A nova iniciativa do Banco de Reserva da África do Sul pretende reforçar a verificação da identidade e a autorização das transacções. A medida integra um programa mais amplo de modernização do sistema nacional de pagamentos, com implicações para bancos, fintechs e utilizadores.
A transformação digital dos serviços financeiros trouxe mais rapidez e conveniência às transacções. Também criou novas oportunidades para a fraude, sobretudo quando criminosos conseguem interceptar códigos de autenticação ou assumir o controlo de números de telefone.
Na África do Sul, o Banco de Reserva da África do Sul (SARB) está a avançar com o PEM Key, uma iniciativa destinada a reforçar a confiança nos pagamentos digitais. O projecto integra o programa Payments Ecosystem Modernisation (PEM), que procura tornar o sistema nacional de pagamentos mais rápido, acessível, interoperável e seguro.
O que é o PEM Key?
O PEM Key, sigla associada ao Payments Ecosystem Modernisation Key, procura estabelecer um ecossistema de credenciais digitais seguras, reutilizáveis e verificáveis. A iniciativa pretende ajudar pessoas e organizações a demonstrarem a sua identidade e os seus direitos de participação no sistema de pagamentos.
Segundo o SARB, o programa está a desenvolver o Payment Credential Ecosystem (PCE). Este ecossistema permitirá partilhar informações através de credenciais digitais verificáveis, com o objectivo de reforçar a confiança e reduzir oportunidades de fraude.
SARB
A proposta vai além da confirmação de uma palavra-passe ou de um código recebido no telemóvel. Procura estabelecer uma forma mais consistente de verificar quem participa numa transacção e se essa pessoa ou organização tem autorização para a realizar.
A distinção é importante. Uma credencial digital pode ajudar a confirmar a identidade ou a autorização de um interveniente, mas não elimina, por si só, todos os riscos de fraude. A protecção depende também da forma como as instituições implementam os controlos, protegem os dispositivos e respondem a tentativas de utilização indevida.
Porque é que os códigos SMS estão sob pressão?
Durante muitos anos, os códigos de utilização única enviados por SMS serviram como uma camada adicional de autenticação. O utilizador recebe um código e introduz essa informação para confirmar uma operação.
O método continua presente em diversos serviços financeiros. Contudo, apresenta limitações conhecidas. Os criminosos podem recorrer à troca fraudulenta de cartões SIM, ao roubo de credenciais, à engenharia social ou à manipulação das vítimas para obter códigos de autenticação.
No caso do SIM swap, o atacante procura transferir o número de telefone da vítima para outro cartão SIM. Se conseguir assumir o controlo do número, poderá receber mensagens destinadas ao verdadeiro titular.
O problema não reside apenas na tecnologia. Muitas fraudes exploram comportamentos humanos, como a confiança em chamadas aparentemente legítimas, mensagens urgentes ou páginas falsas de acesso bancário.
O PEM Key pretende contribuir para uma autenticação mais robusta, baseada em credenciais digitais verificáveis. A Payments Africa descreve a utilização de certificados digitais guardados no dispositivo do utilizador como parte do modelo anunciado. No entanto, a informação pública do SARB consultada apresenta o programa sobretudo como um ecossistema de credenciais digitais. Por isso, não se deve assumir que todos os detalhes técnicos ou todas as modalidades de implementação já estão definitivamente estabelecidos.
