Динамическая привязка (dynamic linking)
Требование PSD2: код аутентификации платежа должен быть привязан к точной сумме и получателю, которые подтвердил клиент.
Строгая аутентификация клиента доказывает, что рядом именно нужный человек, но ничего не говорит о том, с чем он соглашается. Динамическая привязка, описанная в статье 5 регуляторных технических стандартов (Регламент 2018/389), закрывает этот пробел: клиент должен видеть сумму и получателя во время аутентификации, а полученный код должен становиться недействительным при изменении любого из них. Правила действуют с сентября 2019 года.
Цель — атакующий посередине, который даёт клиенту подписать платёж на 20 € интернет-магазину и подменяет получателя до отправки. Одноразового кода по SMS самого по себе недостаточно. Поэтому банковские приложения теперь показывают сумму рядом с кнопкой подтверждения, и поэтому существует Secure Payment Confirmation.