Derfor har Sydbank endnu ikke fået Google Pay

Mange undrer sig over hvorfor Sydbank som en af de eneste banker i Danmark endnu ikke understøtter Google Pay. Her er den forklaring Sydbank kommer med.

Sydbank er Danmarks tredjestørste bank, og derfor undrer det også mange at de endnu ikke understøtter Google Pay, som de fleste andre danske banker. Tidligere var meldingen at det ville komme i begyndelsen af 2022, men det måtte Sydbank senere trække tilbage igen.

For hvorfor kan Sydbank ikke implementere Google Pay, når alle de andre banker kan?

Sydbank har løftet lidt af sløret for årsagen på deres Facebookside. De vil stadig ikke komme med en lanceringsdato, men fortæller dog at forsinkelsen skyldes at det europæiske finanstilsyn er ved at undersøge sikkerheden på området. Derfor valgte Sydbank at udskyde lanceringen indtil der her var en afklaring, så det kunne blive rettet til inden lanceringen.

Andre banker der allerede har lanceret Google Pay vil blive underlagt de samme retningslinjer, men vil så skulle tilpasse deres løsning. Det slipper Sydbank får hvis de implementerer dem fra starten af.

I den forbindelse henviser Sydbank til historien fra december 2021, hvor Finanstilsynet skriver:

“Finanstilsynet har undersøgt brugen af wallet-løsninger som MobilePay Online, ApplePay og GooglePay, hvor kortudstederne anvender såkaldt delegeret autentifikation. Finanstilsynet finder, at der er enkelte udfordringer ved disse løsninger.” 

Finanstilsynet december 2021

Delegereret autentifikation betyder at stærk kundeautentifikation (SCA) gennemføres i wallet-udbyderens miljø, dvs. i tilfældet med Google Pay i selve Google’s miljø. Man bruger ikke de identifikationer som normalt anvendes fx. ved køb på nettet, men i stedet elementer der er integreret i den pågældende wallet. Her fortæller Finanstilsynet, at hvis en kortholder (fx. VISA) vil benytte en walletløsning (fx. Google Pay), så skal de konkret bruge en af de SCA løsninger som man allerede har tilknyttet kortholderen og sikre sig at tilknytningen sker, så svindlere ikke kan få indsigt i eller manipulere med de oplysninger der bliver udvekslet.

Senere i den omtalte rapport, kommer Finanstilsynet ind på de konkrete problemer med Google Pay (og Apple Pay for den sags skyld). Her skriver de:

“Ved indrullering gennem wallet-appen er det et krav i løsningen, at kortholderen er logget ind med sin Google-konto eller AppleID. Kortudstederen kan også vælge, at kortholderen skal autentificere sig med en SMS-engangskode sendt til det SIM-kort, som kortudstederen har knyttet til kortholderen. Er SIM-kortet knyttet korrekt til kortholderen, kan det udgøre en au-tentifikationsfaktor i form af besiddelse.“

Finanstilsynet december 2021

Det handler altså især også om hvorvidt det at brugeren er logget ind med en Google-konto, er nok til at kunne betragtes som SCA. Det mener Finanstilsynet kun er tilfældet, hvis kortholderen er korrekt tilknyttet til kodeordet med SCA. For at løse problemet skal kortudstederne indgå en outsourcingkontrakt med Google Pay, og det er formentlig den vi venter på fra Sydbank. Finanstilsynet fortæller dog også at der afventer yderligere afklaring. De skriver:

“Finanstilsynet indgår på nuværende tidspunkt i drøftelser på europæisk niveau om, hvorvidt kortudstedere i tilstrækkelig grad kan kontrollere processen med validering af den anden autentifikationsfaktor, der er indbygget i wallet-løsningen. Finanstilsynet kan derfor endnu ikke konkludere, om den løbende brug af autentifikationsfaktorer til at gennemføre de enkelte betalinger, der er indbygget i wallet-løsninger, kan anses som outsourcing af forpligtelsen til at gennemføre SCA. Finanstilsynet vil inddrage de indhentede oplysninger i arbejdet på eu-ropæisk niveau og genoptage dialogen med kortudstederne om spørgsmålet på et senere tidspunkt.“

Finanstilsynet december 2021

Det ser altså ud til at vi både venter på at der indgås en outsourcing kontrakt og at Finanstilsynet vender tilbage på området.