Dynamisk länkning
PSD2-kravet att en betalnings autentiseringskod ska vara knuten till exakt det belopp och den mottagare som kunden godkände.
Stark kundautentisering bevisar att rätt person är närvarande. Den säger ingenting om vad personen godkänner. Dynamisk länkning, som står i artikel 5 i de tekniska standarderna (förordning 2018/389), täpper till det hålet: kunden ska se belopp och mottagare när hen autentiserar sig, och koden som skapas ska bli ogiltig om någon av dem ändras. Kraven gäller sedan september 2019.
Målet är angriparen i mitten, som låter kunden signera en betalning på 200 kronor till en nätbutik och byter mottagaren innan den skickas. En engångskod via sms uppfyller inte kravet på egen hand. Därför visar bankappar numera beloppet bredvid knappen, och därför finns Secure Payment Confirmation.