Home banking, cosa cambia nell’uso dei conti correnti. Cosa hanno fatto le banche italiane

Il giorno dell’ultimo saluto al token ed al vecchio concetto di banca “online” è arrivato, dal 14 settembre siamo passati al nuovo e più moderno e complesso concetto di “home banking”, che cambia la gestione dei pagamenti digitali con la vecchia chiavetta che va in pensione a favore di un sistema di impronte digitali che identificano il correntista e/o di codici che, via smartphone, garantiscono immediato riscontro tra banca e cliente in ogni operazione.

Una rivoluzione digitale che ossequia la direttiva europea 2015/2366 chiamata PSD2 (Payment Services Directive 2) che disciplina i pagamenti digitali garantendo maggior sicurezza e trasparenza dei movimenti.

Tuttavia si tratterà di un soft-change in quanto la Banca D’Italia (in accordo con EBA) ha deciso di concedere alle strutture bancarie italiane più tempo per adeguarsi alle rigide norme europee quindi per ora il PSD2 sarà attiva solo per l’Open Banking (l’accesso, dietro autorizzazione, da parte di terze parti alle informazioni dei correntisti) e non ancora per la Strong Customer Authentication.

Ma cosa cambia nel passaggio da token fisico a token digitale?

Il cambiamento più immediato, per i correntisti, è la metodologia di gestione di accesso alla propria “home banking”, con il vecchio token RSA (la famosa chiavetta che le banche hanno distribuito per anni ai loro clienti) che cede il passo ad una nuova modalità di autenticazione decisamente più forte e sicura rispetto alla precedente, in quanto basata sul principio della doppia autenticazione forte, per l’autorizzazione di un pagamento.

La normativa introduce infatti la cosiddetta SCA (Strong Customer Authentication), una nuova modalità di autenticazione decisamente più forte e sicura rispetto alla precedente, in cui il device cardine della svolta tecnologica, in campo di sicurezza diventa lo smartphone.

La SCA richiede che i tutti pagamenti online vengano autorizzati con almeno 2 elementi di autenticazione a scelta fra 3 opzioni:

• un oggetto che possiede solo il cliente (come lo smartphone);
• una caratteristica che possiede solo il cliente (come l’impronta digitale o un altro fattore biometrico);
• un’informazione nota solo al cliente (come una password).

In questo modo le transazioni a distanza in Europa non potranno più essere autorizzate solo inserendo un numero di carta di credito (nemmeno se accompagnato dal codice di verifica CVV riportato solitamente sul retro della carta), oppure riportando il codice generato dai token che negli ultimi anni le banche hanno distribuito ai clienti per aumentare la sicurezza delle transazioni, o usando i cosidetti “numeri segreti”contenuti nelle “carte-codice” adottate dalle banche, infatti  gli istituti bancari europei avranno l’obbligo di rifiutare le richieste di transazione che non siano autorizzate secondo lo standard SCA.

Ma cosa cambia in caso di furto della carta o di furto di credenziali?

Da questo punto di vista non cambia molto, le norme sono sempre le stesse attuate finora e fanno ricadere sull’istituto bancario la responsabilità di garantire un ambiente informatico sicuro; per cui nel malaugurato caso accada un furto di carta e/o di credenziali (anche temporanee) spetta alla banca provare di aver fatto tutto il possibile per tutelare il correntista da attacchi informatici, sia in caso di token fisico, sia in caso di token digitale.

Partendo quindi dalla considerazione che il nostro smartphone è sempre con noi e sempre sotto nostro controllo, lo smarrimento o il furto sarebbero rilevati molto più rapidamente del classico token fisico (meno di 10 minuti) e comunque sarebbe possibile bloccarlo a distanza e richiedere al supporto clienti della banca di bloccare la generazione digitale di OTP.

Che cosa succede, banca per banca?

Le banche italiane hanno interpretato in maniera molto diversa tra loro le novità di legge*.

• Intesa San Paolo: Dal 4 maggio 2019 la chiavetta O’Key non è più utilizzabile dai correntisti. I codici OTP saranno generati attraverso una app su smartphone. Per chi non ha lo smartphone l’alternativa è chiedere i codici usa e getta via sms sul cellulare. Ma mentre il token via app non ha costi, quello via sms costa 10 euro l’anno, a cui bisogna aggiungere il costo eventuale degli sms (compreso tra i 16 e i 26 centesimi a sms). Ovviamente per i correntisti questa è una modifica unilaterale delle condizioni economiche che Intesa San Paolo può fare rispettando il preavviso di almeno due mesi previsto dall’articolo 118 del Testo unico bancario.
• Unicredit: invece ha deciso di eliminare dal 12 marzo 2019 la password Card, la tesserina plastificata con 40 codici prestampati, che ancora i vecchi correntisti usavano per avere i codici autorizzativi. I clienti dovranno sostituirla con altro dispositivo di sicurezza a scelta tra Mobile Token (attraverso l’app su smartphone) e/o un token fisico, UniCredit Pass (costo di emissione 5 euro).
• BNL BNP Paribas:  ha sostituito il suo token fisico lo scorso 14 settembre 2019. Da sabato quindi i correntisti non possono più usare il token fisico (Pass Bnl) e devono passare al Mobile Token con otp generati dalla app installata sullo smartphone oppure con sms inviati sul cellulare (a pagamento).
• Credem: passata al mobile token il 14 settembre 2019. E’ prevista la versione via app o la versione via sms.
• MPS: dal primo settembre ha abbandonato il token fisico per passare a codici usa e getta inviati gratuitamente sul cellulare.
• Credit Agricole: da maggio 2019 invia gli otp con sms o con chiamata su cellulare certificato.

Poi ci sono le banche che sono già passate da un po’ a nuovi sistemi di autenticazione diversi dal classico token fisico:

• Carige: sms per le operazioni dispositive su cellulare
• Creval: ha un tastierino numerico che produce otp dopo aver inserito pin in possesso del titolare.
• Banca Popolare di Sondrio: otp via app oppure con tastierino numerico che genera otp dopo avere inserito pin
• Banco Bpm: otp via app o tramite tastiera numerica o con token card.
• Poste Italiane: otp via app o tramite lettore apposito in cui inserire carta Postamat.
• Ubi Banca: già da un po’ di tempo è previsto l’uso del digital code generato da app su smartphone certificato. Per chi non ha uno smartphone si può ancora usare la tessera Qui Ubi per i codici dispositivi.

È comunque il caso di contattare o recarsi presso il proprio istituto bancario per ulteriori informazioni e chiarimenti.

* Fonte altroconsumo