Nøglepunkter
- Vurdér en partner på hastighed, failover, leveringsrapporter, afsenderidentitet og support, ikke kun på prisen pr. besked.
- Der findes ingen helt sikker måde at sende engangskoder på SMS. Du kan reducere risikoen markant med korte levetider, begrænsede forsøg og nummervalidering.
- App- og hardwarebaserede metoder regnes generelt for stærkere end SMS. Vælg metode efter risikoen ved handlingen.
- Krav til samtykke, afsendernavne og kundeautentifikation afhænger af din virksomhed og dit land. Siden er generel information og ikke juridisk rådgivning.
Hvad kendetegner en pålidelig A2P SMS-partner til finansielle tjenester?
Banker, forsikringsselskaber og betalingsvirksomheder sender beskeder, der skal nå frem på sekunder: engangskoder, kort- og transaktionsalarmer, betalingspåmindelser og kontobeskeder. En kode, der kommer for sent, er et mislykket login, og en alarm, der udebliver, mister sin værdi. Derfor bør du sammenligne partnere på mere end prisen pr. besked.
- Hastighed og stabilitet: Hvordan leveres tidskritiske beskeder, og hvad sker der, når en rute eller et netværk har problemer? Failover, der sender trafikken via alternative ruter eller regioner, er et minimum.
- Synlighed: Leveringsstatus pr. besked, helst baseret på operatørernes egne leveringsrapporter, via API, webhooks eller analyse.
- Afsenderidentitet: Kunderne skal kunne genkende beskeden som din, helst med et fast afsendernavn, hvor landet tillader det.
- Misbrugsbeskyttelse: Mulighed for at validere numre og følge trafikken, så usædvanlige mønstre opdages.
- Support: Kan du få fat i en person, når koder ikke kommer frem uden for kontortid?
- Aftaler: En databehandleraftale og klarhed over, hvilke underdatabehandlere der er i brug.
Hvad er den sikreste måde at sende engangskoder på?
Der findes ikke en helt sikker måde. SMS er udbredt og kendt af kunderne, men flere sikkerhedsstandarder regner den for en svagere autentifikator end app- eller hardwarebaserede metoder, blandt andet fordi en SMS kan havne hos den forkerte, hvis nogen overtager et telefonnummer (SIM-swap). Den praktiske tilgang er at gøre SMS så sikker, som den kan blive, og vælge metode efter risikoen ved handlingen.
- Gør koden kortlivet og til engangsbrug, og begræns antallet af forsøg.
- Begræns anmodninger pr. nummer, enhed og IP-adresse, så din kodefunktion ikke bruges til kunstigt oppustet trafik (SMS pumping).
- Valider numre, før du sender, så du undgår ugyldige numre.
- Skriv, hvem koden er fra, og hvad den bruges til. Bed aldrig kunden svare med koden eller give den til en medarbejder.
- Brug et fast afsendernavn, så kunderne lærer at genkende det.
- Tilbyd en reservekanal, for eksempel en talebesked, hvis SMS ikke kommer frem.
- Brug stærkere metoder til højrisikohandlinger som store overførsler.
Hvilke beskeder sender finansielle virksomheder, og hvad kræver de?
| Besked | Det kræver |
|---|---|
| Engangskode | Levering på sekunder, kort levetid, begrænsede forsøg og overvågning mod misbrug. |
| Transaktions- og sikkerhedsalarm | Genkendelig afsender og kort, klar tekst uden følsomme oplysninger og uden links, der ligner phishing. Et svar som “ikke mig” kan starte en svindelproces. |
| Betalingspåmindelse | Normalt en servicebesked om en eksisterende aftale, men reglerne varierer. Hold den adskilt fra markedsføring. |
| Kontobesked | Minimalt indhold og en henvisning til en sikker kanal, hvis der er detaljer. |
Hvad med reglerne for finansiel kommunikation?
Finansiel kommunikation er reguleret, og kravene varierer fra land til land. Regler som PSD2 og tilsynsmyndighedernes vejledning kan for eksempel stille krav til, hvordan kunder autentificeres, og hvilke metoder der accepteres. Hvad der gælder for dig, afhænger af din virksomhed og dit tilsyn. Det afgøres ikke af beskedudbyderen, og denne side er generel information og ikke juridisk rådgivning.
Markedsføring på SMS kræver som udgangspunkt forudgående samtykke (markedsføringsloven § 10), med begrænsede undtagelser. Dokumentér samtykket, tilbyd en nem afmelding, og afklar grænsetilfælde med din juridiske rådgiver. Når en udbyder behandler personoplysninger for dig, skal der være en databehandleraftale.
Hvordan beskytter du dit afsendernavn mod efterligning?
Banker og betalingsvirksomheder er oplagte mål for phishing, hvor en falsk SMS bruger et kendt afsendernavn til at få kunden til at klikke på et link. Et alfanumerisk afsendernavn er fri tekst og ikke verificeret på samme måde som et telefonnummer. SenderID Protection registrerer dit afsendernavn hos de operatører og registre, der understøtter det. Det dækker ikke alle lande og stopper ikke al svindel, kræver en underskrevet Letter of Authorization (LOA) og har et separat månedligt gebyr.
Gode vaner er mindst lige så vigtige: ét fast afsendernavn, aldrig anmodninger om adgangskoder eller kortnumre i en SMS, og information til kunderne om, hvilke afsendere du bruger.
Hvordan ZafeConnect passer ind
ZafeConnect er et dansk selskab, der leverer A2P SMS, RCS, iMessage, e-mail, chat-apps og en CPaaS-platform til enterprise-kunder, med en leveringsrate på over 98 % (rapporteret, ikke garanteret), failover-systemer, analyse uden ekstra omkostning og kundesupport 24/7. Du betaler for leverede beskeder uden oprettelses-, system- eller driftsgebyrer og uden abonnement, og du kan være live på så lidt som 2 uger. Se A2P SMS-siden og siden om beskyttelse af afsender-ID for detaljerne.