Bezpečné placení kartou na internetu Trendy v internetové bezpečnosti Karel Kadlčák, ČS, a.s. Předseda BV SBK Praha, Praha,

2 Agenda  Situace v e-commerce  Princip 3D-Secure  Rizika v prostředí 3D - Secure  Možná opatření

3 Problémy E-commerce 1. Absence/omezení kontrol při placení  Ověření karty (CAM)  Identifikace držitele (CVM)  Autorizace transakce 2. Bezpečnost dat (komunikace, obchodník) 3. Prostředí - rychlý růst, globálnost, nízká kredibilita trhu, nedostatečná připravenost zákazníků i obchodníků

4 TYPICKÉ PODVODY Karta  Ztracené/odcizené karty, data získaná resp. odcizená od jiných (CNP) obchodníků/procesorů – potřebují CVx2 Obchodník  Lukrativní, snadno distribuovatelné a prodejné zboží, služby (letenky, cestovní ruch) Schéma  Nákup s dodáním do třetích zemí  Objednávka služeb, úhrada, následné storno a požadavek na vrácení peněz (ne na kartu) do třetí země

5 TYPICKÉ PODVODY Příklad Na (kradenou) kartu, vydanou v USA je z počítače na Madagaskaru u prodejce v ČR objednána letenka z Havany do Londýna

6 Princip 3D - Secure  Princip tří domén (vydavatel, acquirer, interoperabilita – kartové asociace)  Funguje paralelně a nezávisle na straně acquirerů/obchodníků a vydavatelů karet  Obchodník nemá k disposici informace o kartě (ověření i autorizace probíhají mezi držitelem a vydavatelem karty)  Karta i držitel podléhají při transakci dodatečnému ověření u vydavatele

7 Ochrana proti E-commerce fraudu Princip 3D – Secure zabraňuje  Úniku dat ze systému obchodníka (žádná tam nejsou)  Úniku dat při přenosu (jsou kryptována)  Zneužití podvodně získaných dat či karet pro e-commerce transakce (při transakci nutné dodatečné ověření držitele karty)

8 TRANSAKCE V PROSTŘEDÍ 3D-SECURE

9 JAK 3D-SECURE POZNÁ ZÁKAZNÍK Loga asociací na www stránkách obchodníka:

10 SOUČASNÁ SITUACE V ČR

11 SOUČASNÁ SITUACE V ČR

12 SOUČASNÁ SITUACE V ČR 3D_Secure systém je aplikován  U obchodníků …… na 100%  U karet …………… na 0%

13 Rizika v prostředí 3D - Secure  Odpovědnost Issuera a Acquirera se řídí pravidly asociací  Je uplatňován tzv. Liability shift (pokud implementuje 3D-Secure pouze jedna strana, je zvýhodněna)  Bohužel neplatí 100%, což znevýhodňuje Acquirery

14 Opatření na straně banky - acquirera Monitorování a sledování úrovně podvodů  Všichni noví obchodníci nebo obchodníci, u kterých se vyskytnou podvodné transakce jsou 100% monitorováni po určenou dobu  Podvody, reportované vydavateli (RIS/SAFE) jsou porovnávány s výsledky monitorování  V případě hrozby překročení tolerovaných hodnot návrh na přijetí opatření (ve spolupráci s obchodníkem)

15 Opatření ve spolupráci s obchodníkem Blokace transakcí některými kartami (dle typu karty či regionu vydavatele)  Omezí transakce u nichž neplatí Liability Shift  Sníží škody  Poškodí poctivé držitele karet i obchodníky

16 Opatření ve spolupráci s obchodníkem Omezení výše transakce  Sníží škody  Nezabraňuje podvodům samotným  Poškodí poctivé držitele karet i obchodníky

17 Opatření ve spolupráci s obchodníkem Vytvoření časového prostoru pro ověření transakce  Používání předautorizací (s posunutým termínem dokončení) či prodloužení dodacích lhůt (nebo kombinace obojího)  Na podezřelé transakce jsou zasílány Security Checky a obchodník může dokončit transakci až po schválení acquirera

18 Opatření na straně obchodníka Interní aktivity obchodníka – doporučení  Vedení interní databáze podvodů a podvodníků  Odmítání objednávek, jevících shodné znaky s prokázanými podvody (subjekt a adresa dodání, IP adresa, ová adresa objednávajícího apod.)  Zákaz zasílání zboží na PO BOX adresu nebo jeho dodání/předání na veřejném místě mimo stálou adresu

19 Opatření vůči obchodníkům V případě neúčinnosti přijatých opatření nebo neochoty obchodníka spolupracovat využít možnost  Pozastavení přijímání karet  Ukončení smluvního vztahu

20 Opatření ve spolupráci s OČTR Pomoci při dopadení pachatelů  Iniciovat trestní řízení  Předávat informace PČR a poskytnout ji veškerou možnou podporu Problém:  Schopnost a zejména možnosti PČR aktivně zasahovat

21 Závěr Banky se nemohou podvodům bránit nebo jim zamezit samy, je třeba, aby obchodníci pochopili, že  3D – Secure systém je chrání, ale ne absolutně  Spolupráce s bankou při obraně proti podvodníkům je v jejich zájmu  Banka nemůže bez negativního dopadu na obchodníka nést všechny náklady vzniklé z podvodných aktivit  Nejvíce pomohou, budou-li sami aktivně podvodům předcházet

Děkuji za pozornost Otázky?