Bezpečné placení kartou na internetu Trendy v internetové bezpečnosti

1. Bezpečné placení kartou na internetuTrendy v internetové bezpečnosti Karel Kadlčák, ČS, a.s. Předseda BV SBK Praha, 26.2.2009

2. Agenda • Situace v e-commerce • Princip 3D-Secure • Rizika v prostředí 3D - Secure • Možná opatření

3. Problémy E-commerce • Absence/omezení kontrol při placení • Ověření karty (CAM) • Identifikace držitele (CVM) • Autorizace transakce 2.Bezpečnost dat (komunikace, obchodník) • Prostředí - rychlý růst, globálnost, nízká kredibilita trhu, nedostatečná připravenost zákazníků i obchodníků

4. TYPICKÉ PODVODY Karta • Ztracené/odcizené karty, data získaná resp. odcizená od jiných (CNP) obchodníků/procesorů – potřebují CVx2 Obchodník • Lukrativní, snadno distribuovatelné a prodejné zboží, služby (letenky, cestovní ruch) Schéma • Nákup s dodáním do třetích zemí • Objednávka služeb, úhrada, následné storno a požadavek na vrácení peněz (ne na kartu) do třetí země

5. TYPICKÉ PODVODY Příklad Na (kradenou) kartu, vydanou v USA je z počítače na Madagaskaru u prodejce v ČR objednána letenka z Havany do Londýna

6. Princip 3D - Secure • Princip tří domén (vydavatel, acquirer, interoperabilita – kartové asociace) • Funguje paralelně a nezávislena straně acquirerů/obchodníků a vydavatelů karet • Obchodník nemá k disposici informace o kartě (ověření i autorizace probíhají mezi držitelem a vydavatelem karty) • Karta i držitel podléhají při transakci dodatečnému ověření u vydavatele

7. Ochrana proti E-commerce fraudu Princip 3D – Secure zabraňuje • Úniku dat ze systému obchodníka (žádná tam nejsou) • Úniku dat při přenosu (jsou kryptována) • Zneužití podvodně získaných datči karet pro e-commerce transakce (při transakci nutné dodatečné ověření držitele karty)

8. TRANSAKCE V PROSTŘEDÍ 3D-SECURE

9. JAK 3D-SECURE POZNÁ ZÁKAZNÍK Loga asociací na www stránkách obchodníka:

10. SOUČASNÁ SITUACE V ČR

11. SOUČASNÁ SITUACE V ČR

12. SOUČASNÁ SITUACE V ČR 3D_Secure systém je aplikován • U obchodníků …… na 100% • U karet …………… na 0%

13. Rizika v prostředí 3D - Secure • Odpovědnost Issuera a Acquirera se řídí pravidly asociací • Je uplatňován tzv. Liability shift (pokud implementuje 3D-Secure pouze jedna strana, je zvýhodněna) • Bohužel neplatí 100%, což znevýhodňuje Acquirery

14. Opatření na straně banky - acquirera Monitorování a sledování úrovně podvodů • Všichni noví obchodníci nebo obchodníci, u kterých se vyskytnou podvodné transakce jsou 100% monitorováni po určenou dobu • Podvody, reportované vydavateli (RIS/SAFE) jsou porovnávány s výsledky monitorování • V případě hrozby překročení tolerovaných hodnot návrh na přijetí opatření (ve spolupráci s obchodníkem)

15. Opatření ve spolupráci s obchodníkem Blokace transakcí některými kartami (dle typu karty či regionu vydavatele) • Omezí transakce u nichž neplatí Liability Shift • Sníží škody • Poškodí poctivé držitele karet i obchodníky

16. Opatření ve spolupráci s obchodníkem Omezení výše transakce • Sníží škody • Nezabraňuje podvodům samotným • Poškodí poctivé držitele karet i obchodníky

17. Opatření ve spolupráci s obchodníkem Vytvoření časového prostoru pro ověření transakce • Používání předautorizací (s posunutým termínem dokončení) či prodloužení dodacích lhůt (nebo kombinace obojího) • Na podezřelé transakce jsou zasílány Security Checky a obchodník může dokončit transakci až po schválení acquirera

18. Opatření na straně obchodníka Interní aktivity obchodníka – doporučení • Vedení interní databáze podvodů a podvodníků • Odmítání objednávek, jevících shodné znaky s prokázanými podvody (subjekt a adresa dodání, IP adresa, e-mailová adresa objednávajícího apod.) • Zákaz zasílání zboží na PO BOX adresu nebo jeho dodání/předání na veřejném místě mimo stálou adresu

19. Opatření vůči obchodníkům V případě neúčinnosti přijatých opatření nebo neochoty obchodníka spolupracovat využít možnost • Pozastavení přijímání karet • Ukončení smluvního vztahu

20. Opatření ve spolupráci s OČTR Pomoci při dopadení pachatelů • Iniciovat trestní řízení • Předávat informace PČR a poskytnout ji veškerou možnou podporu Problém: • Schopnost a zejména možnosti PČR aktivně zasahovat

21. Závěr Banky se nemohou podvodům bránit nebo jim zamezit samy, je třeba, aby obchodníci pochopili, že • 3D – Secure systém je chrání, ale ne absolutně • Spolupráce s bankou při obraně proti podvodníkům je v jejich zájmu • Banka nemůže bez negativního dopadu na obchodníka nést všechny náklady vzniklé z podvodných aktivit • Nejvíce pomohou, budou-li sami aktivně podvodům předcházet

22. Děkuji za pozornost Otázky?