Collegamento dinamico
Il requisito PSD2 secondo cui il codice di autenticazione di un pagamento deve essere legato all'importo e al beneficiario esatti approvati dal cliente.
L'autenticazione forte del cliente dimostra che la persona giusta è presente, ma non dice nulla su ciò che quella persona sta accettando. Il collegamento dinamico, previsto dall'articolo 5 delle norme tecniche di regolamentazione (Regolamento 2018/389), colma la lacuna: il cliente deve vedere importo e beneficiario durante l'autenticazione, e il codice risultante deve diventare non valido se uno dei due cambia. Le regole sono in vigore da settembre 2019.
Il bersaglio è l'attaccante nel mezzo, che lascia firmare al cliente un pagamento di 20 € a un negozio online e cambia il beneficiario prima dell'invio. Un codice monouso via SMS, da solo, non soddisfa il requisito. Per questo le app bancarie mostrano ormai l'importo accanto al pulsante di conferma, e per questo esiste Secure Payment Confirmation.