Dynamic linking
De PSD2-eis dat de authenticatiecode van een betaling gekoppeld is aan het exacte bedrag en de begunstigde die de klant heeft goedgekeurd.
Sterke klantauthenticatie bewijst dat de juiste persoon aanwezig is, maar zegt niets over waarmee die persoon akkoord gaat. Dynamic linking, vastgelegd in artikel 5 van de regulatory technical standards (Verordening 2018/389), dicht die kloof: de klant moet tijdens het authenticeren bedrag en begunstigde zien, en de code moet ongeldig worden zodra een van beide verandert. De regels gelden sinds september 2019.
Het doelwit is de aanvaller in het midden, die een klant een betaling van € 20 aan een webwinkel laat ondertekenen en de begunstigde verwisselt voordat de betaling vertrekt. Een eenmalige code per sms voldoet op zichzelf niet. Daarom tonen bankapps het bedrag tegenwoordig naast de bevestigingsknop, en daarom bestaat Secure Payment Confirmation.