Sicurezza della carta di pagamento
Le moderne carte di pagamento sono dotate di una serie di soluzioni tecnologiche che aumentano il livello di sicurezza del loro utilizzo. Da un lato, queste caratteristiche di sicurezza dovrebbero proteggere bene la carta e, dall’altro, dovrebbero essere facilmente verificate dal commerciante, dall’acquirente e dall’emittente della carta (la banca). Devono garantire che:
- La carta è originale e non è stata falsificata da criminali;
- Il suo proprietario è colui che afferma di essere già stato curato.
Pertanto, per ridurre la possibilità di frode, le organizzazioni di carte e le banche utilizzano un sistema di sicurezza multilivello. È costruito in modo tale che le sue singole aree siano complementari tra loro. Questo sistema include:
- sicurezza visiva palese e nascosta;
- sicurezza elettronica integrata nella carta;
- Le misure di sicurezza proteggono la trasmissione dei dati durante il processo di autorizzazione al pagamento.
sicurezza visiva
La protezione primaria di una carta di pagamento dalla contraffazione e dall’uso non autorizzato è la personalizzazione, ovvero l’assegnazione della carta a un determinato cliente, alla banca e all’organizzazione della carta. Questa suite di sicurezza include:
- Numero della carta a 16 cifre (rilievo in basso sulla faccia);
- Data di scadenza della carta, specificata nel formato MM/AA – la vecchia carta deve essere prenotata automaticamente o rifiutata dall’ATM o presso il punto vendita;
- nome e cognome del titolare della carta – la carta può essere utilizzata solo dalla persona i cui dati personali compaiono sulla plastica;
- Il codice CVC2/CVV2 a tre cifre, che è una funzione di sicurezza nelle transazioni remote in cui non è possibile utilizzare un PIN. Si trova solo sul retro della carta e nel sistema informatico della banca;
- La firma del titolare (e nel caso di biglietti da visita – inciso il nome dell’azienda). Le carte non firmate sono considerate non valide;
- Ogni carta di pagamento deve contenere anche il logo del sistema (es. VISA, Eurocard/Mastercard, PolCard, American Express).
Un fatto interessante è che un’altra forma di sicurezza è l’ordine esatto di tutti gli elementi che compaiono sulla carta. Ogni venditore, insieme al dispositivo, riceve istruzioni dall’operatore, in cui è descritto l’ordine dei singoli dettagli. Ad esempio, nelle Linee guida PaySquare per i venditori, ci sono informazioni che, nel caso delle carte a marchio Masterdcard, “Le quattro cifre sotto il numero della carta devono corrispondere alle prime quattro cifre del numero della carta e iniziano con ‘5’, la carta numero” deve essere in ordine in blocchi quadrangolari ed è identico per dimensioni e forma.
Naturalmente, personalizzare la carta non è la sua unica sicurezza. Inoltre, gli emittenti di carte appongono contrassegni speciali che rendono difficile la contraffazione della plastica. Questo set di funzionalità di sicurezza include i seguenti elementi: ologrammi, grafica, stampe fini e caratteri visibili solo alla luce UV.
ologramma
Un ologramma è un’etichetta ottica tridimensionale, incisa su una sottile lamina laser sensibile alla luce. Il contenuto dell’ologramma appare nella luce corretta e nella posizione corretta della scheda. L’ologramma non può essere rimosso o modificato perché è fuso nel materiale della carta utilizzando un metodo noto come lamina per stampa a caldo.
L’ologramma è una delle migliori funzionalità di sicurezza aperte delle carte di pagamento. Un enorme vantaggio è la possibilità di una rapida verifica da parte del commerciante che non necessita di dispositivi aggiuntivi nel luogo della transazione, ad esempio in un negozio, un ristorante o una stazione di servizio.
L’uso degli ologrammi è piuttosto costoso (per il costo molto elevato della matrice), ma – paradossalmente – è proprio questo fattore che impedisce ai truffatori di creare dei “falsi”. Sfortunatamente, ci sono casi in cui i criminali investono in una costosa macchina da stampa e sono in grado di produrre carte con un ologramma apparentemente originale.
Curiosità: alcuni anni fa, la polizia polacca ha smantellato una banda che aveva formato più di 2.000 in questo modo. Carte di credito, poi, con il loro aiuto, la merce è stata truffata per almeno 1,5 milioni di PLN.
Grafiche di sicurezza e stampe fini
Questi articoli sono classificati come caratteristiche di sicurezza classificate perché sono difficili da vedere ad occhio nudo. Si tratta di grafiche molto complesse, irregolari e di piccole dimensioni che vengono applicate alla scheda nel processo di stampa con nastro specializzato.
Le microstampe diventano visibili solo nella giusta luce e ad alto ingrandimento, quindi i rivenditori di carte non sono tenuti a verificarle. Sono spesso utilizzati per convalidare la carta a livello di ricerca specializzato durante le indagini delle forze dell’ordine.
Caratteristiche di sicurezza visibili ai raggi UV
Di norma, questi sono simboli grafici delle organizzazioni di pagamento, ma non sempre. A volte le lettere sono anche lettere singole che lo spettatore colloca in un luogo inaspettato, ad esempio nell’angolo di una scheda, sotto il rivestimento che copre la banda magnetica, ecc. Un inchiostro speciale viene utilizzato per realizzare la stampa a raggi ultravioletti, che ha proprietà chimiche che rendono impossibile leggere un tale segno ad occhio nudo.
Curiosità: alla luce UV, sulla carta Visa appare una lettera V in più tra le lettere “I” e “S”. Sulle carte Mastercard – l’abbreviazione MC è sul lato sinistro della carta.
Se l’esercente della carta ha delle riserve sulla sua autenticità, può controllare autonomamente questa garanzia (tuttavia, non è un obbligo obbligatorio). Tuttavia, gli operatori dei terminali nelle loro istruzioni per il commerciante indicano sempre quale sia il componente UV su un particolare tipo di carta, quindi i commercianti sanno dove e quale segno dovrebbe apparire.
Nastro firma – Protezione speciale
Uno degli elementi eccezionalmente protetti della carta è il cinturino sul retro, su cui il titolare della carta di plastica appone la sua firma. Questo posto è dotato di una serie di diverse funzioni di sicurezza come la stampa UV e/o la goffratura ad incastro.
Inoltre, sotto la stampa in miniatura c’è uno strato di vernice bianca, che è lo sfondo della firma. Il tentativo fraudolento di rimuovere o graffiare il nome sulla barra rimuove automaticamente il supporto e il campo danneggiato mostra ‘VOID’ (Mastercard) o ‘Carta non valida’.
L’utilizzo di molte funzionalità di sicurezza è dettato dal fatto che, nel caso di transazioni offline, è la firma che consente ai venditori di verificare l’identità del proprietario della plastica. Tuttavia, come ben sappiamo, i venditori raramente guardano la nostra carta quando paghiamo con essa. Innanzitutto, perché una verifica approfondita di ogni carta richiederà molto tempo e, in secondo luogo, la prima volta che provano a farlo, è probabile che perdano il cliente per sempre. Per questo motivo, le banche si affidano maggiormente alla sicurezza remota.
sicurezza informatica
Tuttavia, come verificare a distanza se la persona che utilizza la carta ha il diritto di farlo? Nel caso delle transazioni online (come i prelievi di contanti dagli sportelli automatici), la sicurezza visiva diventa meno importante e la sicurezza elettronica diventa più importante. Grazie a loro, l’emittente della carta (la banca) può assicurarsi che una determinata operazione sia stata ordinata dal vero titolare della carta e non una frode.
La sicurezza principale della carta è un PIN (Personal Identification Number). È una sorta di “firma elettronica” del proprietario della plastica ed è trattata dagli istituti finanziari alla pari con una firma autografa. Questo codice a quattro cifre ti consente di effettuare transazioni nei negozi e prelevare denaro dagli sportelli automatici e allo stesso tempo protegge i nostri risparmi, ovviamente solo se ci prendiamo cura della loro sicurezza e non li condividiamo incautamente con i ladri.
La sicurezza elettronica comprende anche una banda magnetica e/o un chip. È in questi punti che il set di dati codificato si trova sul supporto di plastica. Le informazioni memorizzate nel chip del processore sono complementari alla sicurezza visiva della carta e vengono utilizzate per consentire transazioni a distanza.
Carta a banda magnetica vulnerabile alle frodi
Il nastro magnetico è costituito da tre percorsi, ovvero campi magnetici paralleli, che vengono letti da un’intestazione magnetica situata in un bancomat o in un terminale. La prima traccia contiene il nome e cognome del titolare della carta, nonché i dettagli del paese e della banca che ha emesso la carta. La seconda traccia contiene il numero della carta, la sua data di scadenza e il codice del servizio necessario per completare correttamente la transazione. D’altra parte, il terzo percorso viene utilizzato per registrare le informazioni sulla banca privata.
Sfortunatamente, le funzionalità di sicurezza utilizzate in questo tipo di carta sono molto facili da decifrare. Utilizzando un dispositivo chiamato programmatore, i truffatori possono facilmente copiare il contenuto del nastro e trasferire i dati sensibili della scheda sulla sua copia. Una carta clonata funziona proprio come la carta originale e le transazioni vengono effettuate con essa a beneficio del legittimo proprietario.
Chip card più resistenti alla copia
Le smart card che hanno sostituito le carte a banda magnetica sono dotate di un sistema di sicurezza molto migliore. Oltre al microprocessore, contiene anche una ROM permanente su cui è caricato il sistema operativo. Eccelliamo in:
- area di lettura libera – contiene i dati crittografati del titolare della carta: il suo nome, cognome, numero di identificazione della carta, data di scadenza, nonché il nome dell’istituto finanziario che l’ha emessa;
- Area segreta – accessibile dopo aver inserito il codice PIN. In quest’area vengono archiviate le informazioni sul produttore della carta e i dati riservati dell’utente;
- Area di lavoro – dove vengono archiviati i dati variabili (ad es. elenco delle transazioni con carta, saldo del conto bancario, contatori delle transazioni, ecc.).
Inoltre, il chip è dotato di un coprocessore per la codifica, che funziona sulla base di algoritmi complessi. Inoltre, la comunicazione tra il programma e il processore può anche essere crittografata, che è un’ulteriore protezione contro gli attacchi avanzati degli hacker.
In breve, il chip incorporato nella carta utilizza tecniche di crittografia multifase e genera dati dinamici univoci per ogni transazione (la cosiddetta firma del messaggio). Di conseguenza, è quasi impossibile copiare le informazioni sulla smart card.
La sicurezza copre il processo di autorizzazione
Quando paghiamo con una carta in un negozio o con il suo aiuto ritiriamo contanti da un bancomat, la nostra banca deve assicurarsi di avere il diritto di farlo e non fingere di essere il legittimo proprietario della plastica. Questo processo si chiama autorizzazione e la transazione online si svolge così: un bancomat o dispositivo terminale legge i dati dal chip o dalla banda magnetica e li invia all’acquirente che verifica la validità della carta. In tal caso, l’acquirente è tenuto a inserire il codice PIN, che è ancora crittografato nel dispositivo e inviarlo alla banca in questo modulo (quindi anche una persona che lavora nel centro autorizzazioni non può leggerlo). Se il PIN è corretto, il computer del centro di fatturazione consente la transazione.
Va notato che i sistemi di autorizzazione delle banche dispongono di misure di sicurezza aggiuntive integrate per aiutare a rilevare le frodi, ovvero le transazioni con carta non convenzionali e sospette. Se un determinato pagamento differisce dal tipico algoritmo di transazione che un determinato cliente effettua, ad esempio alle 13 paga con una carta a Żabka, e dopo qualche ora acquista una Mercedes in Florida, la banca potrebbe decidere di cadere nelle mani sbagliate e interrompere il processo di autorizzazione (o anche all’insaputa del titolare della carta di bloccare la carta).
Le transazioni offline sono consentite in modo leggermente diverso, ad esempio con una carta contactless. In questo caso, l’ATM o il terminale non contatta il centro di autorizzazione della banca e controlla i dati necessari per completare la transazione stessa. Come ulteriore misura di sicurezza, il dispositivo verifica automaticamente se una determinata carta non è inclusa nella cosiddetta sospensione delle ferie, ovvero l’elenco delle carte rubate e riservate. In questo caso, il dispositivo interrompe l’autorizzazione e visualizza un messaggio al rivenditore che a questo punto deve conservare la carta.
Abbiamo discusso in dettaglio il percorso del processo di licenza in questo articolo.
Sicurezza dei pagamenti online
Meno chiara è la situazione relativa alla messa in sicurezza delle transazioni online, durante le quali il venditore non è in grado di valutare visivamente l’autenticità della carta, e l’unica forma di verifica dell’identità del proprietario della plastica è il codice CVC2/CVV2 a tre cifre . Se un ladro ruba la nostra carta, non è necessario che conosca il PIN: tutto ciò che deve fare è fornire i dettagli sensibili della carta e i pagamenti per gli acquisti verranno addebitati sul nostro conto.
Una soluzione per prevenire questo tipo di frode è il servizio 3D Secure offerto dalla maggior parte delle banche polacche. Consiste in un’ulteriore conferma della transazione utilizzando una password monouso. A seconda dello strumento di autorizzazione che utilizziamo, potrebbe essere un codice di un messaggio di testo, un gratta e vinci o un token. Dopo aver confermato che la persona che ha effettuato l’acquisto è l’effettivo titolare della carta, la banca inoltra la transazione per ottenere la normale autorizzazione.
Vale la pena notare che anche i proprietari di negozi online sono obbligati a garantire la sicurezza delle transazioni. Prima di tutto, devono garantire ai propri clienti che il trasferimento di dati tra i loro computer di casa e il server in cui sono ospitati il sito Web e il database nel negozio sia resistente agli hacker. Lo strumento principale che abilita tale protezione è un certificato SSL (Secure Socket Layer). Ha tre importanti funzioni:
- Consente di crittografare i dati, grazie alla totale riservatezza;
- protegge l’integrità dei dati in transito – i dati non possono essere modificati da terzi o questa modifica viene rilevata automaticamente;
- Gli utenti sono garantiti che sono atterrati su una pagina sicura e non sono stati reindirizzati a un sito falso ma confusamente simile.
Le informazioni che il negozio online dispone di un certificato SSL vengono visualizzate nell’indirizzo del sito Web: il prefisso “https” indica che il sito Web sta utilizzando una connessione crittografata. L’icona aggiuntiva è l’icona del lucchetto o il campo dell’indirizzo verde.
Tuttavia, molti grandi negozi online utilizzano un sistema di sicurezza aggiuntivo molto rigoroso, sviluppato congiuntamente dalle più grandi organizzazioni di pagamento. Il cosiddetto standard PCI DSS (Payment Card Industry Data Security Standard) copre 12 aree importanti relative alla memorizzazione, spedizione ed elaborazione dei dati che identificano le singole carte. Il mancato rispetto dei requisiti PCI DSS può comportare gravi conseguenze commerciali e finanziarie per la Società e può anche comportare la sua esclusione dalla partecipazione al servizio di carte di pagamento.
sicurezza futura
Tuttavia, forse – in un futuro piuttosto lontano – verranno implementate misure di sicurezza che ridurranno quasi a zero i tentativi di frode delle carte e renderanno più facile la verifica dell’identità dell’utente di plastica.
Oggi, le più grandi organizzazioni di pagamento stanno già lavorando su carte biometriche che consentono di identificare una persona specifica in base a caratteristiche fisiologiche uniche, come il modello delle impronte digitali, la disposizione vascolare, il modello dell’iride o la geometria della mano.
Una soluzione alternativa potrebbero essere le carte bancarie sotto forma di un chip impiantato sotto la pelle con un’unità NFC, che ora viene utilizzata nelle carte contactless. Queste carte non possono essere contraffatte o impersonate in alcun modo, quindi il loro unico punto debole sarà la trasmissione dei dati.
Puoi leggere ulteriori informazioni sulle carte con un PIN biometrico in questo articolo.
Sommario
È vero, l’introduzione della sicurezza ottica e dei chip ha impedito la clonazione delle carte di pagamento, ma i criminali non si sono arresi. Oggi la vera battaglia per la sicurezza delle carte di pagamento si svolge nel cyberspazio e i luoghi più vulnerabili agli attacchi sono i canali di trasmissione utilizzati per trasmettere i dati necessari all’iter autorizzativo. Intercettare le informazioni memorizzate nel processore della carta consente comunque di impersonare il proprietario della plastica ed effettuare pagamenti sul suo conto.
Tuttavia, a volte i criminali non devono impegnarsi molto, perché noi stessi – incautamente – forniamo loro questi dati. Le frodi con carte di pagamento rappresentano attualmente il 92% di tutti i reati contro i clienti bancari. Pertanto, alla fine, vale la pena notare un’altra componente di sicurezza molto importante della carta, che deve essere il nostro buon senso. Dobbiamo anche occuparci della sicurezza delle carte di pagamento, e usarle con saggezza e attenzione.
Vedi altro
