Podvody s kreditními kartami - Credit card fraud

Tento článek je o všech typech podvodů s kreditními kartami. Organizovaný obchod a praní informací o kreditní kartě najdete v tématu mykání (podvod) .

Část série na
Informační bezpečnost
Incidenty bezpečnosti informací podle kategorie, fiskální rok 2014. sv
Související kategorie zabezpečení
Hrozby
Obrany

Podvod s kreditní kartou je souhrnný termín pro podvod spáchaný pomocí platební karty , například kreditní nebo debetní karty . Účelem může být získání zboží nebo služeb nebo provedení platby na jiný účet, který je ovládán zločincem. PCI DSS (PCI DSS) je zabezpečení dat norma vytvořená s cílem pomoci finančním institucím zpracovávat platby kartou bezpečně a snížit výskyt podvodů karty.

Podvody s kreditními kartami lze autorizovat v případě, že skutečný zákazník sám zpracovává platbu na jiný účet, který je ovládán zločincem, nebo neoprávněný, pokud majitel účtu neposkytne povolení k provedení platby a transakci provede třetina strana. V roce 2018 dosáhly neoprávněné ztráty z finančních podvodů mezi platebními kartami a vzdáleným bankovnictvím ve Spojeném království celkem 844,8 milionů GBP. Zatímco banky a karetní společnosti zabránily neoprávněným podvodům v roce 2018 ve výši 1,66 miliardy GBP. To je ekvivalent 2 GBP za každé 3 GBP pokusu o zastavení podvodu.

Kreditní karty jsou bezpečnější než kdy dříve, přičemž regulační orgány, poskytovatelé karet a banky potřebují značný čas a úsilí ke spolupráci s vyšetřovateli z celého světa, aby zajistili, že podvodníci nebudou úspěšní. Peníze držitelů karet jsou obvykle chráněny před podvodníky s předpisy, které činí poskytovatele karty a banku odpovědnými. Technologie a bezpečnostní opatření za kreditními kartami jsou stále sofistikovanější, takže je pro podvodníky těžší krást peníze.

Prostředky podvodu s platební kartou

Existují dva druhy podvodů s kartami: podvody s přítomnými kartami (v dnešní době již tak běžné) a podvody bez karet (častější). Ke kompromisu může dojít několika způsoby a obvykle k němu může dojít bez vědomí držitele karty. Internet učinil výpadky zabezpečení databáze obzvláště nákladnými, v některých případech byly prolomeny miliony účtů.

Odcizené karty mohou držitelé karet rychle nahlásit, ale podrobnosti o ohroženém účtu může podvodník uchovávat měsíce před jakoukoli krádeží, což ztěžuje identifikaci zdroje kompromisu. Držitel karty nesmí objevit podvodné použití, dokud neobdrží prohlášení. Držitelé karet mohou toto riziko podvodu zmírnit častou kontrolou svého účtu, aby se ujistili, že nedochází k žádným podezřelým nebo neznámým transakcím.

Pokud dojde ke ztrátě nebo odcizení kreditní karty, lze ji použít k nelegálním nákupům, dokud držitel neoznámí vydávající bance a banka na účet nezablokuje. Většina bank má 24hodinová telefonní čísla, která podporují rychlé hlášení. Přesto je možné, že zloděj provede neautorizované nákupy na kartě před zrušením karty.

Prevence podvodů s platebními kartami

Informace o kartě jsou uloženy v řadě formátů. Čísla karet-formálně číslo primárního účtu (PAN)-jsou na kartě často vyražena nebo vytištěna a magnetický proužek na zadní straně obsahuje data ve strojově čitelném formátu. Pole se mohou lišit, ale mezi nejběžnější patří Jméno držitele karty; Číslo karty; Datum spotřeby; a ověřovací CVV kód .

V Evropě a Kanadě je většina karet vybavena čipem EMV, který před autorizací platby vyžaduje zadání 4 až 6místného PIN do terminálu obchodníka. Pro online transakce však není vyžadován PIN. Pokud v některých evropských zemích nemáte kartu s čipem, můžete být v místě prodeje požádáni o průkaz totožnosti s fotografií .

V některých zemích může držitel kreditní karty provést bezkontaktní platbu za zboží nebo služby přiložením karty k čtečce RFID nebo NFC bez nutnosti zadání kódu PIN nebo podpisu, pokud cena klesne pod předem stanovený limit. Ukradená kreditní nebo debetní karta však mohla být použita k řadě menších transakcí před nahlášením podvodné činnosti.

Vydavatelé karet udržují několik protiopatření, včetně softwaru, který dokáže odhadnout pravděpodobnost podvodu. Například velká transakce, ke které dochází ve velké vzdálenosti od domova držitele karty, se může zdát podezřelá. Obchodník může být instruován, aby zavolal vydavateli karty pro ověření nebo odmítl transakci, nebo dokonce kartu držel a odmítl ji vrátit zákazníkovi.

Druhy podvodů s platebními kartami

Podvod s aplikací

Podvody s aplikacemi se odehrávají, když osoba použije ukradené nebo falešné dokumenty k otevření účtu na jméno jiné osoby. Zločinci mohou krást nebo padělat dokumenty, jako jsou účty za energie a bankovní výpisy, aby si vytvořili osobní profil. Když je účet otevřen pomocí falešných nebo odcizených dokumentů, podvodník pak může vybrat hotovost nebo získat kredit na jméno oběti. Abyste se chránili, uchovávejte své údaje v tajnosti a ukládejte citlivé dokumenty na bezpečném místě a dávejte si pozor, jak nakládáte s osobními identifikačními údaji.

Převzetí účtu

Převzetí účtu se týká úkonu, kterým se podvodníci pokusí převzít kontrolu nad účtem zákazníka (tj. Kreditní karty, e -mail, banky, SIM karta a další). Kontrola na úrovni účtu nabízí podvodníkům vysoké výnosy. Podle společnosti Forrester hraje klíčovou roli při snižování rizik autentizace založená na riziku (RBA).

Podvodník používá k získání přístupu k finančním účtům části identity oběti, jako je e -mailová adresa. Tato osoba poté zachytí komunikaci o účtu, aby oběť zůstala slepá vůči jakýmkoli hrozbám. Oběti jsou často první, kdo zjistí převzetí účtu, když zjistí poplatky za měsíční výpisy, které neautorizovali, nebo několik diskutabilních výběrů. Od přijetí technologie EMV došlo k nárůstu počtu převzetí účtů, což podvodníkům ztěžuje klonování fyzických kreditních karet.

Mezi některé z nejběžnějších metod, kterými podvodník převezme převzetí účtu, patří aplikace na jedno kliknutí založené na proxy „checker“, útoky botnetů hrubou silou, phishing a malware. Mezi další metody patří sklápěcí kontejner, který vyhledává osobní údaje ve vyřazené poště, a přímé nákupní seznamy „Fullz“, což je slangový výraz pro úplné balíčky identifikačních informací prodávaných na černém trhu.

Podvody v sociálním inženýrství

K podvodu v sociálním inženýrství může dojít, když se zločinec vydává za někoho jiného, ​​což má za následek dobrovolný převod peněz nebo informací podvodníkovi. Podvodníci se obracejí k sofistikovanějším metodám podvádění lidí a podniků bez peněz. Běžnou taktikou je rozesílání falešných e -mailů vydávajících se za vedoucí zaměstnance a snaha oklamat zaměstnance, aby převáděli peníze na podvodný bankovní účet.

Podvodníci mohou k získávání osobních údajů pomocí různých technik předstírat, že jsou bankou nebo zpracovatelem plateb. Telefonní phishing je nejběžnější technikou sociálního inženýrství k získání důvěry oběti.

Podniky se mohou chránit dvojím autorizačním procesem pro převod finančních prostředků, který vyžaduje autorizaci nejméně dvou osob, a postupem zpětného volání na dříve zřízené kontaktní číslo, nikoli kontaktními údaji, které jsou součástí žádosti o platbu. Vaše banka vám musí vrátit jakoukoli neoprávněnou platbu, může však odmítnout vrácení peněz na základě: může prokázat, že jste transakci autorizovali; nebo může prokázat, že jste na vině, protože jste jednali úmyslně nebo jste nechránili své údaje, které transakci umožnily.

Skimming

„Skimmer (zařízení)“ přeadresuje tady. Pro jiná použití, vidět Skimmer (disambiguation) .
Zajistěte plynové čerpadlo, abyste zabránili zlodějům v instalaci odpěňovače

Skimming je krádež osobních údajů použitých v jinak normální transakci. Zloděj může získat číslo karty oběti pomocí základních metod, jako je fotokopírování účtenek, nebo pokročilejších metod, jako je použití malého elektronického zařízení (skimmeru) k přejíždění a ukládání stovek čísel karet obětí. Běžnými scénáři skimmingu jsou taxi, restaurace nebo bary, kde skimmer vlastní platební kartu oběti mimo jejich bezprostřední pohled. Zloděj může také pomocí malé klávesnice nenápadně přepsat tří nebo čtyřmístný bezpečnostní kód karty , který na magnetickém proužku není.

Call centra jsou další oblastí, kde může dojít ke skimmingu. Skimming může také nastat u obchodníků, když je zařízení pro čtení karet jiného výrobce nainstalováno buď mimo terminál procházející kartou. Toto zařízení umožňuje zloději zachytit informace o kartě zákazníka, včetně jeho PIN, při každém přejetí karty.

Skimming je pro typického držitele karty obtížně detekovatelný, ale vzhledem k dostatečně velkému vzorku je pro vydavatele karty poměrně snadno detekovatelný. Vydavatel shromažďuje seznam všech držitelů karet, kteří si stěžovali na podvodné transakce, a poté pomocí dolování dat zjišťuje vztahy mezi nimi a obchodníky, které používají. Propracované algoritmy mohou také hledat vzorce podvodů. Obchodníci musí zajistit fyzické zabezpečení svých terminálů a sankce pro obchodníky mohou být v případě jejich ohrožení přísné, od vysokých pokut vydavatele až po úplné vyloučení ze systému, což může být smrtící rána pro firmy, jako jsou restaurace, kde je kreditní karta transakce jsou normou.

Byly hlášeny případy skimmingu, kdy pachatel umístil přes slot pro kartu bankomatu ( bankomat ) zařízení, které čte magnetický proužek, když jím uživatel nevědomky prochází svou kartu. Tato zařízení se často používají ve spojení s miniaturní kamerou ke čtení PINu uživatele současně. Tato metoda se používá v mnoha částech světa, včetně Jižní Ameriky, Argentiny a Evropy.

Neočekávané opakované vyúčtování

Online platby účtů nebo internetové nákupy využívající bankovní účet jsou zdrojem pro opakovanou fakturaci známou jako „opakující se bankovní poplatky“. Jedná se o trvalé příkazy nebo příkazy bankéře od zákazníka na počest a zaplacení určité částky každý měsíc příjemci. U elektronického obchodování , zejména ve Spojených státech , může prodejce nebo příjemce dostávat platby prostřednictvím inkasa prostřednictvím sítě ACH . Přestože mnoho plateb nebo nákupů je platných a zákazník má v úmyslu platit účet měsíčně, některé jsou známé jako Rogue Automatic Payments .

Jiný typ podvodu s kreditní kartou se zaměřuje na zákazníky veřejných služeb. Zákazníci dostávají nevyžádanou osobní, telefonickou nebo elektronickou komunikaci od jednotlivců, kteří tvrdí, že jsou zástupci společností poskytujících veřejné služby . Podvodníci upozorňují zákazníky, že pokud nedojde k okamžité platbě, jejich nástroje budou odpojeny, což obvykle zahrnuje použití dobíjecí debetní karty k přijetí platby. Podvodníci někdy používají k oklamání obětí autenticky vypadající telefonní čísla a grafiku.

Regulace a správa

Spojené státy

Ačkoli to ve Spojených státech není federálně nařízeno, PCI DSS je nařízeno radou Standardu pro zabezpečení platebních karet, která se skládá z hlavních značek kreditních karet a udržuje to jako průmyslový standard. Některé státy začlenily normu do svých zákonů.

Navrhované zpřísnění federálních zákonů

Ministerstvo spravedlnosti v září 2014 oznámilo, že se bude snažit zavést přísnější zákony pro boj proti obchodování se zahraničními kreditními kartami. Úřady tvrdí, že současný statut je příliš slabý, protože umožňuje lidem v jiných zemích vyhnout se stíhání, pokud při nákupu a prodeji dat zůstanou mimo Spojené státy a nepředají své nezákonné podnikání přes USA. Ministerstvo spravedlnosti žádá Kongres o změnu současný zákon, který by mezinárodnímu zločinci zakazoval vlastnit, kupovat nebo prodávat odcizenou kreditní kartu vydanou americkou bankou nezávislou na zeměpisné poloze.

Odpovědnost držitele karty

V USA federální zákon omezuje odpovědnost držitelů karty na 50 USD v případě odcizení skutečné kreditní karty, bez ohledu na částku účtovanou na kartě, pokud byla nahlášena do 60 dnů od obdržení výpisu. V praxi mnoho emitentů od této malé platby upustí a jednoduše odstraní podvodné poplatky z účtu zákazníka, pokud zákazník podepíše čestné prohlášení potvrzující, že poplatky jsou skutečně podvodné. Pokud není fyzická karta ztracena nebo odcizena, ale je odcizeno pouze samotné číslo účtu kreditní karty, pak federální zákon zaručuje držitelům karet nulovou odpovědnost vůči vydavateli kreditních karet.

Spojené království

Ve Velké Británii jsou kreditní karty upraveny zákonem o spotřebitelském úvěru z roku 1974 (novelizovaný 2006). To poskytuje řadu ochran a požadavků. Jakékoli zneužití karty, pokud není úmyslně trestné ze strany držitele karty, musí být vráceno obchodníkem nebo vydavatelem karty.

Regulaci bank ve Spojeném království provádí: Bank of England (BoE); Prudential Regulation Authority (PRA) divize BoE; a úřad pro finanční chování (FCA), který řídí každodenní dohled. Neexistuje žádná konkrétní legislativa nebo nařízení, které by upravovalo odvětví kreditních karet. Nicméně Sdružení pro platební clearingové služby (APACS) je instituce, která všichni členové vypořádání jsou součástí. Organizace pracuje podle směrnice o konsolidaci bankovnictví a poskytuje prostředky, kterými lze transakce sledovat a regulovat. UK Finance je asociací pro britský sektor bankovních a finančních služeb, která zastupuje více než 250 firem poskytujících úvěrové, bankovní a platební služby.

Austrálie

Graf ukazující počet obětí a podíl obyvatel nebo domácnosti postižených různými přestupky

V Austrálii je podvod s kreditními kartami považován za formu „zločinu identity“. Australian transakcí Přehledy a analytické centrum zavedla standardní definice v souvislosti s trestnou činností identity pro použití donucovacích napříč Austrálií:

  • Pojem identita zahrnuje identitu fyzických osob (živých nebo zemřelých) a identitu orgánů společnosti
  • Vytvoření identity popisuje vytvoření fiktivní identity
  • Manipulace s identitou popisuje změnu vlastní identity
  • Krádež identity popisuje krádež nebo převzetí již existující identity (nebo její významné části) se souhlasem nebo bez něj a to, zda v případě fyzické osoby osoba žije nebo zemře
  • Zločin identity je obecný termín pro popis činností/trestných činů, při nichž pachatel používá k vymyšlení se spáchání zločinu zfalšovanou identitu, zmanipulovanou identitu nebo ukradenou/převzatou identitu.

Ztráty

Odhady vytvořené oddělením generálního prokurátora ukazují, že zločin za identitu stojí Austrálii každoročně více než 1,6 miliardy USD, přičemž většina z přibližně 900 milionů USD je ztracena jednotlivci v důsledku podvodů s kreditními kartami, krádeží identity a podvodů. V roce 2015 vydal ministr spravedlnosti a ministr pomáhající předsedovi vlády pro boj proti terorismu Michael Keenan zprávu Zločin identity a zneužívání v Austrálii 2013–14. Tato zpráva odhaduje, že celkové přímé a nepřímé náklady na zločin identity byly blíže 2 miliardám dolarů, což zahrnuje přímé a nepřímé ztráty, které zaznamenaly vládní agentury a jednotlivci, a náklady na zločiny identity zaznamenané policií.

Odpovědnost držitele karty

Oběť podvodu s kreditní kartou v Austrálii, která kartu stále vlastní, není zodpovědná za nic, co na ní bylo koupeno bez jejich svolení. To však podléhá smluvním podmínkám účtu. Pokud byla karta fyzicky odcizena nebo ztracena, držitel karty obvykle neodpovídá za žádné transakce, které neprovedl, pokud nelze prokázat, že držitel karty jednal nečestně nebo bez přiměřené péče.

Prodejci vs obchodníci

Aby se zabránilo tomu, že budou prodejci „účtováni zpět“ za transakce podvodů, mohou se obchodníci zaregistrovat ke službám nabízeným společnostmi Visa a MasterCard s názvem Verified by Visa a MasterCard SecureCode pod zastřešujícím termínem 3-D Secure . To vyžaduje, aby spotřebitelé přidali další informace k potvrzení transakce.

Online obchodníci často nepřijmou adekvátní opatření k ochraně svých webových stránek před útoky podvodů, například slepou sekvencí. Na rozdíl od více automatizovaných transakcí s produkty musí úředník dohlížející na žádosti o autorizaci „karta přítomna“ schválit vyskladnění zboží z areálu zákazníka v reálném čase.

Pokud obchodník platbu ztratí, poplatky za zpracování platby, provize za převod měny a výši pokuty za zpětné zúčtování. Mnoho obchodníků ze zřejmých důvodů podniká kroky, aby se vyhnulo zpětným platbám - například nepřijímalo podezřelé transakce. To může způsobit vedlejší škody, kde obchodník navíc ztrácí legitimní prodeje nesprávným blokováním legitimních transakcí. Obchodníci s poštovní objednávkou/telefonickou objednávkou (MOTO) zavádějí automatizaci podporovanou agentem, která agentovi call centra umožňuje shromažďovat číslo kreditní karty a další osobně identifikovatelné informace, aniž by je kdy viděl nebo slyšel. To výrazně snižuje pravděpodobnost zpětných zúčtování a zvyšuje pravděpodobnost převrácení podvodných zpětných zúčtování.

Slavné útoky na úvěrové podvody

V období od července 2005 do poloviny ledna 2007 odhalilo narušení systémů ve společnostech TJX údaje z více než 45,6 milionu kreditních karet. Albert Gonzalez je obviněn z toho, že je vůdcem skupiny odpovědné za krádeže. V srpnu 2009 byl Gonzalez také obžalován za dosud největší známou krádež kreditní karty-informace z více než 130 milionů kreditních a debetních karet byly odcizeny u společností Heartland Payment Systems , maloobchodníků 7-Eleven a Hannaford Brothers a dvou neidentifikovaných společností.

V roce 2012 bylo hacknutím společnosti Adobe Systems napadeno asi 40 milionů sad informací o platebních kartách . Zpochybněné informace zahrnovaly jména zákazníků, šifrovaná čísla platebních karet, data vypršení platnosti a informace týkající se objednávek, řekl hlavní bezpečnostní ředitel Brad Arkin.

V červenci 2013 tiskové zprávy uváděly, že v americkém státě New Jersey byli obviněni čtyři Rusové a Ukrajinec za to, čemu se říkalo „největší schéma hackingu a porušení zabezpečení, jaké kdy bylo ve Spojených státech stíháno“. Albert Gonzalez byl také citován jako spoluspiklenec útoku, který zaznamenal nejméně 160 milionů ztrát na kreditní kartě a ztrátu přesahujících 300 milionů dolarů. Útok se týkal amerických i evropských společností, včetně Citigroup, Nasdaq OMX Group, PNC Financial Services Group, držitele licence Visa Visa Jordan, Carrefour, JC Penny a JetBlue Airways.

V období od 27. listopadu 2013 do 15. prosince 2013 odhalilo narušení systémů společnosti Target Corporation data ze zhruba 40 milionů kreditních karet. Ukradené informace zahrnovaly jména, čísla účtů, data vypršení platnosti a bezpečnostní kódy karet .

Od 16. července do 30. října 2013 napadl hackerský útok asi milion sad dat o platebních kartách uložených v počítačích v Neiman-Marcus . Malwarový systém, navržený pro připojení k pokladnám a sledování procesu autorizace kreditní karty (malware se škrábáním RAM), pronikl do systémů Target a odhalil informace až od 110 milionů zákazníků.

Dne 8. září 2014, The Home Depot potvrdil, že jejich platební systémy byly ohroženy. Později vydali prohlášení, že hackeři získali v důsledku porušení celkem 56 milionů čísel kreditních karet.

Dne 15. května 2016, v koordinovaném útoku, skupina asi 100 jedinců použita data z 1600 jihoafrický kreditními kartami ukrást amerických 12.700.000 $ od 1400 samoobsluhách v Tokiu během tří hodin. Jednáním v neděli a v jiné zemi než v bance, která karty vydala, se věří, že získali dostatek času na to, aby opustili Japonsko, než byla loupež objevena.

Protiopatření k boji proti podvodům s platebními kartami

Mezi protiopatření pro boj proti podvodům s kreditními kartami patří následující.

Od obchodníků

Vydavatelem karty

  • Software pro detekci a prevenci podvodů, který analyzuje vzorce normálního a neobvyklého chování i jednotlivých transakcí za účelem označení pravděpodobného podvodu. Profily obsahují takové informace jako IP adresa. Od počátku devadesátých let existují technologie k detekci potenciálních podvodů. Jedním z prvních účastníků trhu byl Falcon; Mezi další přední softwarová řešení pro podvody s kartami patří Actimize, SAS, BAE Systems Detica a IBM.
  • Obchodní procesy detekce podvodů a reakce na ně, jako jsou:
    • Kontaktujte držitele karty a požádejte o ověření
    • Umístění preventivních kontrol/pozastavení na účty, které mohly být obětí
    • Blokování karty, dokud transakce nejsou ověřeny držitelem karty
    • Vyšetřování podvodných aktivit
  • Silná autentizační opatření, jako například:
    • Vícefaktorové ověřování , které ověřuje, že držitel karty přistupuje k účtu prostřednictvím požadavku na dodatečné informace, jako je číslo účtu, PIN, PSČ, kontrolní otázky
    • Ověření pomocí více faktorů držení, ověření, že držitel karty přistupuje k účtu prostřednictvím požadavku na další osobní zařízení, jako jsou chytré hodinky, autentizace výzvy a odpovědi chytrého telefonu
    • Out-of-band Authentication, ověření, že transakci provádí držitel karty prostřednictvím „známého“ nebo „důvěryhodného“ komunikačního kanálu, jako je textová zpráva, telefonní hovor nebo zařízení s tokeny zabezpečení
  • Průmyslová spolupráce a sdílení informací o známých podvodnících a nově se objevujících hrozbách

Banky/finanční instituce

  • Interní samobankovní oblast, kde zákazník může provádět transakce bez ohledu na povětrnostní podmínky. Přístupové dveře:
    • Identifikuje každého držitele karty, který získá přístup do určené oblasti
    • Zvyšuje ochranu zákazníků během samoobslužných procedur
    • Chrání bankomaty a bankovní aktiva před neoprávněným použitím
    • Chráněnou oblast lze také monitorovat kamerovým systémem banky
    • Karty využívají identifikaci CHIP (dříve PASSCHIP) ke snížení možnosti skimmingu karet

Od vládních a regulačních orgánů

  • Povolení zákonů na ochranu spotřebitele souvisejících s podvody s kartami
  • Provádění pravidelných vyšetření a hodnocení rizik vydavatelů kreditních karet
  • Publikování standardů, pokynů a pokynů k ochraně informací držitelů karet a monitorování podvodných aktivit
  • Regulace, jako je ta zavedená v SEPA a EU28 požadavky Evropské centrální banky na „SecuRe Pay“ a směrnicí o platebních službách 2.

Od držitelů karet

  • Hlášení ztracených nebo odcizených karet
  • Pravidelná kontrola poplatků a okamžité hlášení neoprávněných transakcí
  • Udržování kreditní karty v dohledu držitele karty, například v restauracích a taxi
  • Instalace antivirového softwaru na osobní počítače
  • Buďte opatrní při používání kreditních karet k online nákupům, zejména na nedůvěryhodných webech
  • Uchovávání záznamů o číslech účtů, datech jejich vypršení a telefonním čísle a adrese každé společnosti na bezpečném místě.
  • Nezasílání informací o kreditní kartě nešifrovaným e -mailem
  • Neuchovávání zapsaných čísel PIN u kreditní karty.

Další technologické funkce

Viz také

Reference

externí odkazy