EMV и изменение ответственности за мошенничество: что это значит для вашего бизнеса

Father

Professional
Messages
2,601
Reputation
4
Reaction score
633
Points
113
Возможно, вы заметили, что новые дебетовые и кредитные карты выпускаются с видимым микрочипом на лицевой стороне, над первыми четырьмя цифрами номера карты. Назначение микрочипа - затруднить мошенническое использование вашей дебетовой / кредитной карты преступниками. Он разработан в соответствии со стандартом EMV, который будет рассмотрен чуть позже. Однако из-за дополнительной безопасности, обеспечиваемой микрочипами, эмитенты дебетовых и кредитных карт согласились переложить финансовые обязательства за мошенничество с картами на продавцов с 1 октября 2015 года, назвав это изменение "изменением ответственности за мошенничество”.

Что такое EMV?
EMV, что расшифровывается как Europay, Mastercard и Visa, является мировым стандартом для смарт-карт, и именно по этой причине правила меняются 1 октября. Europay, Mastercard и Visa были первоначальными тремя платежными брендами, которые объединились для создания стандарта. С тех пор стандарт регулируется шестью платежными брендами (American Express, Discover, JCB, MasterCard, UnionPay и Visa) и теперь известен как EMVCo.

Если ваша компания принимает следующие карты - Accel, American Express, China UnionPay, Discover, MasterCard, NYCE Payments Network, SHAZAM Network, STAR Network и Visa, - читайте дальше, чтобы узнать, как это повлияет на ваш бизнес и что вы можете сделать, чтобы защитить свой бизнес от перехода к ответственности за мошенничество.

Смарт-карта против Карта с магнитной полосой
В отличие от традиционных дебетовых / кредитных карт, которые хранят данные на магнитных полосах, смарт-карты, также называемые чиповыми картами, хранят данные карты на микрочипе в карте, который выдает случайный уникальный код аутентификации транзакции каждый раз, когда совершается транзакция. В то время как для совершения транзакции используется традиционная карта, для чиповой карты требуется модернизированный аппарат, способный принимать карты, которые вставляются, а не извлекаются. Некоторые чиповые карты также могут выполнять бесконтактные транзакции через совместимые с EMV POS-автоматы, способные осуществлять бесконтактные транзакции.

Хотя это еще не было официально стандартизировано, в зависимости от финансового учреждения, для смарт-карт может потребоваться PIN-код или подпись во время транзакции. Смарт-карта, требующая ввода PIN-кода, называется “чип-и-PIN”, а смарт-карта, требующая подписи, называется “чип-и-подпись”; чип-и-PIN более приемлемы во всем мире, чем чип и-подпись.

Чиповые карты также выпускаются с традиционной магнитной полосой для обеспечения обратной совместимости: карты с поддержкой чипа по-прежнему можно использовать для совершения транзакций в традиционных POS (торговых точках).

По сути, целью стандарта EMV является снижение уровня мошенничества с контрафактом путем создания системы, в которой украденный код транзакции не может быть повторно использован для совершения других транзакций. Конечно, следует отметить, что система EMV не лишена недостатков, и преступники уже совершали мошеннические действия с помощью лазеек в системе - но об этом чуть позже.

Что вам нужно знать о переходе к ответственности за мошенничество с 1 октября
С переходом от традиционных карт к картам с поддержкой чипов меняются правила, определяющие сторону, несущую финансовую ответственность за случаи мошенничества с дебетовыми / кредитными картами. Как показано на диаграмме ниже, ответственность за мошенничество традиционно возлагается на эмитента карты. Однако с 1 октября ответственность за мошенничество ляжет на ту сторону, у которой технология наименее совместима с EMV. Другими словами, если мошенническая транзакция совершается с использованием смарт-карты в традиционном POS-автомате, продавец несет ответственность за покрытие убытков от мошенничества. Если в модернизированном POS-автомате, совместимом с EMV, используется поддельная чиповая карта, ответственность за мошенничество снова ложится на эмитента карты.

Visa®, MasterCard®, Discover® и American Express®1
Изменение ответственности Visa, Mastercard, Discover, AmEx за мошенничество

1. То же самое относится ко всем маркам карт
2. Октября 2017 года для автоматических топливораздаточных устройств (AFD)
3. С возможностью ввода PIN-кода или без нее

Следует отметить четыре вещи о изменении ответственности за мошенничество:
  1. Наступление 1 октября не означает, что все дебетовые / кредитные карты должны соответствовать стандарту EMV, это означает, что продавцы должны быть готовы принимать карты с поддержкой чипов к этой дате, если они не хотят, чтобы на них повлияли новые правила ответственности за мошенничество.
  2. Обновление POS-систем для приема чиповых карт не предусмотрено законом - это необязательная мера для защиты вашего бизнеса от ответственности за мошенничество.
  3. Даже если у вас обновленный POS-аппарат, совместимый с EMV, если вы используете поддельную чип-карту через устройство считывания магнитной полосы вместо устройства считывания чипа, вы будете нести ответственность за мошенничество.
  4. Даже если поддельная карта, украденная в традиционном POS-автомате, имеет форму традиционной карты, вы будете нести ответственность за мошенничество, если данные на поддельной карте были получены с законной чиповой карты.
Мошенничество, основанное на утерянных / украденных картах, в отличие от поддельных карт, также повлечет за собой изменения ответственности за мошенничество, которые произойдут 1 октября (American Express, Discover и MasterCard).:

Примеры ответственности за мошенничество с утерянными / украденными картами


Изменение ответственности за мошенничество в США
Несмотря на то, насколько внезапным может показаться это изменение в Соединенных Штатах, большая часть мира – Европа, Азия, Африка, Австралия, Ближний Восток, Латинская Америка, Канада, Мексика, Бразилия и Колумбия – уже внедрили изменение ответственности за мошенничество.

Соединенные Штаты - последний крупный рынок, принявший стандарт EMV, и нетрудно понять почему: Соединенные Штаты не только крупнейший, но и наиболее фрагментированный из всех рынков. Добавьте к этому тот факт, что Соединенные Штаты географически являются одним из крупнейших рынков, а также наиболее демографически разнообразным в мире.

До начала 2000-х годов в Соединенном Королевстве наблюдался самый высокий уровень мошенничества с кредитными картами из-за того, что большинство транзакций по кредитным картам обрабатывались пакетно (для сокращения расходов) в конце рабочего дня для проверки эмитентом карты, что давало преступникам достаточно времени, чтобы мошенничество сошло им с рук. В Соединенных Штатах проверка кредитных карт во время транзакции была гораздо менее дорогостоящей, что значительно сократило время задержки, тем самым снизив уровень мошенничества такого типа. Для борьбы с этим видом мошенничества Соединенное Королевство с готовностью приняло стандарт EMV, представив карты с чипом и PIN-кодом на тестовых рынках в 2003 году и полностью внедрив стандарт по всей стране 14 февраля 2006 года.

С момента перехода на EMV в Соединенном Королевстве потери от поддельных кредитных карт сократились почти на 66%. Но это снижение на 66% случаев мошенничества с поддельными кредитными картами в Великобритании просто означало, что преступники вышли на новый рынок, который лучше подходил для их мошеннической деятельности: Соединенные Штаты. В настоящее время на Соединенные Штаты приходится всего 24% операций по кредитным картам в мире, но на них приходится 47% мирового мошенничества с кредитными картами. Для борьбы с этим 1 октября 2015 года Соединенные Штаты, наконец, примут стандарт EMV, изменив ответственность за мошенничество.

Стандарт EMV несовершенен
Хотя стандарт EMV был впервые официально внедрен в POS-системах только в 21-м веке, концепции, лежащей в основе технологии EMV, на самом деле более сорока лет. Первый (и единственный) патент на концепцию чиповых карт был подан в 1970 году, и только более двадцати лет спустя, в 1994 году, первоначальные три члена EMV впервые собрались вместе, чтобы обсудить внедрение этой технологии в глобальный стандарт кредитных карт. Потребовалось около двух лет, чтобы разработать достаточно стабильный стандарт, который был принят во всем мире. С 1996 года стандарт обновлялся всего три раза; последняя официальная редакция была выпущена в ноябре 2011 года, при этом периодические обновления выпускались для определенных разделов в рамках последней редакции.

Все это означает, что технология, используемая в чиповых картах, совместимых с EMV, основана на концепции, которой более 40 лет. Это, конечно, поднимает вопрос: способна ли технология, которой несколько десятилетий, бороться с современными, технологически подкованными преступниками, имея доступ к недорогой, сложной электронике и материалам, недоступным преступникам прошлых лет?

Короткий ответ: Нет. Во всем мире уже было несколько случаев мошенничества с поддельными чиповыми картами, и исследования ведущих университетов выявили пару лазеек в стандарте EMV.

В сентябре 2014 года Home Depot обнаружила масштабную утечку данных, в результате которой было скомпрометировано около 56 миллионов дебетовых и кредитных карт. Хотя утечка данных в наши дни не является чем-то шокирующим, что вызвало беспокойство в этом инциденте, так это то, что украденные данные карты впоследствии использовались для совершения мошеннических транзакций, происходящих из Бразилии и замаскированных под законные карты MasterCard и Visa с PIN-кодом и чипом, хотя банки еще даже не выпустили чиповые карты. Еще большую тревогу вызывает то, что до сих пор остается загадкой, как именно преступникам удалось создать впечатление, что мошеннические платежи были произведены с использованием законной чип-карты, учитывая, что изготовить поддельную карту с PIN-кодом и чипом довольно сложно и дорого. Если киберпреступникам удалось выяснить, как обойти протоколы безопасности EMV в прошлом году, что они выяснили с тех пор?

Компьютерная лаборатория Кембриджского университета опубликовала статью, в которой подробно описаны два недостатка, обнаруженных в стандарте EMV. Во-первых, еще в 2010 году исследователи обнаружили, что “случайный” код аутентификации, генерируемый чипами во время транзакции, может быть, в конце концов, не таким уж случайным; как скажет вам любой программист, знающий свое дело, ни одна машина не может сгенерировать действительно случайное число. Терминалы, особенно банкоматы, не управляются сложным программированием и поэтому генерируют довольно линейные коды транзакций, а это означает, что преступник, обладающий техническими знаниями, может предсказать будущие коды аутентификации для последующего использования. Исследователи продемонстрировали, как этот тип мошенничества может происходить даже без физического клонирования карты, назвав этот тип мошенничества атакой “перед воспроизведением”.

Во-вторых, в 2014 году исследователи из Кембриджа сделали еще одно открытие: установив вредоносное ПО на POS-машину или банкомат, мошенник может провести разновидность предварительной атаки, заменив случайное число номером по своему выбору. Этот вид мошенничества также может быть совершен посредником между POS / ATM терминалом и банком, обрабатывающим транзакции.

Также в 2014 году Университет Ньюкасла опубликовал статью, в которой подробно описывалась способность телефонов Android в Великобритании совершать мошеннические транзакции с бесконтактными чиповыми картами Visa, совместимыми с EMV, даже когда карта находится в кармане ничего не подозревающего владельца карты. Поднеся телефон достаточно близко к бесконтактной чиповой карте VISA, мошенник может одобрить транзакцию в иностранной валюте на сумму до 999 999,99 евро. Преступники, скорее всего, выберут гораздо меньшую сумму, в районе 100-200 евро, чтобы не вызывать подозрений. Затем мошеннический продавец в одной из 76 стран, принимающих транзакции EMV, примет полученные мошеннические транзакции и переведет деньги с транзакции из банка владельца карты в банк продавца, используя процесс преобразования данных вместе с мошенническим POS-автоматом, который способен выполнять те же действия, что и законный POS-автомат.

Бремя EMV и смещение ответственности за мошенничество на малый бизнес
Хотя переход произойдет всего через несколько недель, эксперты подсчитали, что менее 50% торговых точек США будут готовы к EMV к крайнему сроку 1 октября.

Малым предприятиям будет гораздо сложнее взвалить на себя финансовое бремя, налагаемое стандартом EMV, чем крупным компаниям. В исследовании 2015 года, опубликованном Intuit (создателями Quickbooks), 37% малых предприятий даже не слышали о картах EMV; только около половины (52%) опрошенных малых предприятий заявили, что им известно о предстоящем изменении ответственности за мошенничество, но только 19% были осведомлены о том, что 1 октября является крайним сроком. Только 42% малых предприятий намерены модернизировать свои POS-системы, чтобы они соответствовали требованиям EMV.

Те, кто либо не уверен, либо не будет проводить модернизацию, рассказали, что затраты на модернизацию – цена новых POS-машин, время, необходимое для исследования машин, время и ресурсы, необходимые для обучения сотрудников работе с новыми машинами, и так далее – были причинами, запрещающими им модернизировать свои POS-системы, даже если они признают, что их бизнес либо вероятно не сможет, либо определенно не сможет финансово взять на себя обязательства, связанные с мошенничеством с картами.

В Соединенных Штатах, по оценкам, продавцам придется потратить в общей сложности не менее 25 миллиардов долларов, чтобы соответствовать стандартам EMV; Target уже потратила около 100 миллионов долларов на модернизацию своей POS-системы. Каждый новый POS-аппарат, совместимый с EMV, будет стоить примерно 250 долларов, и в эту цену не входят затраты на установку и обучение вас и ваших сотрудников использованию этих новых аппаратов по протоколу EMV. Платежные бренды и банки молчат о том, чтобы помочь продавцам позволить себе переход на системы, совместимые с EMV. Например, American Express предлагает малым предприятиям в общей сложности 100 долларов на обновление своей системы.

Как подготовить свой розничный бизнес к переходу к ответственности за мошенничество
Как владелец розничного бизнеса, вы, возможно, задаетесь вопросом, как ваш бизнес может финансово пережить переход к ответственности за мошенничество: модернизация вашей POS-системы потребует много времени и денег, но отсутствие обновления системы повлечет за собой ответственность за мошенничество. Что вам делать?

Чтобы узнать, как вы можете защитить свой бизнес, прочтите наш следующий пост о том, как избежать ответственности после перехода к ответственности за мошенничество.
 
Top