O Que É Uma Senha de Uso Único (OTP) na Autenticação de Pagamentos?

Uma senha de uso único, ou OTP, é um código temporário curto usado em uma única etapa de autenticação, como durante a verificação de pagamento. Geralmente, receber uma OTP demonstra que o usuário tem acesso ao método registrado para autenticação, como seu telefone ou e-mail.

Um OTP por si só não verifica a propriedade da conta, mas conecta o processo a um dispositivo ou serviço atual. Esses códigos permanecem disponíveis por uma breve duração ou até serem usados para autenticação, após o que o sistema os reconhece como não mais válidos. O curto período de validade diminui a chance de que um código seja inserido mais de uma vez. Enquanto os códigos são válidos, eles podem ser usados dentro desse período se outra pessoa os interceptar. Como resultado, a segurança do OTP depende de como ele é incorporado ao processo geral de autenticação.

Uma senha estática permanece válida para múltiplos logins até que você opte por atualizá-la ou redefini-la. Em comparação, um OTP é destinado a um único uso, geralmente tornando-se inativo assim que inserido ou quando seu breve período de validade termina. Quando os OTPs de sessões anteriores já foram inseridos ou expiraram, eles são simplesmente reconhecidos como inativos pelo sistema.

A utilização de OTPs como método principal aborda cenários específicos, mas é importante notar que eles não foram projetados para lidar com todas as situações, como quando um código é inserido através de diferentes sites ou plataformas enquanto ainda está dentro do seu período de validade. Um atacante que obtém um código válido enquanto ele ainda está ativo pode tentar usá-lo imediatamente.

A geração de OTP e a entrega de OTP são conceitos separados. HOTP e TOTP definem como os códigos são gerados, enquanto SMS, e-mail e voz descrevem os canais pelos quais um código pode ser entregue.

Aplicativos autenticadores podem gerar códigos TOTP no próprio dispositivo, tornando o código disponível localmente, em vez de depender de uma mensagem separada ou comunicação de rede a cada uso. Há também a autenticação por push, que permite aos usuários aprovar o acesso por meio de um aviso em vez de inserir um código.

Em um EMV 3-D Secure (3DS) fluxo, o sistema pode, às vezes, solicitar uma confirmação adicional da pessoa que realiza a compra. O Servidor de Controle de Acesso (ACS) do emissor pode analisar a transação e decidir se são necessárias mais etapas para verificar a identidade do usuário.

Uma opção é um OTP, que geralmente é enviado ao titular do cartão por um canal registrado, como SMS ou e-mail. O indivíduo então digita este código temporário em uma caixa de verificação que aparece durante o pagamento. Outras abordagens, como receber uma solicitação em um aplicativo bancário, também podem ser usadas para esta parte do processo.

Após a autenticação necessária ser marcada como bem-sucedida, a transação continua para a próxima etapa do processamento de pagamento.

À primeira vista, OTP, MFA e SCA apontam para diferentes características do processo de autenticação. Aqui está um breve resumo:

• OTP: um código de uso único que ajuda a verificar a identidade durante uma interação específica. Sua classificação pode depender da tecnologia envolvida, bem como da forma como o código chega ao usuário.
• MFA: autenticação multifator, significando que o processo utiliza mais de um tipo de verificação, como algo que você sabe, algo que você tem ou algo que você é.
• SCA: Autenticação Forte de Cliente. Este é um requisito de acordo com as regras de pagamento europeias, geralmente exigindo dois (ou mais) elementos de verificação separados, normalmente escolhidos entre fatores de conhecimento, posse e inerência.

Quando aplicado isoladamente, um OTP geralmente fornece uma camada de autenticação e seria tipicamente combinado com outros fatores para se alinhar com os requisitos de MFA ou SCA. No entanto, um OTP pode atuar como um elemento em uma configuração multifator e, em alguns casos, a forma como você acessa seu OTP pode exigir uma segunda etapa de verificação.
Para pagamentos eletrônicos remotos sujeitos a SCA, frequentemente existem requisitos adicionais, como vincular o código de autenticação a detalhes como o valor do pagamento e quem recebe o pagamento.

Ao analisar as opções de OTP para autenticação de pagamento, as empresas geralmente verificam uma combinação de áreas práticas. A segurança geralmente recebe atenção, juntamente com a facilidade com que os códigos chegam aos usuários, se a solução se encaixa nos sistemas atuais e como ela se apresenta para as pessoas que a utilizam.
Cada método de entrega precisa de algo diferente: SMS e voz dependem de operadoras de telecomunicações, enquanto códigos baseados em aplicativo funcionam em dispositivos cadastrados sem a operadora de telefonia, mas necessitam de uma configuração única.
Algumas ações que as empresas podem tomar são:

• Acompanhar as taxas de sucesso das etapas de autenticação, separando os dados por localização e canal.
• Manter registros da frequência com que os códigos expiram, do número de tentativas de reenvio que os usuários fazem e de como as várias tentativas de autenticação progridem.
• Planeje e documente quais alternativas estão disponíveis caso a opção principal não funcione para alguém.
• Avalie fatores como potencial phishing e como cada abordagem funciona durante situações de recuperação de conta.
• Verifique como cada método de autenticação se alinha com os requisitos para 3DS, MFA ou SCA, quando aplicável.

Para ter uma perspectiva útil, as equipes frequentemente analisam a experiência de autenticação completa – não apenas a entrega do código OTP como uma parte isolada, mas como um elo no processo de pagamento geral do usuário.