Efter EMV-skift är kreditkort fortfarande inte så säkra som möjligt

Det har gått mer än sex månader sedan reglerna kring kreditkortsbedrägerier förändrades, vilket skedde från gamla magnetbandskort till kort inbäddade med EMV-chips. Men endast 20% av kreditkortsterminalerna i USA hade blivit aktiverade för chipanvändning till och med april 2016 enligt Mercator Advisory Group. Och endast 60% av alla kreditkort hade uppdaterats med chips.

Ändå kan du ha gått igenom den nya processen att klistra in ditt chipkort i en läsare, vänta på att transaktionen ska verifieras och bli bipad vid maskinen om du lämnar ditt kort för länge.

Processen har starkt främjats som att ta hand om dina data bättre. Men det är nog inte så säkert som en EMV-transaktion kan vara. Och det är en ganska låg bar för hur säker några EMV-transaktionen kan vara. En del av det är gränserna för tekniken, och en del är verkligheten av mänskligt beteende.

Konsumentbeteende som stickpunkt

Några snags i EMV-övergången har varit allmänt noterade. För en sak kan transaktioner vara långsamma. För en annan, verifierar du fortfarande din identitet på det gammaldags sättet genom att signera ditt namn - och för mindre transaktioner behöver du inte ens göra det.

"Transaktionerna kommer att ta betydligt längre tid vid kassan i butiker som kräver att chipkort ska dyppas in i sina chipkortläsare - åtminstone i korthet, när handlarna lär sig att påskynda processen, säger Brian Krebs, en journalist och säkerhet expert på Krebs on Security. "Också, förmodligen kommer fler människor att lämna sina kort inuti maskinerna och öka förlust och stjälna kortförluster för banker, åtminstone på kort sikt tills konsumenterna blir vana vid enheterna."

I Europa har konsumenterna använt flisade kreditkort i flera årtionden, i vissa fall. Men för ytterligare säkerhet kräver korten kortinnehavare att ange en PIN-kod för att verifiera deras identitet under en transaktion. Så varför antog inte USA ett chip-and-PIN-system istället för chip-and-signature? En viktig faktor var emittenternas erkännande av hur svårt det är att tvinga en förändring av konsumentbeteendet.

"OSS. konsumenter är inte vana vid inmatning av en PIN-kod med kreditkortstransaktioner, säger Julie Conroy, forskningschef vid Aite Group i Massachusetts. "Många av de emittenter som jag pratade med vald chip och signatur, eftersom ingen emittent ville utfärda kort vars användarupplevelse satte det i en konkurrensnackdel. I en emittents ord var det tillräckligt med att lära konsumenterna att doppa istället för att dra ihop. de ville inte riskera att behöva lära konsumenterna att ändra två beteenden samtidigt."

Ett försök att stoppa bedrägerier

Varför gör amerikanska konsumenterna något att ändra? Den främsta orsaken var bedrägeri.

År 2014 förlorades mer än 16 miljarder dollar i världskreditkortbedrägerier, enligt The Nilson Report, som täcker betalningsindustrin. Av förlusterna uppstod 48% i USA. Traditionella magnetbandskort är lättare att hacka, eftersom informationen som är lagrad på remsan är statisk eller oförändrad. Kopiera det en gång, och du kan göra ett duplikatkort. EMV-chips skapar emellertid en unik kod för varje transaktion, så information som kopieras från en transaktion kan inte användas i en annan.

"OSS. konsumenter skyddas till stor del från [den direkta kostnaden för kreditkort] bedrägeri, tack vare den amerikanska lagstiftningen och den nollansvarsgaranti som betalningsnätverket tillhandahåller, säger Conroy. Övergången till EMV handlar sålunda om att skydda kreditkortsutgivare från bedrägeribekämpning än att skydda konsumenterna.

I oktober 2015 infördes nya regler om ansvar för kreditkortsbedrägerier. Om det uppstår bedrägerier, är det som ansvarar för förlusterna vilket parti som inte använder EMV-tekniken. Om kortet i fråga inte var EMV-chipped, är skulden på emittenten. Om säljaren inte hade en EMV-chipläsare, bär försäljaren ansvaret. Ansvaret kunde också delas.

PIN-kod erbjuder endast begränsat skydd

Vad som inte är en faktor i ansvarsjämförelsen är huruvida chipkortet är beroende av en PIN eller en signatur för verifiering. Och sanningen är att de flesta kreditkortsbedrägerier inte ens skulle förhindras med chip-and-pin.

"Chip-and-PIN skyddar mot borttappad och bedräglig bedrägeri - det vill säga om någon stjäl din plånbok, kan de inte enkelt ta dina kort på en köpcentrum," säger Conroy. Den typen av bedrägeri är liten jämfört med allmänt kreditkortbedrägeri, säger Conroy.

Dessutom kommer tjuvar alltid hitta en väg runt säkerheten. "Vi har sett, på grund av exemplet från andra länder, att brottslingar har blivit ganska skickliga för att fånga PIN-koden, antingen via skimming-attacker, axel-surfar eller pekskärmar," säger Conroy. Eftersom PIN-koderna inte ändras vid varje köp, säger Conroy det "har sina gränser när det gäller förmågan att effektivt bekämpa bedrägeri. När Förenade kungariket gick till chip-and-PIN, dödade bort-och-stulit bedrägeri kort men inom några år var det direkt tillbaka till pre-PIN-nivåer."

EMV-chips har inte heller någon roll i online-transaktioner, så chipkort är lika sårbara där som magnetbandskort.

Finns det ett säkrare sätt?

Conroy säger chip-and-PIN är i bästa fall en kortsiktig fix."Helst skulle jag vilja se PIN-koden för industrin och klicka på andra former av verifiering, till exempel biometri, mobil verifiering etc.", säger hon. "I processen måste vi också göra bort signaturen - det är dyrt för handlare att lagra och är värdelöst som en kundgodkännandemetod som för närvarande implementeras."

Krebs föreslår att man använder "tokens" som ett sätt att bekämpa bedrägeri. Med tokenisering lagrar inte köpmänens datorer kreditkortdata alls. I stället lagrar de ett platsnummer, eller token, som kan användas för att hämta data från emittenten.

"Tokenisering kan hjälpa köpmän att undvika att lagra kortdata under vilken tid som helst och i processen minskar sannolikheten för att cybercrooks kommer att rikta dem mot kortdata", säger han. Tokenisering skulle minska risken för dataöverträdelser, vilket är hur de flesta konsumenter blir offer för kreditkortsbedrägerier.

Mobila lösningar har sina egna begränsningar

Mobila betalningar och digitala plånböcker som Apple Pay kan ge ett alternativ. Men Conroy säger, "Medan vissa köpespecifika implementeringar av mobila betalningar ser stor framgång - Starbucks, för en adoption av de öppna löpande mobila betalningarna - Apple Pay, Android Pay - rör sig mycket långsammare."

Krebs ser också en säkerhetsrisk för mobila betalningar. "Apple Pay använder sig av en form av tokenization, men problemen i det förflutna med Apple Pay härrörde från lösenskrivningsprocedurer vid banker och en förlita sig på statiska dataelement [till exempel Säkerhetsnummer eller födelsedatum] för autentisering när dessa dataelement är brett komprometteras och säljs på nästan alla amerikaner."

Den enda som kommer att vara mobil kommer sannolikt att vara kortet i din plånbok. "Konsumenterna är mycket bekväma att hantera med kort", säger Conroy, "och det är svårt att förändra konsumentbeteendet, så kort kommer att vara med oss ​​under en längre tid."

Ellen Cannon är en personalförfattare på Investmentmatome, en personlig finanswebbplats. E-post: [email protected]. Twitter: @ellencannon.