Etter EMV-skift, er kredittkort fortsatt ikke så trygge som mulig

Det har vært mer enn seks måneder siden reglene om kredittkortsvindel endret seg, og skiftet fra gamle magnetiske stripe-kredittkort til kort innebygd med EMV-chips. Men bare 20% av kredittkortterminalene i USA ble aktivert for bruk av chip gjennom april 2016, ifølge Mercator Advisory Group. Og bare 60% av alle kredittkortene var oppdatert med sjetonger.

Likevel kan du ha gått gjennom den nye prosessen med å stikke ditt chipkort i en leser, venter på at transaksjonen skal verifiseres, og får pipet på ved maskinen hvis du forlater kortet ditt for lenge.

Prosessen har blitt sterkt fremmet som å ta vare på dataene dine bedre. Men det er sannsynligvis ikke så sikkert som en EMV-transaksjon kan være. Og det er en ganske lav bar for hvor sikker noen EMV-transaksjonen kan være. En del av det er grensene til teknologien, og en del er realiteten av menneskelig atferd.

Forbrukeradferd som stikkpunkt

Noen snags i EMV-overgangen har blitt mye kjent. For en ting kan transaksjoner være treg. For en annen bekrefter du fortsatt identiteten din på den gammeldags måten, ved å signere navnet ditt - og for mindre transaksjoner trenger du ikke engang å gjøre det.

"Transaksjonene vil ta betydelig lengre tid i kassen av butikker som krever at chipkort skal dyppes inn i deres kortkortlesere - i hvert fall i det korte løp, da handelsmenn lærer å fremskynde prosessen, sier Brian Krebs, journalist og sikkerhet ekspert på Krebs on Security. "Sannsynligvis vil mange flere mennesker forlate sine kort inne i maskinene og øke tapte og stjålne tap for banker, i hvert fall på kort sikt til forbrukerne blir vant til enhetene."

I Europa har forbrukerne benyttet avkortede kredittkort i flere årtier, i noen tilfeller. Men for ytterligere sikkerhet krever kortene kortholdere å skrive inn en PIN-kode for å bekrefte identiteten deres under en transaksjon. Så hvorfor ikke USA vedta et chip-and-PIN-system, i stedet for chip og signatur? En viktig faktor var utsteders anerkjennelse av hvor vanskelig det er å tvinge en forandring i forbrukeradferd.

"OSS. forbrukerne er ikke vant til å legge inn en PIN-kode med kredittkorttransaksjoner, sier Julie Conroy, forskningsdirektør ved Aite Group i Massachusetts. "Mange utstedere som jeg snakket med valgt chip-og-signatur fordi ingen utsteder ønsket å utstede kort hvis brukeropplevelse gjorde det til en konkurransedyktig ulempe. I ordene til en utsteder var det nok å forandre forbrukerne til å dyppe i stedet for å bøye seg. de ville ikke risikere å lære forbrukerne å endre to atferd på samme tid."

Et forsøk på å stoppe svindel

Hvorfor gjør amerikanske forbrukere forandre noe? Den primære grunnen var svindel.

I 2014 ble mer enn 16 milliarder dollar tapt i verdensomspennende kredittkortbedrager, ifølge The Nilson Report, som dekker betalingsindustrien. Av tapene oppsto 48% i USA. Tradisjonelle magnetiske stripekort er lettere å hacke fordi informasjonen som er lagret på stripen, er statisk eller uendret. Kopier det en gang, og du kan lage et duplikatkort. EMV-sjetonger genererer imidlertid en unik kode for hver transaksjon, slik at informasjon som er kopiert fra en transaksjon, ikke kan brukes i en annen.

"OSS. forbrukerne er i stor grad skjermet fra [de direkte kostnadene ved kredittkort] svindel, takket være det amerikanske regelverket og nullansvarsgarantien som betalingsnettene gir, sier Conroy. Skiftet til EMV, da, handler egentlig om å beskytte kredittkortutstedere mot svindeltap enn å beskytte forbrukerne.

I oktober 2015 ble det innført nye regler for ansvar for kredittkortsvindel. Hvis det oppstår svindel, er det ikke ansvarlig for tapet av det partiet som ikke bruker EMV-teknologien. Hvis kortet ikke var EMV-avkortet, er ansvaret på utstederen. Hvis selgeren ikke hadde en EMV-chipleser, bærer selgeren ansvaret. Ansvar kunne også deles.

PIN-kode tilbyr bare begrenset beskyttelse

Det som ikke er en faktor i erstatningsligningen, er om chipkortet er avhengig av en PIN eller en signatur for verifisering. Og sannheten er at de fleste kredittkortbedrager ikke engang ville bli forhindret med chip-and-pin.

"Chip-and-PIN-beskytter mot tapt og stjålet bedrageri - det vil si at noen stjeler lommeboken, de kan ikke lett ta kortene dine på en handlekurv, sier Conroy. Den typen svindel er liten sammenlignet med generell kredittkort svindel, sier Conroy.

I tillegg vil tyver alltid finne en vei rundt sikkerheten. "Vi har sett, basert på eksemplet fra andre land, at kriminelle har blitt ganske flinke til å fange PIN-koden, enten via skimming-angrep, skulder-surfing eller pin-kameraer," sier Conroy. Fordi PIN-koden ikke endres ved hvert kjøp, sa Conroy det "har sine grenser når det gjelder evnen til effektivt å bekjempe svindel. Når USA gikk til chip-and-PIN, døde mistet og stjålet bedrageri kort, men innen få år var det rett tilbake til pre-PIN nivåer."

EMV-sjetonger har heller ingen rolle i online-transaksjoner, så chipkort er like sårbare der som magnetiske stripekort.

Er det en sikrere måte?

Conroy sier chip-and-PIN er i beste fall en kortsiktig løsning."Ideelt sett vil jeg gjerne se PIN-koden for industrien, og gå til andre former for bekreftelse, for eksempel biometri, mobil verifisering, osv.", Sier hun. "I prosessen burde vi også gjøre unna med signaturen - det er kostbart for selgere å lagre og er ubrukelig som kundeautentiseringsmetode som for tiden implementert."

Krebs foreslår at du bruker "tokens" som en måte å bekjempe svindel på. Med tokenisering lagrer ikke selgerens datamaskiner kredittkortdata i det hele tatt. I stedet lagrer de et plassholdernummer, eller token, som kan brukes til å hente data fra utstederen.

"Tokenisering kan hjelpe selgere å unngå å lagre kortdata i lengre tid, og i prosessen redusere sannsynligheten for at cybercrooks vil målrette dem mot kortdata," sier han. Tokenisering vil redusere trusselen fra data brudd, som er hvordan de fleste forbrukere blir ofre for kredittkort svindel.

Mobile løsninger har sine egne begrensninger

Mobilbetalinger og digitale lommebøker som Apple Pay kan gi et alternativ. Men Conroy sier, "Mens noen kjøperspesifikke implementeringer av mobile betalinger ser stor suksess - Starbucks, for en - adopsjon av åpne løpebaserte betalinger - Apple Pay, Android Pay - beveger seg mye tregere."

Krebs ser også en sikkerhetsrisiko for mobile betalinger. "Apple Pay bruker en form for tokenisering, men problemene i fortiden med Apple Pay stammer fra laksegistreringsprosedyrer ved banker og en avhengighet av statiske dataelementer (for eksempel personnummer eller fødselsdato) for godkjenning når disse dataelementene er brede kompromittert og til salgs på omtrent alle amerikanere."

Den eneste tingen som vil bli mobil vil trolig være kortet i lommeboken din. "Forbrukerne er veldig komfortable med kortene," sier Conroy, "og det er vanskelig å endre forbrukeradferd, så kortene vil være med oss ​​for en stund."

Ellen Cannon er en stabskribent på Investmentmatome, et personlig finansnettsted. E-post: [email protected]. Twitter: @ellencannon.