ダイナミックリンキング
決済の認証コードを、顧客が承認した金額と受取人にぴたりと結び付けることを求めるPSD2の要件だ。
強力な顧客認証(SCA)が証明するのは、正しい本人がその場にいることだけで、本人が何に同意しているかまでは保証しない。規制技術基準(規則2018/389)の第5条に定められたダイナミックリンキングはこの隙間を塞ぐ。認証の際に顧客へ金額と受取人を表示し、どちらかが変更されたら生成済みのコードが無効になることを求める。この規則は2019年9月から適用されている。
狙いは中間者攻撃だ。顧客にウェブショップへの20ユーロの支払いを承認させ、送信前に受取人をすり替える手口である。SMSのワンタイムコードだけでは要件を満たさない。銀行アプリが確認ボタンの横に金額を表示するのも、Secure Payment Confirmationが存在するのも、これが理由だ。