Vinculación dinámica
El requisito de PSD2 de que el código de autenticación de un pago quede atado al importe y al beneficiario exactos que aprobó el cliente.
La autenticación reforzada demuestra que la persona correcta está presente. No dice nada sobre lo que esa persona aprueba. La vinculación dinámica, recogida en el artículo 5 de las normas técnicas (Reglamento 2018/389), cierra el hueco: el cliente debe ver el importe y el beneficiario al autenticarse, y el código resultante debe invalidarse si cualquiera de los dos cambia. Se aplica desde septiembre de 2019.
El objetivo es el atacante intermedio que deja al cliente firmar un pago de 20 euros a una tienda en línea y cambia el beneficiario antes de enviarlo. Un código de un solo uso por SMS no cumple el requisito por sí solo. Por eso las apps bancarias muestran ahora el importe junto al botón de confirmar, y por eso existe Secure Payment Confirmation.