Después de EMV Shift, las tarjetas de crédito aún no son tan seguras como sea posible

Han pasado más de seis meses desde que cambiaron las reglas sobre el fraude con las tarjetas de crédito, lo que provocó un cambio de las antiguas tarjetas de crédito de banda magnética a las tarjetas integradas con chips EMV. Pero solo el 20% de las terminales de tarjetas de crédito en los EE. UU. Se habían activado para el uso de chips hasta abril de 2016, según el Grupo Asesor de Mercator. Y solo el 60% de todas las tarjetas de crédito se han actualizado con chips.

Sin embargo, es posible que haya pasado por el nuevo proceso de pegar su tarjeta con chip en un lector, esperar a que se verifique la transacción y que la máquina le dé un pitido si deja su tarjeta demasiado tiempo.

El proceso se ha promovido en gran medida como un mejor cuidado de sus datos. Pero probablemente no sea tan seguro como podría serlo una transacción EMV. Y hay una barra bastante baja para lo seguro alguna La transacción EMV puede ser. Parte de eso son los límites de la tecnología, y parte son las realidades del comportamiento humano.

Comportamiento del consumidor como punto de fricción.

Algunos inconvenientes en la transición EMV se han observado ampliamente. Por un lado, las transacciones pueden ser lentas. Por otro lado, aún verifica su identidad a la antigua, firmando su nombre, y para transacciones más pequeñas, ni siquiera tiene que hacerlo.

"Las transacciones tomarán considerablemente más tiempo en las rutas de pago de las tiendas que requieren que las tarjetas con chip se introduzcan en sus lectores de tarjetas con chip, al menos a corto plazo, ya que los comerciantes aprenden a acelerar el proceso", dice Brian Krebs, periodista y experto en seguridad. Experto en Krebs en Seguridad. "Además, probablemente muchas más personas dejarán sus tarjetas dentro de las máquinas y aumentarán las pérdidas de tarjetas robadas y robadas para los bancos, al menos en el corto plazo hasta que los consumidores se acostumbren a los dispositivos".

En Europa, los consumidores han estado utilizando tarjetas de crédito desconchadas durante años, décadas, en algunos casos. Pero para mayor seguridad, las tarjetas requieren que los titulares de tarjetas ingresen un código PIN para verificar su identidad durante una transacción. Entonces, ¿por qué los EE. UU. No adoptaron un sistema de chip y PIN, en lugar de un chip y una firma? Un factor importante fue el reconocimiento por parte de los emisores de lo difícil que es forzar un cambio en el comportamiento del consumidor.

"NOSOTROS. los consumidores no están acostumbrados a ingresar un PIN en las transacciones con tarjeta de crédito ”, dice Julie Conroy, directora de investigación de Aite Group en Massachusetts. “Muchos de los emisores con los que hablé eligieron chip-and-signature porque ningún emisor quería emitir tarjetas cuya experiencia de usuario lo pusiera en desventaja competitiva. En palabras de un emisor, enseñar a los consumidores a sumergirse en lugar de deslizar fue un cambio suficiente; no querían arriesgarse a tener que enseñar a los consumidores a cambiar dos comportamientos al mismo tiempo ".

Un intento de detener el fraude.

¿Por qué los consumidores estadounidenses cambian algo? La razón principal fue el fraude.

En 2014, más de $ 16 mil millones se perdieron en fraudes de tarjetas de crédito en todo el mundo, según The Nilson Report, que cubre la industria de pagos. De las pérdidas, el 48% se produjo en los EE. UU. Las tarjetas de banda magnética tradicionales son más fáciles de hackear, porque la información almacenada en la banda es estática o no cambia. Cópialo una vez, y puedes hacer una tarjeta duplicada. Sin embargo, los chips EMV generan un código único para cada transacción, por lo que la información copiada de una transacción no se puede usar en otra.

"NOSOTROS. "los consumidores están protegidos en gran parte del fraude [del costo directo de la tarjeta de crédito], gracias al entorno regulatorio de los EE. UU. y la garantía de cero responsabilidad que brindan las redes de pago", dice Conroy. El cambio a EMV, entonces, es realmente más sobre proteger a los emisores de tarjetas de crédito de pérdidas por fraude que proteger a los consumidores.

En octubre de 2015 se introdujeron nuevas reglas sobre responsabilidad por fraude de tarjetas de crédito. Si se produce un fraude, la parte que no esté utilizando la tecnología EMV es responsable de las pérdidas. Si la tarjeta en cuestión no fue chipeada con EMV, la responsabilidad recae en el emisor. Si el comerciante no tenía un lector de chips EMV, entonces el comerciante asume la responsabilidad. La responsabilidad también podría ser compartida.

PIN ofrece una protección limitada

Lo que no tiene en cuenta en la ecuación de responsabilidad es si la tarjeta de chip se basa en un PIN o una firma para la verificación. Y la verdad es que la mayoría de los fraudes con tarjetas de crédito ni siquiera se podrían prevenir con chip y PIN.

"Chip-and-PIN protege contra el fraude perdido y robado, es decir, si alguien le roba su billetera, no puede llevar sus tarjetas fácilmente a una juerga de compras", dice Conroy. Ese tipo de fraude es minúsculo en comparación con el fraude general con tarjetas de crédito, dice Conroy.

Además, los ladrones siempre encontrarán una forma de evitar la seguridad. "Hemos visto, con base en el ejemplo de otros países, que los delincuentes se han vuelto bastante expertos en capturar el PIN, ya sea a través de ataques de skimming, surf de hombro o cámaras de precisión", dice Conroy. Debido a que el PIN no cambia con cada compra, Conroy dijo que "tiene sus límites en cuanto a su capacidad para combatir el fraude de manera efectiva. "Cuando el U.K. fue a un chip y PIN, el fraude de pérdida y robo se redujo brevemente, pero en unos pocos años volví a los niveles anteriores al PIN".

Los chips EMV tampoco tienen ningún papel en las transacciones en línea, por lo que las tarjetas con chip son tan vulnerables como las tarjetas de banda magnética.

¿Hay alguna forma más segura?

Conroy dice que el chip-and-PIN es, en el mejor de los casos, una solución a corto plazo."Idealmente, me gustaría ver a la industria saltar el PIN y pasar a otras formas de verificación, como la biométrica, la verificación móvil, etc.", dice. "En el proceso, también deberíamos eliminar la firma, lo cual es costoso para los comerciantes y es inútil como método de autenticación del cliente implementado actualmente".

Krebs sugiere usar "tokens" como una forma de combatir el fraude. Con la tokenización, las computadoras de los comerciantes no almacenan los datos de las tarjetas de crédito. En su lugar, almacenan un número de marcador de posición, o token, que se puede utilizar para recuperar datos del emisor.

"La tokenización puede ayudar a los comerciantes a evitar el almacenamiento de datos de tarjetas por un período de tiempo prolongado y, en el proceso, disminuir la probabilidad de que los ciberdelincuentes los apunten a los datos de tarjetas", dice. La tokenización reduciría la amenaza de las violaciones de datos, que es la forma en que la mayoría de los consumidores se convierten en víctimas del fraude con tarjetas de crédito.

Las soluciones móviles tienen sus propias limitaciones.

Los pagos móviles y las billeteras digitales como Apple Pay pueden proporcionar una alternativa. Pero Conroy dice: "Si bien algunas implementaciones de pagos móviles para comerciantes específicos están teniendo un gran éxito, Starbucks, por su parte, la adopción de los pagos móviles de ciclo abierto - Apple Pay, Android Pay - se está moviendo mucho más lentamente".

Krebs también ve un riesgo de seguridad para los pagos móviles. “Apple Pay utiliza una forma de tokenización, pero los problemas en el pasado con Apple Pay se debieron a procedimientos de inscripción laxos en los bancos y una dependencia de elementos de datos estáticos [como los números de Seguro Social o fechas de nacimiento] para la autenticación cuando estos elementos de datos son ampliamente comprometido y en venta en casi todos los estadounidenses ".

Lo único que se mantendrá móvil será la tarjeta en su billetera. "Los consumidores se sienten muy cómodos al realizar transacciones con tarjetas", dice Conroy, "y cambiar el comportamiento del consumidor es difícil, por lo que las tarjetas estarán con nosotros durante algún tiempo por venir".

Ellen Cannon es escritora del personal de Investmentmatome, un sitio web de finanzas personales. Correo electrónico: [email protected]. Twitter: @ellencannon.