Kas yra SCA (griežtas kliento autentiškumo patvirtinimas)
- SCA reikalavimai ir išimtys pagal Reglamentą (ES) 2018/389 taikomi nuo 2019 m. rugsėjo 14 d.
- Mažos vertės nuotolinio mokėjimo išimtis taikoma iki 30 €, kol nuo paskutinio SCA suma neviršija 100 € arba mokėjimų iš eilės ne daugiau kaip 5.
- Operacijos rizikos analizės išimtis kortelėms leidžia praleisti SCA iki 100, 250 ar 500 €, jei tiekėjo sukčiavimo lygis neviršija 0,13 %, 0,06 % ar 0,01 %.
- Bekontakčiams mokėjimams fizinėje parduotuvėje SCA netaikomas iki 50 €, kol suma neviršija 150 € arba 5 mokėjimų iš eilės.
- Lietuvos mokėjimų įstatymo 58 straipsnyje SCA vadinamas „saugesniu autentiškumo patvirtinimu“.
- Nuo 2023 m. liepos 25 d. pakartotinis SCA prieigai prie sąskaitos informacijos per trečiąsias šalis reikalingas kas 180 dienų (anksčiau – kas 90).
SCA (griežtas kliento autentiškumo patvirtinimas) išsamiai
Kas yra SCA paprastais žodžiais
SCA (angl. Strong Customer Authentication, lietuviškai – griežtas kliento autentiškumo patvirtinimas) – tai ES taisyklė, pagal kurią bankas ar mokėjimų įstaiga, prieš įvykdydama mokėjimą internetu, turi įsitikinti, kad jį atlieka tikrasis sąskaitos ar kortelės savininkas, naudodama bent du nepriklausomus skirtingų kategorijų elementus. Praktiškai tai reiškia: telefone patvirtinate mokėjimą piršto atspaudu arba įvedate Smart-ID PIN kodą.
SCA nustato PSD2 direktyva (ES) 2015/2366, o techninius reikalavimus ir išimtis – Komisijos deleguotasis reglamentas (ES) 2018/389. Kortelių mokėjimams internetu SCA dažniausiai įgyvendinamas per 3D Secure, o banko mokėjimams – pačios internetinės bankininkystės prisijungimu ir patvirtinimu.
Trys SCA elementų kategorijos
| Kategorija | Ką reiškia | Pavyzdžiai |
|---|---|---|
| Žinojimas (angl. knowledge) | Tai, ką žino tik vartotojas | PIN kodas, slaptažodis, Smart-ID PIN |
| Turėjimas (angl. possession) | Tai, ką turi tik vartotojas | Telefonas su banko programėle, Smart-ID paskyra įrenginyje, kodų generatorius, SIM kortelė vienkartiniam kodui |
| Būdingumas (angl. inherence) | Tai, kas yra vartotojas | Piršto atspaudas, veido atpažinimas |
Elementai turi būti nepriklausomi: vieno pažeidimas neturi atskleisti kito. Kortelės numeris, galiojimo data ir CVC kodas nėra SCA elementai – jie atspausdinti ant kortelės ir lengvai nukopijuojami. Todėl vien kortelės duomenų įvedimas internetu SCA reikalavimo neįvykdo.
Kada SCA privalomas
Pagal PSD2 97 straipsnį SCA taikomas, kai mokėtojas:
- prisijungia prie savo mokėjimo sąskaitos internetu;
- inicijuoja elektroninę mokėjimo operaciją (kortele internetu, pervedimu internetinėje bankininkystėje, per mokėjimo inicijavimo paslaugą);
- atlieka bet kokį nuotolinį veiksmą, susijusį su sukčiavimo rizika (pvz., keičia limitą ar prideda gavėją).
Nuotoliniams mokėjimams taikomas ir dinaminis susiejimas (angl. dynamic linking): patvirtinimo kodas galioja tik konkrečiai sumai ir konkrečiam gavėjui, o mokėtojas mato, ką tvirtina. Jei suma pasikeičia, reikia naujo patvirtinimo.
SCA išimtys el. parduotuvei
Reglamentas (ES) 2018/389 leidžia bankams netaikyti SCA tam tikrais atvejais. Išimtis gali prašyti parduotuvės mokėjimų tiekėjas, bet galutinai sprendžia mokėtojo bankas.
| Išimtis | Reglamento straipsnis | Sąlygos |
|---|---|---|
| Mažos vertės nuotolinis mokėjimas | 16 | Iki 30 €; SCA vis tiek reikia, kai nuo paskutinio SCA suma viršija 100 € arba tai 6-as mokėjimas iš eilės |
| Operacijos rizikos analizė (TRA) | 18 | Iki 100, 250 ar 500 € kortelėms, jei tiekėjo sukčiavimo lygis neviršija 0,13 %, 0,06 % ar 0,01 % |
| Pasikartojantys mokėjimai | 14 | Ta pati suma tam pačiam gavėjui; SCA – pirmam mokėjimui ir pasikeitus sumai |
| Patikimi gavėjai | 13 | Mokėtojas pats įtraukė gavėją į patikimų sąrašą savo banke |
| Bekontaktis mokėjimas fizinėje parduotuvėje | 11 | Iki 50 €; SCA, kai suma viršija 150 € arba po 5 mokėjimų |
| Savitarnos terminalai transporto ir parkavimo mokesčiams | 12 | Be sumos ribos |
| Saugūs įmonių mokėjimų procesai | 17 | Tik juridiniams asmenims, priežiūros institucijai pripažinus procesą saugiu |
Kas nepatenka į SCA taikymo sritį
- Prekybininko inicijuoti mokėjimai (angl. merchant-initiated transactions, MIT) – pvz., prenumeratos nuskaitymas pagal pirkėjo duotą įgaliojimą. Pirmą kartą įgaliojimas suteikiamas su SCA.
- Užsakymai telefonu ir paštu (MOTO) – kortelės duomenis įveda pardavėjas, ne mokėtojas.
- „Vienos kojos“ operacijos – kai mokėtojo arba gavėjo tiekėjas yra už EEE ribų, SCA taikomas „kiek įmanoma“.
- Tiesioginis debetas – jį inicijuoja gavėjas.
Kas atsako, jei SCA netaikytas
PSD2 74 straipsnio 2 dalis nustato: jei mokėtojo tiekėjas nereikalavo SCA, mokėtojas neatsako už finansinius nuostolius, išskyrus atvejus, kai jis veikė nesąžiningai. Jei SCA nepriėmė gavėjas (parduotuvė) arba jo mokėjimų tiekėjas, jie turi atlyginti mokėtojo tiekėjo patirtą žalą. Kortelėms tai sutampa su atsakomybės perkėlimo logika: sėkmingas 3D Secure – atsakomybė už sukčiavimą bankui, išimtis parduotuvės prašymu – rizika lieka parduotuvei ir jos tiekėjui (žr. chargeback).
SCA ir mokėjimų būdai Lietuvoje
| Mokėjimo būdas | Kaip įvykdomas SCA | Kas tai daro |
|---|---|---|
| Kortelė internetu | 3D Secure: banko programėlė, Smart-ID, biometrija ar kodas | Kortelės bankas per tiekėją (Stripe, Paysera, Montonio) |
| Banko mokėjimas (mokėjimo inicijavimas) | Prisijungimas prie banko ir mokėjimo patvirtinimas Smart-ID ar programėle | Pirkėjo bankas; PIS teikėjas (Neopay, Montonio) tik perduoda nurodymą |
| Apple Pay, Google Pay | Biometrija ar įrenginio kodas telefone | Piniginė ir kortelės bankas (Apple Pay, Google Pay) |
| Prenumerata kortele | SCA pirmam mokėjimui, vėliau MIT be SCA | Tiekėjas su pirkėjo įgaliojimu |
| Atidėtas mokėjimas (BNPL) | Pagal kredito davėjo procesą, dažnai su tapatybės patvirtinimu | Kredito davėjas (Klarna, ESTO) |
Kaip patikrinti, ar el. parduotuvė pasiruošusi SCA
- Testinės kortelės. Kiekvienas tiekėjas turi testines korteles, kurios imituoja SCA reikalavimą, patvirtinimą be trinties ir atmestą patvirtinimą. Išbandykite visus tris scenarijus kompiuteryje ir telefone.
- Grįžimas iš banko. Patikrinkite, ar pirkėjas po patvirtinimo banko programėlėje grįžta į padėkos puslapį, o užsakymas pažymimas apmokėtu net jei naršyklės langas buvo uždarytas (tiekėjo pranešimai serveriui, angl. webhooks).
- Sumos pakeitimai. Jei po apmokėjimo užsakymą tenka papildyti, sukurkite naują mokėjimą, o ne keiskite seną autorizaciją.
- Išsaugotos kortelės ir prenumeratos. Patikrinkite, ar tiekėjas pažymi pirmą mokėjimą kaip įgaliojimo suteikimą, o vėlesnius – kaip MIT.
- Klaidų pranešimai. Vietoj „Mokėjimas nepavyko“ rodykite aiškų tekstą: „Bankas nepatvirtino mokėjimo. Pabandykite dar kartą arba pasirinkite banko mokėjimą“.
Kaip SCA veikia atsiskaitymo konversiją
Kiekvienas papildomas pirkėjo veiksmas yra vieta, kur dalis pirkėjų sustoja. Tai ypač jaučiama mobiliuosiuose, kai reikia persijungti į banko programėlę ir grįžti. Mažinti SCA trintį galima trimis būdais: (1) leisti mokėjimų tiekėjui prašyti išimčių, (2) siūlyti būdus, kuriuose SCA vyksta natūraliai (Apple Pay, Google Pay, banko mokėjimai, kai pirkėjas vis tiek jungiasi prie banko), (3) prenumeratoms naudoti MIT schemą, kai SCA reikia tik vieną kartą. Apie atsiskaitymo optimizavimą plačiau – konversijos įraše.
Pavyzdys: kada mažos vertės išimtis nustoja galioti
Pirkėjas el. parduotuvėje kelis kartus per mėnesį perka smulkias prekes ta pačia kortele. Parduotuvės tiekėjas prašo mažos vertės išimties (iki 30 €). Banko skaitliukas nuo paskutinio SCA: suma iki 100 € ir ne daugiau kaip 5 mokėjimai iš eilės (Reglamento (ES) 2018/389 16 straipsnis). Bankas pasirinko skaičiuoti sumą.
| Pirkinys | Suma | Sukaupta nuo paskutinio SCA | Ar reikia SCA |
|---|---|---|---|
| 1 | 18,00 € | 18,00 € | Ne – iki 30 €, suma iki 100 € |
| 2 | 24,50 € | 42,50 € | Ne |
| 3 | 29,90 € | 72,40 € | Ne |
| 4 | 27,00 € | 99,40 € | Ne – dar neviršija 100 € |
| 5 | 12,00 € | 111,40 € | Taip – sukaupta suma viršytų 100 €; po SCA skaitliukas nunulinamas |
| 6 | 35,00 € | – | Taip – virš 30 €, mažos vertės išimtis netaikoma |
Jei tiekėjas turi teisę į TRA išimtį ir jo kortelių sukčiavimo lygis neviršija 0,06 %, 6-as 35 € pirkinys galėtų praeiti be SCA (riba – 250 €). Tačiau tada atsakomybė už galimą sukčiavimą lieka tiekėjo ir parduotuvės pusėje.
| TRA riba (ETV) | Didžiausias kortelių sukčiavimo lygis | Didžiausias kredito pervedimų sukčiavimo lygis |
|---|---|---|
| 500 € | 0,01 % | 0,005 % |
| 250 € | 0,06 % | 0,01 % |
| 100 € | 0,13 % | 0,015 % |
Išvada. Mažos vertės išimtis naudinga smulkių pirkinių parduotuvėms, bet ji neveikia „amžinai“ – kas kelis pirkinius pirkėjas vis tiek tvirtins mokėjimą. Parduotuvei nereikia skaičiuoti pačiai: skaitliuką tvarko kortelės bankas, o išimties prašo mokėjimų tiekėjas. Jūsų užduotis – pasirinkti tiekėją, kuris išimtis palaiko, ir perduoti jam pakankamai užsakymo duomenų.
Dažniausios klaidos
- Manoma, kad kortelės numeris ir CVC kodas yra du SCA elementai. Abu yra ant kortelės ir laikomi tuo pačiu duomenų rinkiniu – SCA reikalauja nepriklausomų skirtingų kategorijų elementų.
- Tikimasi, kad parduotuvė pati gali „išjungti“ SCA. Išimties galima tik paprašyti per tiekėją, o sprendimą priima mokėtojo bankas.
- Prenumeratos pirmas mokėjimas atliekamas be SCA. Tada vėlesni prekybininko inicijuoti mokėjimai dažnai atmetami.
- Užsakymai telefonu suvedami į tą pačią formą kaip internetiniai. Taip jie apdorojami kaip nuotoliniai mokėjimai, kuriems reikia SCA, nors MOTO operacijos į SCA sritį nepatenka.
- Pasikeitus užsakymo sumai po patvirtinimo (pvz., pridėjus siuntimą), naudojama sena autorizacija. Dinaminis susiejimas reikalauja naujo patvirtinimo pakitusiai sumai.
- Prašoma TRA išimties neįvertinus, kad tada sukčiavimo rizika lieka parduotuvei. Brangių prekių parduotuvėms tai gali kainuoti daugiau nei sutaupyta konversija.
SCA (griežtas kliento autentiškumo patvirtinimas) Lietuvoje
Lietuvoje SCA reikalavimą perkelia Lietuvos Respublikos mokėjimų įstatymas (Nr. VIII-1370), tačiau jame vartojamas kitas terminas – „saugesnis autentiškumo patvirtinimas“. 58 straipsnis nustato, kad mokėjimo paslaugų teikėjas privalo jį taikyti, kai mokėtojas internetu jungiasi prie sąskaitos, inicijuoja elektroninę mokėjimo operaciją ar atlieka kitą nuotolinį veiksmą, susijusį su sukčiavimo rizika. ES teisės aktų lietuviškame vertime (Reglamentas (ES) 2018/389) tas pats vadinamas „griežtu kliento autentiškumo patvirtinimu“, todėl paieškose ir sutartyse sutiksite abu pavadinimus.
Lietuvos pirkėjams SCA įprastas, nes didžioji dalis el. pirkinių apmokama banko mokėjimais, kai pirkėjas prisijungia prie internetinės bankininkystės ir patvirtina mokėjimą Smart-ID, Mobiliuoju parašu ar banko programėle. Kortelių mokėjimus internetu Lietuvos bankai dažniausiai prašo patvirtinti savo programėlėje. Atitiktį SCA reikalavimams bankuose ir mokėjimų įstaigose prižiūri Lietuvos bankas.
Reglamento (ES) 2018/389 SCA taisyklės taikomos nuo 2019 m. rugsėjo 14 d. 2022 m. Komisijos deleguotuoju reglamentu (ES) 2022/2360 pakeista išimtis prieigai prie sąskaitos informacijos: nuo 2023 m. liepos 25 d. pakartotinis SCA per sąskaitų informacijos paslaugų teikėjus reikalingas kas 180 dienų vietoj 90. Būsimame PSD3 ir mokėjimų paslaugų reglamente (PSR), dėl kurių ES institucijos politiškai susitarė 2025 m. lapkričio 27 d., SCA išlieka ir papildomai pritaikoma neįgaliesiems bei vyresnio amžiaus žmonėms.
Susiję terminai
- Parenkame mokėjimų tiekėją, kuris palaiko SCA išimtis ir 3D Secure 2, ir sukonfigūruojame jį el. parduotuvėje.
- Prenumeratoms įdiegiame pirmo mokėjimo autentifikavimą ir vėlesnius prekybininko inicijuotus nuskaitymus.
- Pridedame banko mokėjimus, Apple Pay ir Google Pay, kuriuose SCA vyksta natūraliai.
- Patikriname atsiskaitymo eigą mobiliuosiuose, kad pirkėjas sėkmingai grįžtų iš banko programėlės.
Dažni klausimai
Kas yra SCA?
SCA (Strong Customer Authentication) – griežtas kliento autentiškumo patvirtinimas: ES reikalavimas mokėjimą internetu patvirtinti bent dviem nepriklausomais elementais iš skirtingų kategorijų – žinojimo, turėjimo ar būdingumo.
Kada taikomas SCA?
Kai mokėtojas internetu jungiasi prie sąskaitos, inicijuoja elektroninį mokėjimą arba atlieka nuotolinį veiksmą, susijusį su sukčiavimo rizika. Tai nustato PSD2 97 straipsnis.
Kokios yra SCA išimtys?
Pagrindinės el. prekybai: mažos vertės mokėjimas iki 30 € (kol suma iki 100 € ar iki 5 mokėjimų), operacijos rizikos analizė iki 100–500 €, pasikartojantys tos pačios sumos mokėjimai ir patikimi gavėjai.
Ar SCA ir 3D Secure yra tas pats?
Ne. SCA – teisinis reikalavimas, o 3D Secure – techninis protokolas, kuriuo SCA įgyvendinamas kortelių mokėjimams internetu.
Ar SCA taikomas prenumeratoms?
Tik pirmam mokėjimui, kai pirkėjas suteikia įgaliojimą. Vėlesni prekybininko inicijuoti nuskaitymai laikomi MIT operacijomis ir SCA nereikalauja, jei nepasikeičia sąlygos.
Ar SCA taikomas mokant iš ne ES kortelės?
Jei mokėtojo arba gavėjo tiekėjas yra už EEE ribų, SCA taikomas „kiek įmanoma“. Daugelis ne ES bankų 3D Secure palaiko, bet privalomo reikalavimo jiems nėra.
Kaip SCA vadinamas Lietuvos įstatymuose?
Lietuvos mokėjimų įstatymo 58 straipsnyje – „saugesnis autentiškumo patvirtinimas“, o ES reglamentų lietuviškame vertime – „griežtas kliento autentiškumo patvirtinimas“.
Ar SCA taikomas mokant telefonu ar el. paštu pateiktu užsakymu?
Ne. Užsakymai telefonu ir paštu (MOTO), kai kortelės duomenis įveda pardavėjas, į SCA taikymo sritį nepatenka, tačiau tokie mokėjimai neturi atsakomybės perkėlimo bankui, todėl sukčiavimo rizika lieka pardavėjui.
Kas atsako, jei SCA nebuvo atliktas?
Jei mokėtojo tiekėjas nereikalavo SCA, mokėtojas už nuostolius neatsako, nebent veikė nesąžiningai. Jei SCA nepriėmė parduotuvė ar jos tiekėjas, žalą atlygina jie.
Šaltiniai
- Direktyva (ES) 2015/2366 dėl mokėjimo paslaugų vidaus rinkoje (PSD2) – EUR-Lex
- Deleguotasis reglamentas (ES) 2018/389 (SCA ir bendrų ryšių standartų RTS) – EUR-Lex
- Deleguotasis reglamentas (ES) 2022/2360 (90 dienų išimties pakeitimas) – EUR-Lex
- Lietuvos Respublikos mokėjimų įstatymas – e-TAR
- Mokėjimų rinką reglamentuojantys teisės aktai – Lietuvos bankas
- Payment services regulation – Legislative Train Schedule – Europos Parlamentas
- EMV 3-D Secure – EMVCo