Zmiana nie dotyczy klientów zatwierdzających transakcje z wykorzystaniem aplikacji mobilnej
City Handlowy poinformował swoich klientów, że zamierza wprowadzić zmiany w sposobie uwierzytelniania płatności internetowych kartą, dla osób niekorzystających z aplikacji mobilnej. Od 30 stycznia przy potwierdzaniu transakcji internetowych trzeba będzie podawać swój indywidualny kod ePIN.
Jak utworzyć swój ePIN? Należy zalogować się do bankowości internetowej Citibanku i wybrać zakładkę "Mój profil". Następnie trzeba kliknąć w "Ustaw/Zmień ePIN" i tam wpisać wybrany przez siebie kod.
Podczas zakupów, po podaniu danych karty, użytkownikowi korzystającemu z tej metody autoryzacji wyświetli się ekran do uwierzytelniania z dwoma polami do uzupełnienia. W jednym z nich należy wpisać kod otrzymany właśnie w wiadomości SMS, a w drugim ustawiony przez siebie ePIN. Jeśli dane zostaną wpisane poprawnie, pojawi się informacja o potwierdzeniu płatności.
Dotychczas proces "autoryzacji internetowej" (potwierdzenia transakcji bez konieczności posiadania aplikacji mobilnej) przebiegał w Citibanku następująco: w trakcie płatności bank wysyłał na numer telefonu klienta SMS z linkiem do strony uwierzytelniającej, którego użyć można było tylko raz. Po kliknięciu w link i sprawdzeniu szczegółów transakcji klient wprowadzał dane do logowania do serwisu Citibank Online, a następnie klikał "Autoryzuj".
Alternatywnym rozwiązaniem jest "autoryzacja mobilna", wymagająca skorzystania z aplikacji mobilnej banku. Wtedy podczas płatności klient otrzymuje powiadomienie z apki Citi Mobile ze szczegółami transakcji. Aby ją zaakceptować, wpisuje swój sześciocyfrowy kod Citi Mobile Token PIN i zatwierdza. Ta metoda autoryzacji pozostanie bez zmian po 30 stycznia.
Aby spełnić wymóg silnego uwierzytelniania klientów (strong customer authentication, SCA) przy transakcjach kartą w internecie, mechanizm zatwierdzania płatności musi uwzględniać dwa spośród trzech czynników. Do potwierdzenia może posłużyć wiedza (coś, co wie wyłącznie użytkownik karty), posiadanie (coś, co tylko on posiada, np. smartfon) lub cecha klienta (coś, czym użytkownik jest, czyli np. biometria jego twarzy lub odcisk palca). Funkcji jednego z takich czynników nie mogą natomiast pełnić dane umieszczone na karcie.
