Pagamenti contactless e PIN: quando viene richiesto e come funzionano i controlli di sicurezza

Come funzionano i pagamenti contactless con carta di credito

La tecnologia contactless permette di effettuare pagamenti avvicinando una carta di credito, debito o prepagata a un terminale POS abilitato, senza doverla inserire fisicamente nel lettore. Il sistema utilizza la tecnologia NFC (Near Field Communication), che consente lo scambio di informazioni tra dispositivi a distanza ravvicinata.

Come avrete notato, da qualche anno potete pagare i vostri acquisti con carta di credito senza digitare il PIN. Più precisamente, dall'1 gennaio 2021 il limite per effettuare pagamenti senza dover inserire il codice PIN è passato da 25 euro a 50 euro, come previsto dalla normativa europea prevede che i pagamenti contactless fino a 50 euro possano essere effettuati senza PIN, purché siano rispettate determinate condizioni, come stabilito dalla normativa europea PSD2 (Payment Services Directive 2).

È una disposizione fortemente voluta dall'Unione Europea per regolare e rendere più sicuri i pagamenti elettronici in tutto il Continente, ma ha vissuto un lungo periodo di recepimenti dagli stessi stati. Infatti, è stata pubblicata in Gazzetta Ufficiale dell'Unione Europea nel novembre 2015 ma è diventata attuativa solo nel settembre 2019.

Per gli acquisti di piccolo importo, il pagamento può essere autorizzato senza digitare il PIN, rendendo l'operazione più rapida.

Quando serve il PIN per i pagamenti contactless?

Se il PIN non viene richiesto, non significa però che la transazione avvenga senza controlli. Le banche e gli altri prestatori di servizi di pagamento utilizzano sistemi di sicurezza che verificano le operazioni e possono richiedere ulteriori conferme dell'identità del titolare.

Questo perché la soglia di 50 euro si riferisce al singolo pagamento, ma non è l'unico limite da considerare. Banca d'Italia ricorda infatti che l'esenzione dall'autenticazione forte è soggetta anche a controlli cumulativi, che riguardano gli importi già spesi e il numero delle operazioni consecutive. In particolare, i riferimenti previsti dalla normativa sono:

• 50 euro: importo massimo del singolo pagamento contactless che può beneficiare dell'esenzione;
• 150 euro: limite cumulativo dei pagamenti effettuati senza autenticazione forte dall'ultima verifica;
• 5 operazioni: limite di pagamenti contactless consecutivi effettuati senza autenticazione forte.

Perché il POS chiede il PIN anche per pagamenti inferiori a 50 euro?

Ecco perché a volte viene richiesto il pin anche se l'importo è inferiore ai 50 euro. Può capitare di acquistare un prodotto da pochi euro e dover digitare il PIN, anche se l'importo rientra nella soglia prevista per i pagamenti contactless. Perché sono stati raggiunti i limiti applicabili ed è necessaria una nuova verifica dell'identità del titolare, normalmente attraverso l'inserimento del PIN.

È importante sottolineare che questi valori non garantiscono che il PIN non venga richiesto al di sotto delle soglie. La banca può decidere di applicare controlli più rigorosi anche per importi inferiori.

Questo accade perché il sistema non considera soltanto la singola transazione, ma anche le operazioni precedenti e i controlli di sicurezza.

Facciamo un esempio: un automobilista utilizza la carta contactless per quattro acquisti consecutivi, rispettivamente di 15, 20, 35 e 40 euro, per una spesa complessiva di 110 euro. Se effettua un altro pagamento di 10 euro, il PIN potrebbe non essere richiesto, perché i limiti applicabili non sono ancora stati raggiunti, ma un'ulteriore operazione potrebbe invece richiedere l'autenticazione, anche se di importo molto basso, perché il numero dei pagamenti consecutivi senza verifica ha raggiunto il limite previsto.

Lo stesso può accadere quando il sistema rileva operazioni insolite o potenzialmente rischiose, che è il medesimo motivo per cui due pagamenti di uguale importo possono richiedere procedure di autorizzazione differenti.

Cos'è la Strong Customer Authentication (SCA)

La richiesta del PIN fa parte di un sistema di sicurezza più ampio, chiamato Strong Customer Authentication (SCA), o autenticazione forte del cliente, che è stata introdotta nel quadro della normativa europea sui servizi di pagamento. La SCA in altre parole serve a verificare l'identità di chi effettua una transazione elettronica.

Il sistema richiede almeno due elementi di autenticazione indipendenti, appartenenti a categorie differenti:

• possesso: qualcosa che il cliente possiede, come una carta di pagamento o uno smartphone;
• conoscenza: qualcosa che soltanto il cliente conosce, come un PIN o una password;
• inerenza: una caratteristica personale, come l'impronta digitale o il riconoscimento del volto.

Quando paghiamo con una carta fisica e digitiamo il PIN, per esempio, vengono utilizzati due elementi: il possesso della carta e la conoscenza del codice.

L'autenticazione forte rappresenta quindi uno degli strumenti attraverso cui banche e intermediari cercano di prevenire operazioni fraudolente e utilizzi non autorizzati delle carte.

Come funzionano i controlli antifrode delle banche

Le soglie previste per i pagamenti contactless non costituiscono un meccanismo completamente automatico. Come chiarisce Banca d'Italia, gli intermediari possono richiedere l'autenticazione forte anche quando un'operazione rispetta i limiti di importo e di frequenza.

I sistemi antifrode possono valutare diversi elementi, tra cui l'importo della transazione, le abitudini di pagamento del cliente e la presenza di comportamenti anomali.

Una richiesta inattesa del PIN della carta di credito non significa quindi necessariamente che ci sia un problema, ma più semplicemente può indicare che la banca ha deciso di effettuare una verifica aggiuntiva per assicurarsi che il pagamento venga autorizzato dal legittimo titolare.

Pagamenti online: le soglie di sicurezza sono differenti

Pagamenti contactless nei negozi fisici e acquisti online seguono regole diverse tra loro. Banca d'Italia ricorda che, per alcune transazioni online di piccolo importo, l'esenzione dall'autenticazione forte può essere applicata fino a 30 euro per singola operazione, con un limite cumulativo di 100 euro oppure 5 pagamenti consecutivi, secondo le condizioni previste ma anche in questo caso, l'intermediario può comunque richiedere una verifica aggiuntiva.

La normativa contempla inoltre altre possibili esenzioni, per esempio per determinati pagamenti ricorrenti dello stesso importo verso lo stesso beneficiario, dopo che la prima operazione è stata autenticata.

L'esenzione può essere prevista anche per alcune operazioni considerate a basso rischio sulla base dei controlli effettuati dal prestatore di servizi di pagamento.

Non bisogna quindi confondere il pagamento contactless presso un POS con un acquisto online: le modalità operative e le soglie previste sono differenti.

Pagamenti contactless con smartphone: serve il PIN?

Le carte di pagamento possono essere utilizzate anche attraverso smartphone e altri dispositivi compatibili con i portafogli digitali, come Apple Pay e Google Wallet.

In questi casi, l'autenticazione può avvenire direttamente sul dispositivo, utilizzando un codice di sblocco, l'impronta digitale o il riconoscimento facciale così quando vengono utilizzati elementi di autenticazione conformi ai requisiti di sicurezza, il pagamento può essere autorizzato senza digitare il PIN della carta sul POS.

La richiesta di conferma dipende comunque da tre elementi:

• dal dispositivo,
• dal servizio utilizzato,
• dalle verifiche previste per la transazione.

Come proteggere la carta di credito dai pagamenti non autorizzati

I controlli automatici e l'autenticazione forte contribuiscono a rendere più sicuri i pagamenti elettronici, ma non eliminano completamente il rischio di frodi. Per questo è importante adottare alcune precauzioni:

• custodire il PIN senza conservarlo insieme alla carta;
• attivare le notifiche delle operazioni;
• verificare periodicamente i movimenti;
• prestare attenzione ai messaggi che richiedono dati personali o codici di sicurezza.

In caso di smarrimento o furto della carta, oppure quando si rileva un pagamento non riconosciuto, è necessario contattare tempestivamente l'emittente per bloccare lo strumento e segnalare l'operazione.

La sicurezza dipende quindi da due elementi complementari: i controlli effettuati dagli intermediari e l'attenzione del titolare della carta.