Na EMV Shift zijn creditcards nog steeds niet zo veilig als mogelijk

Het is meer dan zes maanden geleden dat de regels rondom creditcardfraude veranderden, waardoor er een verschuiving ontstond van oude creditcards met magnetische strips naar kaarten die waren ingesloten met EMV-chips. Maar slechts 20% van de creditcardterminals in de VS was geactiveerd voor chipgebruik tot april 2016, aldus de Mercator-adviesgroep. En slechts 60% van alle creditcards was bijgewerkt met fiches.

Desalniettemin hebt u mogelijk het nieuwe proces doorlopen waarbij uw chipkaart in een lezer wordt geplakt, wachtend op de verificatie van de transactie en de machine laat piepen als u uw kaart te lang laat staan.

Het proces is zwaar gepromoot omdat het beter omgaat met uw gegevens. Maar het is waarschijnlijk niet zo veilig als een EMV-transactie zou kunnen zijn. En er is een redelijk lage bar voor hoe veilig ieder EMV-transactie kan zijn. Onderdeel daarvan zijn de grenzen van de technologie, en een deel is de realiteit van menselijk gedrag.

Consumentengedrag als een knelpunt

Sommige problemen in de EMV-transitie zijn algemeen bekend. Om te beginnen kunnen transacties traag verlopen. Voor een ander, verifieert u nog steeds uw identiteit op de ouderwetse manier, door uw naam te ondertekenen - en voor kleinere transacties hoeft u dat zelfs niet te doen.

"De transacties zullen aanzienlijk langer duren bij de kassa's van winkels die chipkaarten nodig hebben om in hun chipkaartlezers te worden gedoopt - tenminste voor de korte termijn, omdat verkopers leren om het proces te versnellen", zegt Brian Krebs, een journalist en beveiliging expert bij Krebs on Security. "Waarschijnlijk zullen ook veel meer mensen hun kaarten in de machines achterlaten en de verloren en gestolen [kaart] verliezen voor banken vergroten, tenminste op korte termijn totdat consumenten gewend raken aan de apparaten."

In Europa gebruiken consumenten al decennia lang, in sommige gevallen, gechipte creditcards. Maar voor extra veiligheid, vereisen de kaarten kaarthouders om een ​​pincode in te voeren om hun identiteit tijdens een transactie te verifiëren. Waarom hebben de VS dus geen chip-en-pincode-systeem gebruikt in plaats van chip-en-handtekening? Een belangrijke factor was de erkenning door de emittenten van hoe moeilijk het is om een ​​verandering in het gedrag van de consument te forceren.

"ONS. consumenten zijn niet gewend om een ​​pincode in te voeren bij creditcardtransacties ", zegt Julie Conroy, onderzoeksdirecteur bij de Aite Group in Massachusetts. "Veel van de emittenten die ik sprak, hebben gekozen voor chip-en-handtekening omdat geen enkele uitgever kaarten wilde uitgeven waarvan de gebruikerservaring hem een ​​concurrentienadeel bezorgde. In de woorden van een uitgever was het voldoende om te leren dat consumenten moesten dopen in plaats van swipen; ze wilden niet het risico lopen om de consumenten te leren om twee gedragingen tegelijkertijd te veranderen."

Een poging om fraude te stoppen

Waarom veranderen Amerikaanse consumenten iets? De primaire reden was fraude.

In 2014 ging meer dan $ 16 miljard verloren aan wereldwijde creditcardfraude, volgens The Nilson Report, dat betrekking heeft op de betalingssector. Van de verliezen trad 48% op in de VS. Traditionele magneetstripkaarten zijn gemakkelijker te hacken, omdat de informatie die op de streep is opgeslagen, statisch of onveranderlijk is. Kopieer het eenmaal en u kunt een dubbele kaart maken. EMV-chips genereren echter een unieke code voor elke transactie, dus informatie die is gekopieerd van de ene transactie kan niet in de andere worden gebruikt.

"ONS. consumenten zijn grotendeels afgeschermd van de fraude met de [directe kosten van creditcard], dankzij de Amerikaanse regelgeving en de door de betalingsnetwerken geboden nul-aansprakelijkheidsgarantie, "zegt Conroy. De overgang naar EMV gaat dus echt meer over het beschermen van creditcarduitgevers tegen fraude-verliezen dan het beschermen van consumenten.

In oktober 2015 zijn nieuwe regels voor aansprakelijkheid voor creditcardfraude ingevoerd. Als er fraude plaatsvindt, is de partij die geen EMV-technologie gebruikt aansprakelijk voor de verliezen. Als de kaart in kwestie niet EMV-gechipt was, is de aansprakelijkheid van toepassing op de uitgever. Als de verkoper geen EMV-chiplezer had, is de verkoper verantwoordelijk. Aansprakelijkheid kan ook worden gedeeld.

PIN biedt slechts beperkte bescherming

Wat geen rol speelt in de aansprakelijkheidsvergelijking, is of de chipkaart afhankelijk is van een pincode of een handtekening ter verificatie. En de waarheid is dat de meeste creditcardfraude zelfs niet zou worden voorkomen met chip-en-PIN.

"Chip-and-PIN beschermt tegen verloren en gestolen fraude - d.w.z. als iemand je portemonnee steelt, kunnen ze niet gemakkelijk je kaarten pakken tijdens een dagje winkelen", zegt Conroy. Dat soort fraude is minuscuul in vergelijking met algemene creditcardfraude, zegt Conroy.

Bovendien zullen dieven altijd een manier vinden om beveiliging te vinden. "We hebben gezien, op basis van het voorbeeld van andere landen, gezien dat criminelen behoorlijk bedreven zijn in het vastleggen van de pincode, hetzij via skimming-aanvallen, schouder-surfen of pinpoint-camera's," zegt Conroy. Omdat de pincode bij elke aankoop niet verandert, zei Conroy dat het 'zijn grenzen heeft in termen van zijn vermogen om fraude effectief te bestrijden. Toen het Verenigd Koninkrijk naar chip-en-pincode ging, stapte verloren en gestolen fraude kort op maar binnen een paar jaar was hij weer terug in de pre-pincelniveaus."

EMV-chips spelen ook geen rol bij online transacties, dus chipkaarten zijn daar net zo kwetsbaar als magneetstripkaarten.

Is er een veiligere manier?

Conroy zegt dat chip-en-pin op zijn best een kortetermijnoplossing is."In het ideale geval zou ik graag de PIN-code van de branche zien springen en overstappen op andere vormen van verificatie, zoals biometrie, mobiele verificatie, enz.", Zegt ze. "In het proces zouden we ook de handtekening moeten afschaffen - dat is kostbaar voor verkopers om op te slaan en is nutteloos als een klantauthenticatiemethode die momenteel wordt geïmplementeerd."

Krebs stelt voor om "tokens" te gebruiken als een manier om fraude te bestrijden. Met tokenization slaan de computers van verkopers helemaal geen creditcardgegevens op. In plaats daarvan slaan ze een plaatshoudernummer (token) op dat kan worden gebruikt om gegevens van de uitgever op te halen.

"Tokenization kan verkopers helpen om kaartgegevens gedurende langere tijd niet op te slaan en vermindert daardoor de kans dat cybercriminelen ze zullen targeten voor kaartgegevens," zegt hij. Tokenization zou de dreiging van datalekken verminderen, wat de meeste consumenten het slachtoffer van creditcardfraude maakt.

Mobiele oplossingen hebben hun eigen beperkingen

Mobiele betalingen en digitale portemonnees zoals Apple Pay kunnen een alternatief bieden. Maar Conroy zegt: "Hoewel sommige handelsspecifieke implementaties van mobiele betalingen grote successen boeken - Starbucks, ten eerste - is de acceptatie van de open-loop mobiele betalingen - Apple Pay, Android Pay - veel langzamer."

Krebs ziet ook een veiligheidsrisico voor mobiele betalingen. "Apple Pay gebruikt een vorm van tokenization, maar de problemen in het verleden met Apple Pay kwamen voort uit lakse inschrijvingsprocedures bij banken en een beroep op statische gegevenselementen [zoals sofinummers of geboortedata] voor authenticatie wanneer deze gegevenselementen wijdverspreid zijn gecompromitteerd en te koop op zowat alle Amerikanen."

Het enige dat mobiel blijft, is waarschijnlijk de kaart in je portemonnee. "Consumenten zijn zeer comfortabel in het afhandelen met kaarten," zegt Conroy, "en het veranderen van consumentengedrag is moeilijk, dus kaarten zullen nog een tijdje bij ons zijn."

Ellen Cannon is een stafchrijver bij Investmentmatome, een website voor persoonlijke financiën. E-mail: [email protected]. Twitter: @ellencannon.