Як зміна EMV може вплинути на онлайн-магазинів

Після переходу на EMV у США в жовтні цього року платіжна індустрія очікує значного зменшення шахрайства в середовищі карткових карток (CP).

Як зараз в Америці до EMV, найпоширенішим типом шахрайства є підробка, втрата або крадіжка картки на основі магнітної смуги, які стали легкою мішенню для хакерів, які прагнуть зламати роздрібні POS-системи. (Побачити Цільт і Home Depot.)

Але перехід на EMV також несе з собою менш перспективні очікування щодо транзакцій без картки (CNP) і середовища онлайн-покупок.

У кожній країні, яка перейшла на вбудовані в чіпи карти EMV, випадки шахрайства насправді не зникли, вони просто перемістилися в інше місце. Здебільшого це десь в іншому місці – онлайн-канал, який містить значно слабкіші протоколи автентифікації.

«Якщо шахрайство з використанням картки важче вчинити, ми можемо з упевненістю припустити, що шахраї перемістяться в сферу онлайн- і мобільних платежів. і спробуйте з’ясувати, де є діри, які можна використати», – сказав Тім Руссо, керівник групи із запобігання шахрайству постачальника програмного забезпечення для електронної комерції. Cleverbridge. «Онлайн-продавці з уразливими місцями, які можна використати, побачать збільшення кількості шахрайських атак і повернення платежів».

Існує не лише логіка, щоб підтвердити загальноприйняте припущення Руссо – є також статистика.

Дані з Великої Британії, Франції та Австралії показують, що шахрайство CNP становить більшу частину загального шахрайства під час і після відповідної міграції EMV у кожній країні. У Великій Британії, де в 2005 році відбулася зміна відповідальності EMV, кількість шахрайства CNP зросла майже на 40 відсотків за 10 років. В Австралії, де стандарти EMV набули чинності в 2008 році, шахрайство CNP зросло майже на 20 відсотків за перші два роки. Подібним чином у Франції з 2007 по 2011 рік кількість шахрайства CNP зросла трохи більше ніж на 20 відсотків.

Однак існує одна важлива відмінність у тому, як США обробляють EMV, яка може вплинути на розгортання всього сценарію шахрайства CP/CNP.

«США переходять на EMV не так, як решта світу – вони переходять до вибору між чіпом і підписом і чіпом і PIN-кодом – з перше є очевидним кращим вибором", - сказав Сет Руден, старший консультант з шахрайства в ACI Worldwide, глобальній банківській і платіжній системі. компанії. «Це робить картину потенційно іншою з точки зору того, що станеться далі, тому що США тримають на столі додаткові канали, схильні до шахрайства».

Різниця між карткою з чіпом і PIN-кодом і карткою з чіпом і підписом досить проста. Ітерація PIN-коду вимагає від користувачів введення чотиризначного персонального ідентифікаційного номера, який відповідає інформації, що міститься в чіпі, вбудованому в картку. Чип і підпис відрізняються тим, що користувачі підтверджують свою особу своїм підписом, а не PIN-кодом. Таким чином, ітерація підпису менш безпечна, ніж чіп і PIN-код, але більш безпечна, ніж картки з магнітною смугою.

Існують різні точки зору щодо того, чому США вибирають чіп і підпис замість більш безпечних карт EMV на основі PIN-коду, але в основному це зводиться до інфраструктури. Для кредитних карток із чіпом і PIN-кодом PIN-код фактично закодовано в чіпі комп’ютера картки, тому, якщо хтось забуде свій PIN-код, він повинен або відвідати свій банк, щоб скинути PIN-код, або звернутися до банкомату. Для останнього варіанту, очевидно, потрібен банкомат, здатний модифікувати чіп-картку, а це означає, що всі банкомати в США потребуватимуть модернізації, щоб надати їм таку можливість. І це займе деякий час.

Усе це створює неприємний рівень невизначеності щодо перспектив шахрайства в США після EMV як для середовищ CP, так і для CNP. Але, як кажуть кліше, найкращий захист – це хороший напад. Жоден механізм безпеки не захистить від усіх можливих сценаріїв шахрайства, тому більшість експертів рекомендувати систематичний, багаторівневий підхід із використанням різноманітних інструментів, які можуть працювати разом концерт.

«Можна з упевненістю припустити, що ми спостерігатимемо збільшення спроб атак без картки», — сказав Бред Бродіган, віце-президент із багатоканальних мереж PayPal. «Тож торговцям потрібно використовувати всі доступні їм технології, щоб зменшити ці шанси».

Для більшості онлайн-торговців будь-яка технологія обробки платежів, яку вони використовують, швидше за все, міститиме готові протоколи безпеки та автентифікації.

За словами Бродігана, PayPal розробила комплексне наскрізне шифрування, щоб допомогти захистити споживачів і продавців з їхньою платіжною інформацією — процес, за його словами, потребує «достатніх зусиль».

Однак це не звільняє онлайн-продавців від усіх тягарів. Найкращий підхід — бути в курсі найкращих практик безпеки та точно знати, як їх реалізує обраний постачальник обробки. Наразі для транзакцій електронної комерції доступно щонайменше десяток варіантів безпеки, таких як токенізація та 3-D Secure. Можна знайти корисний ресурс на Форумі міграції EMV, який пояснює ці технології тут.

Докладніше про EMV:

• EMV: Чому міграція в США не відбулася раніше
• Малий бізнес: що потрібно знати про прийом карток з чіпом
• EMV: Чому світ прийняв це