oficiální číslo a požádejte o zastavení platby, pokud ještě není zúčtovaná. Následně podejte písemnou reklamaci s popisem okolností. Čím rychleji jednáte, tím větší je šance, že se platbu podaří zachytit, a tím lépe doložíte, že jste povinnost oznámení splnili bez zbytečného odkladu.
Časté otázky
Je SMS kód stále silné ověření?
SMS kód může sloužit jako prvek držení (telefon). Banky ale stále častěji přecházejí na potvrzení v aplikaci, které je odolnější vůči zneužití.
Proč musím PIN zadat i u malé platby?
Banka uplatňuje kumulativní limit výjimky nebo vlastní hodnocení rizika. Po zadání PINu se počítadlo vynuluje.
Mohu si výjimky vypnout?
Některé banky umožňují nastavit nižší limity bezkontaktních plateb nebo vypnout bezkontaktní placení. Podívejte se do aplikace.
Zdroje
- Zákony pro lidi – zákon č. 370/2017 Sb., § 182, § 189, § 223
- EUR-Lex – nařízení (EU) 2018/389 a směrnice (EU) 2015/2366 (PSD2)
- Česká národní banka – platební styk a bezpečnost
- Policie ČR – kybernetická kriminalita
