Dopo EMV Shift, le carte di credito non sono ancora il più sicure possibili

Sono passati più di sei mesi da quando le regole relative alle frodi sulle carte di credito sono cambiate, guidando il passaggio da vecchie carte di credito a banda magnetica a carte incorporate con chip EMV. Tuttavia, solo il 20% dei terminali delle carte di credito negli Stati Uniti è stato attivato per l'utilizzo di chip fino ad aprile 2016, secondo Mercator Advisory Group. E solo il 60% di tutte le carte di credito è stato aggiornato con chip.

Ciononostante, potresti aver passato il nuovo processo di incollare la tua chip card in un lettore, attendere che la transazione venga verificata e ricevere un segnale acustico dalla macchina se lasci la scheda troppo a lungo.

Il processo è stato fortemente promosso perché ci si prende cura dei tuoi dati. Ma probabilmente non è così sicuro come potrebbe essere una transazione EMV. E c'è una barra abbastanza bassa per quanto sicuro qualunque La transazione EMV può essere. Parte di ciò sono i limiti della tecnologia, e parte è la realtà del comportamento umano.

Comportamento dei consumatori come punto di attacco

Alcune lacune nella transizione EMV sono state ampiamente notate. Per prima cosa, le transazioni possono essere lente. In secondo luogo, verifichi ancora la tua identità alla vecchia maniera, firmando il tuo nome - e per transazioni minori, non devi nemmeno farlo.

"Le transazioni richiederanno molto più tempo nelle caselle di pagamento dei negozi che richiedono l'inserimento di chip card nei lettori di chip card, almeno per il breve periodo, poiché i commercianti imparano ad accelerare il processo", afferma Brian Krebs, giornalista e sicurezza esperto di Krebs sulla sicurezza. "Inoltre, probabilmente molte più persone lasceranno le loro carte all'interno delle macchine e aumenteranno le perdite di carte perse e rubate per le banche, almeno nel breve termine fino a quando i consumatori non si abitueranno ai dispositivi."

In Europa, i consumatori utilizzano le carte di credito scheggiate per anni - decenni, in alcuni casi. Ma per maggiore sicurezza, le carte richiedono ai titolari di carta di inserire un codice PIN per verificare la loro identità durante una transazione. Quindi, perché gli Stati Uniti non hanno adottato un sistema chip-e-PIN, invece di chip-and-signature? Un fattore importante è stato il riconoscimento da parte degli emittenti di quanto sia difficile forzare un cambiamento nel comportamento dei consumatori.

"NOI. i consumatori non sono abituati a immettere un PIN con le transazioni con carta di credito ", afferma Julie Conroy, direttore della ricerca presso il gruppo Aite in Massachusetts. "Un sacco di emittenti che ho parlato con chip-and-signature eletti perché nessun emittente desiderava emettere carte la cui esperienza utente lo ponesse in uno svantaggio competitivo. Nelle parole di un emittente, insegnare ai consumatori a immergere invece di scorrere era un cambiamento sufficiente; non volevano rischiare di dover insegnare ai consumatori a cambiare due comportamenti allo stesso tempo ".

Un tentativo di fermare le frodi

Perché i consumatori degli Stati Uniti cambiano qualcosa? La ragione principale era la frode.

Nel 2014, più di $ 16 miliardi sono stati persi in frodi con carte di credito in tutto il mondo, secondo The Nilson Report, che copre l'industria dei pagamenti. Tra le perdite, il 48% si è verificato negli Stati Uniti. Le carte a banda magnetica tradizionale sono più facili da modificare, poiché le informazioni memorizzate sulla striscia sono statiche o immutabili. Copia una volta e puoi creare una carta duplicata. I chip EMV, tuttavia, generano un codice univoco per ogni transazione, quindi le informazioni copiate da una transazione non possono essere utilizzate in un'altra.

"NOI. I consumatori sono in gran parte protetti dalle frodi [del costo diretto della carta di credito], grazie al contesto normativo degli Stati Uniti e alla garanzia di responsabilità zero fornita dalle reti di pagamento ", afferma Conroy. Il passaggio a EMV, quindi, è più che altro relativo alla protezione degli emittenti di carte di credito da perdite di frode rispetto alla protezione dei consumatori.

Nell'ottobre 2015 sono state introdotte nuove regole sulla responsabilità per le frodi con carta di credito. Se si verifica una frode, qualsiasi parte che non utilizza la tecnologia EMV è responsabile delle perdite. Se la carta in questione non era coperta da EMV, la responsabilità è sull'emittente. Se il commerciante non ha un lettore di chip EMV, il commerciante si assume la responsabilità. Anche la responsabilità potrebbe essere condivisa.

PIN offre solo una protezione limitata

Ciò che non tiene conto dell'equazione della responsabilità è se la chipcard si basa su un PIN o su una firma per la verifica. E la verità è che la maggior parte delle frodi con carta di credito non sarebbe nemmeno impedita con chip-e-PIN.

"Chip-and-PIN protegge da frodi perse e rubate - ad esempio, se qualcuno ruba il portafoglio, non può facilmente portare le tue carte a fare shopping", dice Conroy. Quel tipo di frode è minuscolo rispetto alla frode generale della carta di credito, dice Conroy.

Inoltre, i ladri troveranno sempre un modo per aggirare la sicurezza. "Abbiamo visto, sulla base dell'esempio di altri paesi, che i criminali sono diventati piuttosto abili nel catturare il PIN, sia tramite attacchi di tipo skimming, spalla-surf o telecamere puntuali", afferma Conroy. Poiché il PIN non cambia con ogni acquisto, Conroy ha dichiarato che "ha i suoi limiti in termini di capacità di combattere efficacemente le frodi. Quando il Regno Unito è passato al chip-e-PIN, le frodi perse e rubate sono diminuite brevemente, ma nel giro di pochi anni sono tornate ai livelli pre-PIN."

I chip EMV non hanno alcun ruolo nelle transazioni online, quindi le carte chip sono altrettanto vulnerabili come le carte a banda magnetica.

C'è un modo più sicuro?

Conroy dice che il chip-e-PIN è nella migliore delle ipotesi una soluzione a breve termine."Idealmente, mi piacerebbe vedere il PIN del salto di qualità del settore e passare ad altre forme di verifica, come la biometria, la verifica mobile, ecc.", Afferma. "Nel processo, dovremmo anche eliminare la firma - che è costosa per i commercianti archiviare ed è inutile come metodo di autenticazione del cliente come attualmente implementato."

Krebs suggerisce di utilizzare "token" come mezzo per combattere le frodi. Con la tokenizzazione, i computer dei commercianti non memorizzano i dati della carta di credito. Invece, memorizzano un numero di segnaposto, o token, che può essere utilizzato per recuperare i dati dall'emittente.

"La tokenizzazione può aiutare i commercianti ad evitare di memorizzare i dati delle carte per un certo periodo di tempo e nel processo di ridurre la probabilità che i cyber-criminali li bersaglino per i dati delle carte", dice. La tokenizzazione ridurrebbe la minaccia da violazioni dei dati, che è il modo in cui la maggior parte dei consumatori diventa vittima di frodi con carta di credito.

Le soluzioni mobili hanno i loro limiti

Pagamenti mobili e portafogli digitali come Apple Pay possono fornire un'alternativa. Ma Conroy dice: "Mentre alcune implementazioni specifiche per i commercianti di pagamenti mobili stanno riscuotendo un grande successo - Starbucks, per esempio - l'adozione dei pagamenti mobili a circuito aperto - Apple Pay, Android Pay - si sta muovendo molto più lentamente".

Krebs vede anche un rischio per la sicurezza dei pagamenti mobili. "Apple Pay utilizza una forma di tokenizzazione, ma i problemi in passato con Apple Pay derivavano da procedure di iscrizione negligenti presso le banche e dalla dipendenza da elementi di dati statici [come numeri di previdenza sociale o date di nascita] per l'autenticazione quando questi elementi di dati sono ampiamente compromesso e in vendita su quasi tutti gli americani."

L'unica cosa che rimarrà mobile sarà probabilmente la carta nel tuo portafoglio. "I consumatori sono molto abili nel trattare con le carte", afferma Conroy, "e cambiare il comportamento dei consumatori è difficile, quindi le carte saranno con noi per qualche tempo a venire."

Ellen Cannon è una scrittrice di Investmentmatome, un sito di finanza personale. Email: [email protected]. Twitter: @ellencannon.