Efter EMV-skift er kreditkort stadig ikke så sikre som muligt

Det har været mere end seks måneder siden reglerne omkring kreditkortsvindel ændrede sig, og skiftede fra gamle magnetiske stripe kreditkort til kort indlejret med EMV chips. Men kun 20% af kreditkortterminalerne i USA var blevet aktiveret til chipbrug i april 2016, ifølge Mercator Advisory Group. Og kun 60% af alle kreditkort var blevet opdateret med chips.

Ikke desto mindre har du muligvis gennemgået den nye proces med at stikke dit chipkort i en læser, venter på, at transaktionen skal verificeres, og at du bliver vedtaget ved maskinen, hvis du forlader dit kort for længe.

Processen er blevet stærkt fremmet som bedre at tage vare på dine data. Men det er nok ikke så sikkert som en EMV-transaktion kunne være. Og der er en ret lav bar for hvor sikkert nogen EMV-transaktionen kan være. En del af det er grænserne for teknologien, og en del er virkeligheden af ​​menneskelig adfærd.

Forbrugeradfærd som stikpunkt

Nogle snags i EMV-overgangen er blevet meget kendt. For en ting kan transaktioner være langsomme. For en anden bekræfter du stadig din identitet den gammeldags måde ved at underskrive dit navn - og for mindre transaktioner behøver du ikke engang at gøre det.

"Transaktionerne vil tage betydeligt længere tid i kasserne i butikker, der kræver, at chipkort skal dyppes i deres chipkortlæsere - i hvert fald i det korte løb, som handlende lærer at fremskynde processen", siger journalist og sikkerhedskritiker Brian Krebs ekspert hos Krebs on Security. "Desuden vil sandsynligvis mange flere mennesker forlade deres kort inde i maskinerne og øge tabt og stjålet tab for banker, i det mindste på kort sigt, indtil forbrugerne vænner sig til enhederne."

I Europa har forbrugerne brugt afkortede kreditkort i år - årtier, i nogle tilfælde. Men for yderligere sikkerhed kræver kortene kortindehavere at indtaste en PIN-kode for at bekræfte deres identitet under en transaktion. Så hvorfor vedtog USA ikke et chip-and-PIN-system i stedet for chip-and-signature? En væsentlig faktor var udstedernes anerkendelse af, hvor svært det er at tvinge en ændring i forbrugeradfærd.

"OS. forbrugere er ikke vant til at indtaste en PIN-kode med kreditkorttransaktioner, "siger Julie Conroy, forskningsdirektør på Aite Group i Massachusetts. "Mange udstedere, som jeg talte med valgt chip og underskrift, fordi ingen udsteder ønskede at udstede kort, hvis brugeroplevelse sætter det i en konkurrencemæssig ulempe. I en enkelt udstederes ord var det nok at undervise forbrugerne at dyppe i stedet for at bøje sig; de ville ikke risikere at lære forbrugerne at ændre to adfærd på samme tid."

Et forsøg på at stoppe svig

Hvorfor gør amerikanske forbrugere om at ændre noget? Den primære årsag var svig.

I 2014 blev mere end 16 milliarder dollars tabt i verdensomspændende kreditkort bedrageri, ifølge The Nilson Report, der dækker betalingsindustrien. Af tabene forekom 48% i USA. Traditionelle magnetiske stripe-kort er lettere at hacke, fordi oplysningerne, der er gemt på striben, er statiske eller uændrede. Kopier det en gang, og du kan lave et duplikatkort. EMV-chips skaber imidlertid en unik kode for hver transaktion, så oplysninger, der kopieres fra en transaktion, kan ikke bruges i en anden.

"OS. forbrugerne er i høj grad afskærmet fra [de direkte omkostninger ved kreditkort] svig, takket være det amerikanske lovgivningsmiljø og den nulansvarsgaranti, som betalingsnetværket giver, "siger Conroy. Skiftet til EMV handler så meget mere om at beskytte kreditkortsudstedere mod svindelab end at beskytte forbrugerne.

I oktober 2015 blev der indført nye regler om ansvar for kreditkortsvindel. Hvis der opstår svig, afhænger det af hvilket parti der ikke bruger EMV-teknologien for tabene. Hvis kortet ikke var EMV-afkortet, er ansvaret på udstederen. Hvis købmanden ikke havde en EMV-chiplæser, har købmanden ansvaret. Ansvar kunne også deles.

PIN-kode tilbyder kun begrænset beskyttelse

Hvad der ikke er en faktor i ansvarlig ligningen, er, om chipkortet er afhængigt af en pinkode eller en underskrift til verifikation. Og sandheden er, at de fleste kreditkort bedrageri ikke engang ville blive forhindret med chip-og-PIN.

"Chip-and-PIN beskytter mod tabt og stjålet bedrageri - det vil sige, at hvis nogen stjæler din tegnebog, kan de ikke nemt tage dine kort på en indkøbsrejse," siger Conroy. Den slags bedrageri er lille i forhold til det generelle kreditkortsvindel, siger Conroy.

Derudover vil tyve altid finde vej omkring sikkerhed. "Vi har set på baggrund af eksemplet fra andre lande, at kriminelle har fået at være ret dygtige til at fange PIN'en, enten via skimming-angreb, skulder-surfing eller pege kameraer," siger Conroy. Fordi PIN-koden ikke ændrer sig ved hvert køb, sagde Conroy, at det "har sine begrænsninger med hensyn til dets evne til effektivt at bekæmpe svig. Da U.K. gik til chip-and-PIN, faldt svig og stjålet bedrageri kort, men inden for få år var det lige tilbage til præ-PIN-niveauer."

EMV-chips har heller ingen rolle i online-transaktioner, så chipkort er lige så sårbare der som magnetiske stripe kort.

Er der en mere sikker måde?

Conroy siger chip-and-PIN er i bedste fald en kortfristet løsning."Ideelt set vil jeg gerne se PIN-kode for industrien og få adgang til andre former for verifikation, såsom biometri, mobil verifikation osv.", Siger hun. "I processen skal vi også gøre afkald på signaturen - det er dyrt for handlende at opbevare og er ubrugeligt som en kundeautentificeringsmetode som i øjeblikket implementeret."

Krebs foreslår at bruge "tokens" som en måde at bekæmpe svig på. Med tokenisering lagrer grossisternes computere slet ikke kreditkortdata. I stedet opbevarer de et stednummer eller et symbol, der kan bruges til at hente data fra udstederen.

"Tokenisering kan hjælpe købmændene med at undgå at lagre kortdata i nogen tid, og i processen mindske sandsynligheden for, at cybercrooks vil målrette dem til kortdata," siger han. Tokenisering ville reducere truslen fra brud på data, hvilket er, hvordan de fleste forbrugere bliver offer for kreditkortsvindel.

Mobile løsninger har deres egne begrænsninger

Mobilbetalinger og digitale tegnebøger som Apple Pay kan give et alternativ. Men Conroy siger, "Mens nogle køberspecifikke implementeringer af mobilbetalinger ser stor succes - Starbucks, for en vedtagelse af de åbne kredsløbsbetalinger - Apple Pay, Android Pay - bevæger sig meget langsommere."

Krebs ser også en sikkerhedsrisiko for mobile betalinger. "Apple Pay bruger en form for tokenisering, men tidligere problemer med Apple Pay stammer fra lax indskrivning procedurer i banker og en afhængighed af statiske data elementer [såsom Social Security numre eller fødselsdatoer] til godkendelse, når disse dataelementer er bredt kompromitteret og til salg på stort set alle amerikanere."

Den eneste ting, der bliver mobil, vil sandsynligvis være kortet i din tegnebog. "Forbrugere er meget komfortable med at handle med kort," siger Conroy, "og det er svært at ændre forbrugernes adfærd, så kortene vil være med os i et stykke tid."

Ellen Cannon er en medarbejderforfatter på Investmentmatome, et privat finanswebsted. Email: [email protected]. Twitter: @ellencannon.