Nakon EMV Shift, kreditne kartice još uvijek nisu sigurne što je moguće

Prošlo je više od šest mjeseci otkako su se pravila koja se odnose na prijevaru s kreditnim karticama promijenila, preusmjeravajući stare kreditne kartice s magnetskim prugama na kartice ugrađene u EMV čipove. Ali samo 20% terminalnih kreditnih kartica u SAD-u aktivirano je za korištenje čipa do travnja 2016., prema Mercatorovoj savjetodavnoj skupini. A samo 60% svih kreditnih kartica ažurirano je s čipovima.

Unatoč tome, možda ste prošli kroz novi proces stavljanja čip kartice u čitač, čekajući da se transakcija potvrdi i dobije zvučni signal od strane stroja ako predaleko napustite karticu.

Postupak je jako unaprijeđen kao bolja briga o vašim podacima. Ali vjerojatno nije sigurna kao što bi EMV transakcija mogla biti. I ima prilično niska šipka za sigurnost bilo koji EMV transakcija može biti. Dio toga su granice tehnologije, a dio je stvarnost ljudskog ponašanja.

Ponašanje potrošača kao točka zabijanja

Neke zapreke u EMV prijelazu bile su opće poznate. Jedna stvar, transakcije mogu biti spore. Za drugi, još uvijek potvrdite svoj identitet starinski način, potpisivanjem svoje ime - i za manje transakcije, to čak i ne morate učiniti.

"Transakcije će trebati znatno duže na blagajničkim trase trgovina koje zahtijevaju da se čip kartice umoče u čitače čip kartica - barem kratko, budući da trgovci uče ubrzati proces", kaže Brian Krebs, novinar i sigurnost stručnjak u Krebsu o sigurnosti. "Također, vjerojatno će puno više ljudi ostaviti svoje kartice unutar strojeva i povećati izgubljene i ukradene [kartice] gubitke za banke, barem u kratkom roku sve dok potrošači ne naviknu na uređaje."

U Europi potrošači su godinama - desetljećima, u nekim slučajevima koristili usitnjene kreditne kartice. No za dodatnu sigurnost kartice zahtijevaju od vlasnika kartice da unesu PIN kôd kako bi provjerili njihov identitet tijekom transakcije. Pa zašto SAD nisu usvojili sustav čipova i PIN-a umjesto čipova i potpisivanja? Glavni čimbenik bio je prepoznavanje izdavača o tome kako je teško prisiliti promjenu ponašanja potrošača.

"NAS. potrošači se ne koriste za unos PIN-a transakcijama s kreditnim karticama ", kaže Julie Conroy, direktorica istraživanja u Aite grupi u Massachusettsu. "Mnogo izdavatelja s kojima sam razgovarao s izabranim čipom i potpisom jer nijedan izdavatelj nije želio izdavati kartice čije je korisničko iskustvo stavilo na tržišni nedostatak. Prema riječima jednog izdavatelja, poučavanje potrošača da umočaju umjesto da prelijevaju, bilo je dovoljno promjena; nisu htjeli riskirati da moraju naučiti potrošače da istodobno mijenjaju dva ponašanja."

Pokušaj zaustavljanja prijevare

Zašto bi američki potrošači mijenjali nešto? Glavni je razlog bio prijevara.

U 2014. godini više od 16 milijardi dolara bilo je izgubljeno u prijevarama kreditne kartice širom svijeta, navodi The Nilson Report, koji pokriva industriju plaćanja. Od gubitaka, 48% se dogodilo u SAD-u. Tradicionalne kartice magnetske trake lakše su hakirane, jer su informacije pohranjene na traci statike ili nepromjenjive. Kopirajte je jednom, a možete napraviti duplikatnu karticu. EMV čipovi, međutim, generiraju jedinstveni kôd za svaku transakciju, pa se podaci kopirani iz jedne transakcije ne mogu koristiti u drugoj.

"NAS. potrošači su uglavnom zaštićeni od [izravnih troškova kreditne kartice] prijevare, zahvaljujući američkom regulatornom okruženju i jamstvu za nulte obveze koje pružaju platne mreže ", kaže Conroy. Pomak na EMV, dakle, zapravo je više o zaštiti izdavatelja kreditnih kartica od gubitaka prijevara nego zaštiti potrošača.

U listopadu 2015. uvedena su nova pravila o odgovornosti za prijevare s kreditnim karticama. Ako dođe do prijevare, bilo koja stranka koja ne koristi EMV tehnologiju odgovara za gubitke. Ako dotična kartica nije bila podvrgnuta EMV-u, odgovornost je na izdavatelju. Ako trgovac nije imao čitač EMV čipa, trgovac snosi odgovornost. Odgovornost bi također mogla biti podijeljena.

PIN nudi samo ograničenu zaštitu

Ono što ne utječe na jednadžbu odgovornosti jeste da li se čip kartica oslanja na PIN ili potpis za provjeru. A istina je da većina prijevara s kreditnim karticama ne bi ni bila spriječena s čipom i PIN-om.

"Čip-i-PIN štiti od izgubljenih i ukradenih prijevara - tj. Ako netko ukrade vaš novčanik, oni ne mogu lako preuzeti vaše kartice u kupovnu atmosferu", kaže Conroy. Ta vrsta prijevare je mala u usporedbi s općim prijevarama kreditnim karticama, kaže Conroy.

Osim toga, kradljivci će uvijek pronaći put oko sigurnosti. "Vidjeli smo, na temelju primjera drugih zemalja, da su kriminalci postali vrlo sposobni za hvatanje PIN-a, bilo putem napada kose, surfanja ili označavanja kamere", kaže Conroy. Budući da se PIN ne mijenja sa svakom kupnjom, Conroy je rekao da "ima svoje granice u smislu njegove sposobnosti da se učinkovito bori s prijevarama. Kad je Ujedinjenom Kraljevstvu otišao na čip i PIN, nakratko je umrla izgubljena i ukradena prijevara, no za nekoliko godina bilo je tek na razini pre-PIN-a."

EMV čipovi također nemaju ulogu u online transakcijama, tako da čip kartice su jednako toliko ranjive kao i kartice s magnetskim prugama.

Postoji li sigurniji način?

Conroy kaže da je chip-and-PIN u najboljem slučaju kratkoročni popravak."U idealnom slučaju, želim vidjeti prijelazni PIN tvrtke i preseliti se na druge oblike provjere, kao što su biometrija, provjera mobilnih uređaja itd.", Kaže ona. "U tom procesu trebali bismo također ukloniti potpis - to je skupo za trgovce da se pohranjuju i beskorisno je kao metoda autentifikacije korisnika koja je trenutno implementirana."

Krebs predlaže korištenje "tokena" kao načina borbe protiv prijevare. Tokenizacijom, trgovci ne pohranjuju podatke o kreditnoj kartici. Umjesto toga, pohranjuju rezervirano mjesto ili token, koji se može koristiti za preuzimanje podataka izdavatelja.

Tokenizacija može pomoći trgovcima da izbjegavaju spremanje podataka o karticama za bilo koju duljinu vremena, a u tom procesu smanjuju vjerojatnost da ih cybercrooks ciljaju za podatke o karticama ", kaže on. Tokenizacija bi smanjila prijetnju od kršenja podataka, tako da većina potrošača postaje žrtva prijevare s kreditnim karticama.

Mobilna rješenja imaju vlastita ograničenja

Mobilna plaćanja i digitalni novčanik, kao što je Apple Pay, mogu pružiti alternativu. No, Conroy kaže: "Dok su neke implementacije mobilnih plaćanja za trgovce vidljive veliki uspjeh, Starbucks, za jednu - usvajanje mobilnih plaćanja otvorenog koda - Apple Pay, Android Pay - kreće se mnogo sporije.

Krebs također vidi sigurnosni rizik za mobilne isplate. "Apple Pay koristi oblik tokenizacije, ali problemi u prošlosti s Apple Payom proizlaze iz postupaka upisa u banke i oslanjanja na statičke elemente podataka [poput brojeva socijalnog osiguranja ili datuma rođenja] za provjeru autentičnosti kada su ovi podaci elementi široko ugrožena i za prodaju na gotovo svim Amerikancima."

Jedina stvar koja će ostati mobilna vjerojatno će biti kartica u novčaniku. "Potrošači su vrlo udobni s karticama", kaže Conroy, "i mijenjanje ponašanja potrošača je teško, tako da će karte biti s nama još neko vrijeme."

Ellen Cannon je pisac osoblja u Investmentmatomeu, web stranici za osobne financije. E-adresa: [email protected]. Twitter: @ellencannon.