Платежные карты: Бизнес-энциклопедия
Шрифт:
Компания NCR сообщила о разработанном ею новом продукте для противодействия банкоматному мошенничеству. По словам разработчиков Intelligent Fraud Detection (интеллектуальное обнаружение мошенничества) объединяет лучшие решения в данном направлении и предназначен для обнаружения любых посторонних устройств, монтируемых на банкомате (задерживающих в ридере карту, видеокамер, скимминговых считывателей).
Наиболее слабым звеном с точки зрения безопасности карт с магнитной полосой является собственно сама магнитная полоса. Её легко скопировать, легко изготовить подделку (т. е. записать информацию на другую карту или заготовку), наибольшие потери для банков приносит скимминг. Переход на МПК влечет за собой неоспоримое
EMV миграция предполагает постепенный переход от карт с магнитной полосой к картам с микропроцессором. Для обеспечения совместимости двух технологий на время переходного периода появляются комбинированные карты и с магнитной полосой и с микропроцессором.
В настоящий момент можно найти описание различных атак на МПК, но, несмотря на имеющиеся уязвимости МПК и реальность осуществления их взлома, представляется, что в настоящий момент усилия мошенников будут направлены не на взлом «чистых» МПК, а на использование уязвимости комбинированных карт (магнитная полоса + микропроцессор).
Как это не парадоксально звучит, но на время переходного периода использование комбинированных карт с магнитной полосой и с микропроцессором увеличивает уязвимость технологии платежных карт.
Чтобы доказать данное утверждение, рассмотрим опыт Великобритании. Такой выбор обусловлен тем, что в данной стране, во-первых, 97 % карт эмитировано с МПК, 98 % терминалов поддерживают чип, и вероятность обслуживания карты по чипу составляет более 95 %, а, во-вторых, APACS в открытом доступе регулярно публикует многочисленные статистические материалы, которые позволяют рассмотреть процессы в их историческом развитии (рис. 1–3).
Почему же на общем фоне снижения уровня потерь из-за мошенничества банкоматное мошенничество наоборот не только не останавливается, но имеет явно выраженную тенденцию к росту? Дело в том, что с появлением МПК и развитием технологии платежных карт появляются новые источники компрометации ПИН. А именно, появилась программа «ЧИП и ПИН» — проведение операций в торгово-сервисных предприятиях по чипу с использованием ПИН. На картах только с магнитной полосой ПИН (кроме карт Maestro) использовался только в банкоматах, поэтому его компрометация могла произойти в ограниченных точках: при совершении операций в банкоматах; посредством фишинга; с использованием «человеческого фактора».
Человеческий фактор (несоблюдение мер безопасности) весьма сложно поддается влиянию со стороны банков, требует усилий по обучению держателей и достаточно большого временного интервала, чтобы результаты обучения, сказались на практике.
Одной из эффективных мер противодействия фишингу со стороны эмитентов является запись на магнитную полосу карты для проверки ПИН-код значения PVV (четыре цифры — 10 000 значений) и CVV/CVC (три цифры — 1000 значений). Держатель не знает эти данные и не может их сообщить в результате фишинговой атаки. Чтобы изготовить карту и получить по ней деньги в банкомате (зная её номер и срок действия, считаем, что сервис код также известен мошеннику), необходимо получить комбинацию из семи десятичных цифр (10 000 000 вариантов). Следствием применения такой технологии будет соответствие стандарту безопасности PCI DSS (PVV не хранится у эмитента) и отсутствие у держателей возможности менять ПИН-код (что делает его случайным и более безопасным, чем, если бы ПИН-код они выбирали бы самостоятельно).
Если рассмотреть динамику мошеннических операций по видам, то представится следующая картина (рис. 4).
Программа
1) по поддельным картам уровень мошенничества с 2001 г. (160,4 млн ф. ст.) к 2006 году (99,6 млн ф. ст.) снизился в 1,61 раза;
2) по утраченным картам уровень мошенничества с 2001 г. (114 млн ф. ст.) к 2006 году (68,4 млн ф. ст.) снизился в 1,67 раз.
Если бы использовались карты только с микропроцессором (без магнитной полосы), то данная программа себя оправдывала бы. В реальности получается, что от программы «ЧИП и ПИН» стратегические потери гораздо больше тактических кратковременных выгод. Дело в том, что мошенники, используя данную программу, копируют в торгово-сервисных предприятиях ПИН-код держателя и магнитную полосу карты, а не микропроцессор (подделывать микропроцессор экономически не целесообразно). В результате изготавливается поддельная карта, с помощью которой снимаются денежные средства в банкоматах, не умеющих работать с микропроцессорными картами. Таких банкоматов на сегодняшний день большое количество — это рынок США, который еще даже не собирается переходить на микропроцессорные карты. Последствия такой атаки гораздо болезненней, чем выгода от программы «ЧИП и ПИН».
Мошеннические операции по поддельным микропроцессорным картам проводятся по магнитной полосе или с использованием ее реквизитов (МО/ТО, Интернет). В связи с тем, что мошеннические операции производятся по магнитной полосе, то метод верификации держателя карты, определенный эмитентом в Cardholder verification method Type не имеет значения. Верификация держателя происходит согласно service code — 201 (МПК, нормальная авторизация, нормальная верификация). Получается, что сокращение мошенничества по поддельным картам с МПК происходит не за счет введения в торгово-сервисных предприятиях (далее — ТСП) ПИНа, а за счет применения ЧИПа. Если при обслуживании МПК по ЧИПу верификацию держателя производить по подписи, то мошенничество по поддельным картам не увеличится относительно верификации по ПИН-коду. Для обеспечения влияния ПИН-код на сокращение мошенничества по поддельным картам необходимо требование ввода ПИН-кода в ТСП при операциях и с магнитной полосой, чего в настоящий момент нет (кроме карт Maestro). При попытке расплатиться в ТСП украденной или утерянной картой с микропроцессором по технологии «ЧИП и ПИН», если терминал поддерживает ЧИП, необходимо ввести ПИН. Поскольку мошенник его не знает, то проведение операции невозможно (если не вывести из рабочего состояния микропроцессор и потом провести операцию fallback [207] ). Следовательно, сокращение мошенничества по утраченным картам с МПК происходит за счет ПИНа, но до момента уведомления держателем эмитента об утрате ответственность по таким операциям (согласно договорам обслуживания карт) лежит на клиенте. Возможные потери эмитента — только оффлайновые операции, совершенные после уведомления клиентом об утрате карты. Таким образом, если отказаться от технологии «ЧИП и ПИН» потери банков по поддельным и утраченным картам не увеличатся, а банкоматное мошенничество сократится.
207
Проведение операции по магнитной полосе, после того как было невозможно её осуществить по ЧИПу.
Представляется, что программа «ЧИП и ПИН» на переходный период для комбинированных карт является стратегической ошибкой. Необходимо при обслуживании комбинированных карт в предприятиях торговли оставить, использовавшийся ранее на картах с магнитной полосой, способ верификации держателя по подписи. Для банков-эмитентов это не приведет к увеличению потерь, так как при проведении мошеннической операции по магнитной полосе МПК, абсолютно не важно, как была запрограммирована верификация держателя на микропроцессоре, в результате же использования мошенниками утраченных карт, потери эмитентов будут невелики, так как ответственность по таким операциях до момента уведомления лежит на клиенте. Потери по оффлайновым операциям можно снизить за счет настроек параметров безопасности микропроцессора.