Po zmianie EMV karty kredytowe nie są tak bezpieczne, jak to tylko możliwe

Minęło już ponad sześć miesięcy, odkąd zmieniły się zasady dotyczące oszustw związanych z kartami kredytowymi, przenosząc ze starych kart kredytowych z paskiem magnetycznym na karty osadzone na chipach EMV. Jednak tylko 20% terminali kart kredytowych w USA zostało aktywowanych w celu wykorzystania chipów do kwietnia 2016 r., Zgodnie z Mercator Advisory Group. I tylko 60% wszystkich kart kredytowych zostało zaktualizowanych chipami.

Być może jednak przeszliście przez nowy proces włożenia karty chipowej do czytnika, czekania na weryfikację transakcji i wydawania sygnału dźwiękowego przez urządzenie, jeśli zbyt długo pozostawisz kartę.

Proces ten był mocno promowany, ponieważ lepiej dbał o swoje dane. Ale prawdopodobnie nie jest tak bezpieczny, jak mogłaby być transakcja EMV. I jest dość niski poprzeczka, jak bezpieczne każdy Transakcja EMV może być. Częściowo jest to ograniczenie technologii, a część to realia ludzkiego zachowania.

Zachowania konsumenckie jako punkt zwrotny

Niektóre przeszkody w przejściu EMV zostały szeroko odnotowane. Po pierwsze, transakcje mogą być powolne. Po drugie, nadal weryfikujesz swoją tożsamość w staroświecki sposób, podpisując swoje nazwisko - a przy mniejszych transakcjach nie musisz nawet tego robić.

"Transakcje będą trwać znacznie dłużej na torach kasowych sklepów, które wymagają zanurzania kart chipowych w czytnikach kart chipowych - przynajmniej na krótką metę, ponieważ kupcy uczą się przyspieszać proces" - mówi Brian Krebs, dziennikarz i bezpieczeństwo ekspert w Krebs na temat bezpieczeństwa. "Prawdopodobnie wiele osób będzie musiało zostawić swoje karty w automatach i zwiększyć zaginione i utracone [karty] dla banków, przynajmniej w najbliższym czasie, zanim konsumenci przyzwyczają się do urządzeń."

W Europie konsumenci używają rozdrobnionych kart kredytowych przez lata - w niektórych przypadkach dekady. Jednak dla dodatkowego zabezpieczenia karty wymagają od posiadaczy kart podania kodu PIN w celu zweryfikowania ich tożsamości podczas transakcji. Dlaczego więc USA nie przyjęły systemu chip-and-PIN zamiast chip-and-signature? Istotnym czynnikiem było uznanie przez emitentów, jak trudno jest wymusić zmianę zachowań konsumenckich.

"NAS. konsumenci nie są przyzwyczajeni do wprowadzania kodu PIN przy transakcjach kartą kredytową ", mówi Julie Conroy, dyrektor ds. badań w Aite Group w Massachusetts. "Wielu emitentów, z którymi rozmawiałem, wybrało chip-and-signature, ponieważ żaden emitent nie chciał wydawać kart, których wrażenia użytkownika stawiają go w niekorzystnej sytuacji konkurencyjnej. Według jednego z wydawców, nauczanie konsumentów, aby zanurzyć zamiast machnięcia, było wystarczającą zmianą; nie chcieli ryzykować zmuszania konsumentów do zmiany dwóch zachowań w tym samym czasie."

Próba powstrzymania oszustwa

Dlaczego konsumenci w USA mogą coś zmienić? Głównym powodem było oszustwo.

W 2014 r. Ponad 16 miliardów dolarów utracono w wyniku oszustw związanych z kartami kredytowymi na całym świecie, wynika z raportu Nilsona, który dotyczy sektora płatności. Ze strat 48% wystąpiło w USA. Tradycyjne karty z paskiem magnetycznym są łatwiejsze do zhakowania, ponieważ informacje przechowywane na pasku są statyczne lub niezmienne. Skopiuj go raz i możesz zrobić duplikat karty. Chipy EMV generują jednak niepowtarzalny kod dla każdej transakcji, więc informacje skopiowane z jednej transakcji nie mogą być używane w innej transakcji.

"NAS. konsumenci są w dużej mierze chronieni przed oszustwami [bezpośredniego kosztu karty kredytowej], dzięki amerykańskiemu środowisku regulacyjnemu i zerowej gwarancji, którą zapewniają sieci płatnicze "- mówi Conroy. Przestawienie się na EMV polega więc bardziej na ochronie emitentów kart kredytowych przed stratami finansowymi niż ochrona konsumentów.

W październiku 2015 r. Wprowadzono nowe zasady dotyczące odpowiedzialności za oszustwa związane z kartami kredytowymi. W przypadku wystąpienia oszustwa, strona, która nie korzystała z technologii EMV, ponosi odpowiedzialność za straty. Jeżeli karta, o której mowa, nie ma kodu EMV, odpowiedzialność spoczywa na emitencie. Jeśli kupiec nie ma czytnika układów EMV, wówczas kupiec ponosi odpowiedzialność. Odpowiedzialność może również zostać udostępniona.

PIN zapewnia tylko ograniczoną ochronę

To, co nie bierze udziału w równaniu odpowiedzialności, polega na tym, czy karta chipowa opiera się na kodzie PIN lub podpisie do weryfikacji. A prawda jest taka, że ​​większości oszustw na kartach kredytowych nie można by zapobiec nawet przy użyciu chip-and-PIN.

"Chip-and-PIN chroni przed zgubionym i skradzionym oszustwem - to znaczy, jeśli ktoś ukradnie twój portfel, nie będzie mógł z łatwością wziąć twoich kart na zakupy" - mówi Conroy. Ten rodzaj oszustwa jest niewielki w porównaniu z ogólnymi oszustwami dotyczącymi kart kredytowych, twierdzi Conroy.

Ponadto złodzieje zawsze znajdą sposób na zabezpieczenie. "Widzieliśmy, w oparciu o przykład innych krajów, że przestępcy mogą być dość biegli w przechwytywaniu kodu PIN, albo poprzez ataki szumiące, surfowanie na ramieniu, czy wskazanie kamer", mówi Conroy. Ponieważ kod PIN nie zmienia się przy każdym zakupie, Conroy powiedział, że "ma swoje ograniczenia pod względem zdolności do skutecznego zwalczania oszustw. Kiedy Wielka Brytania trafiła na chip-and-PIN, zagubione i skradzione oszustwa szybko spadły, ale w ciągu kilku lat wróciły do ​​poziomów pre-PIN."

Chipy EMV również nie odgrywają żadnej roli w transakcjach online, więc karty chipowe są tak samo podatne na ataki jak karty z paskiem magnetycznym.

Czy istnieje bezpieczniejszy sposób?

Conroy twierdzi, że chip-and-PIN jest co najwyżej krótkoterminowym rozwiązaniem."Idealnie, chciałbym zobaczyć kod przeskoku w branży i przejść do innych form weryfikacji, takich jak biometria, weryfikacja mobilna itp.", Mówi. "W trakcie tego procesu powinniśmy również pozbyć się podpisu - to kosztowne dla handlowców do przechowywania i jest bezużyteczne jako metoda uwierzytelniania klienta, jak obecnie stosowane."

Krebs sugeruje używanie "tokenów" jako sposobu na zwalczanie oszustw. W przypadku tokenizacji komputery sprzedawców w ogóle nie przechowują danych kart kredytowych. Zamiast tego przechowują one symbol zastępczy lub token, który może być użyty do pobrania danych od wystawcy.

"Tokenizacja może pomóc sprzedawcom uniknąć przechowywania danych kart przez dłuższy czas, a dzięki temu zmniejszyć prawdopodobieństwo, że cyberprzestępcy będą kierować je na dane kart" - mówi. Tokenizacja zmniejszyłaby zagrożenie związane z naruszeniem bezpieczeństwa danych, przez co większość konsumentów stała się ofiarami oszustw związanych z kartami kredytowymi.

Rozwiązania mobilne mają swoje własne ograniczenia

Płatności mobilne i portfele cyfrowe, takie jak Apple Pay, mogą stanowić alternatywę. Ale Conroy mówi: "Podczas gdy niektóre implementacje płatności mobilnych dla konkretnych użytkowników odnoszą wielki sukces - Starbucks, na przykład, przyjęcie mobilnych płatności w otwartej pętli - Apple Pay, Android Pay - porusza się znacznie wolniej".

Krebs widzi także zagrożenie bezpieczeństwa dla płatności mobilnych. "Apple Pay stosuje formę tokenizacji, ale problemy z Apple Pay w przeszłości wynikały z luźniejszych procedur rejestracyjnych w bankach i polegania na statycznych elementach danych (takich jak numery ubezpieczenia społecznego lub daty urodzenia) w celu uwierzytelnienia, gdy te elementy danych są szeroko dostępne. skompromitowany i na sprzedaż na prawie wszystkich Amerykanach."

Jedyną rzeczą, która pozostanie mobilna, będzie prawdopodobnie karta w twoim portfelu. "Konsumenci bardzo dobrze radzą sobie z kartami", mówi Conroy, "a zmiana zachowań konsumenckich jest trudna, więc karty będą z nami przez jakiś czas".

Ellen Cannon jest pisarką pracowniczą w Investmentmatome, osobistej witrynie finansowej. Email: [email protected]. Twitter: @ellencannon.