ペイメントカードのセキュリティ
最新のペイメントカードには、使用のセキュリティレベルを高める多くの技術ソリューションが装備されています。これらのセキュリティ機能は、一方ではカードを適切に保護する必要があり、他方では、カードの販売者、購入者、および発行者（銀行）が簡単に確認できる必要があります。彼らは次のことを確認する必要があります。
- カードはオリジナルであり、犯罪者によって偽造されていません。
- その所有者は、すでに治療を受けたと主張する人です。
したがって、詐欺の可能性を減らすために、カード組織と銀行はマルチレベルのセキュリティシステムを使用しています。それは、その個々の領域が互いに補完するように構築されています。このシステムには次のものが含まれます。
- 明白なおよび秘密の視覚的セキュリティ;
- カードに組み込まれた電子セキュリティ。
- セキュリティ対策は、支払い承認プロセス中のデータ送信を保護します。
視覚的セキュリティ
偽造や不正使用からのペイメントカードの主な保護は、パーソナライズ、つまり、特定の顧客、銀行、およびカード組織へのカードの割り当てです。このセキュリティスイートには次のものが含まれます。
- 16桁のカード番号（顔の下部にエンボス加工）。
- カードの有効期限、MM / YY形式で指定-古いカードは自動的に予約するか、ATMまたはPOSで拒否する必要があります。
- カード所有者の名前と名前-カードは、個人データがプラスチックに記載されている人のみが使用できます。
- 3桁のCVC2/CVV2コード。これは、PINを使用できないリモートトランザクションのセキュリティ機能です。カードの裏面と銀行の情報技術システムにのみ配置されます。
- 所有者の署名（名刺の場合は会社名が刻印されています）。署名されていないカードは無効と見なされます。
- 各支払いカードには、システムロゴ（VISA、Eurocard / Mastercard、PolCard、American Expressなど）も含まれている必要があります。
興味深い事実は、別の形式のセキュリティは、カードに表示されるすべてのアイテムの正確な順序であるということです。各販売者は、デバイスとともに、個々の詳細の順序が説明されているオペレーターからの指示を受け取ります。たとえば、販売者向けのPaySquareガイドラインには、Masterdcardブランドのカードの場合、「カード番号の下の4桁は、カード番号の最初の4桁と一致し、カードの「5」で始まる必要があります。数字」は四角形のブロックで順番に並べる必要があり、サイズと形状は同じです。
もちろん、カードのパーソナライズだけがセキュリティではありません。さらに、カード発行者は、プラスチックの偽造を困難にする特別なマーキングを付けています。この一連のセキュリティ機能には、ホログラム、グラフィックス、ファインプリント、およびUV光の下でのみ表示される文字の要素が含まれています。
ホログラム
ホログラムは、薄いレーザー感光性フォイルに刻印された3次元光学タグです。ホログラムの内容は、正しい光と正しいカード位置に表示されます。ホログラムは、ホットスタンピングフォイルと呼ばれる方法を使用してカード材料に溶け込むため、削除または変更することはできません。
ホログラムは、ペイメントカードの最高のオープンセキュリティ機能の1つです。大きな利点は、たとえば店舗、レストラン、ガソリンスタンドなど、取引の場所で追加のデバイスを必要としないマーチャントによる迅速な検証の可能性です。
ホログラムの使用は非常に高価ですが（マトリックスのコストが非常に高いため）、逆説的に言えば、詐欺師が「偽物」を作成するのを防ぐのはこの要因です。残念ながら、犯罪者が高価な印刷機に投資し、一見オリジナルのホログラムを備えたカードを作成できる場合があります。
おもしろい事実：数年前、ポーランドの警察は、この方法で2,000人以上を結成したギャングを解体しました。クレジットカード、そして彼らの助けを借りて、商品は少なくとも150万ズウォティでだまされました。
セキュリティグラフィックスとファインプリント
これらのアイテムは、肉眼で見るのが難しいため、定格安全機能として分類されます。これらは非常に複雑で不規則で小さなグラフィックであり、特殊なテープで印刷する過程でカードに適用されます。
マイクロプリントは、適切な光と高倍率でのみ表示されるため、カード販売店はそれらを確認する必要はありません。これらは、法執行機関による調査中に専門の調査レベルでカードを検証するためによく使用されます。
紫外線で見える安全機能
原則として、これらは支払い組織のグラフィックシンボルですが、常にではありません。文字は、視聴者が予期しない場所、たとえばカードの隅、磁気ストリップを覆うコーティングの下などに配置する単一の文字である場合もあります。紫外線印刷には特殊なインクを使用しており、肉眼では読めない化学的性質を持っています。
おもしろい事実： UVライトでは、Visaカードの「I」と「S」の間に余分な文字Vが表示されます。Mastercardカードの場合-略語MCはカードの左側にあります。
カード販売者がその真正性について予約している場合、彼はこの保証を独自に確認できます（ただし、これは必須の義務ではありません）。ただし、加盟店の指示の端末オペレーターは、特定のタイプのカードのUVコンポーネントが何であるかを常に示しているため、加盟店はそれがどこにどのマークを表示するかを知っています。
署名テープ-特別な保護
カードの非常に保護された要素の1つは、プラスチックのカードホルダーが署名を付ける背面のストラップです。この場所には、UV印刷やインターロッキングエンボスなど、さまざまなセキュリティ機能が備わっています。
さらに、ミニチュアプリントの下には、署名の背景である白いペンキの層があります。バーの名前を不正に削除またはスクラッチしようとすると、サポートが自動的に削除され、破損したフィールドに「VOID」（マスターカード）または「無効なカード」と表示されます。
多くのセキュリティ機能の使用は、オフライントランザクションの場合、売り手がプラスチックの所有者の身元を確認できるようにする署名であるという事実によって決定されます。しかし、私たちがよく知っているように、私たちがカードで支払うときに売り手が私たちのカードを見ることはめったにありません。まず第一に、各カードの徹底的な検証には非常に長い時間がかかるため、第二に、最初にこれを行おうとすると、顧客を永久に失う可能性があります。このため、銀行はリモートセキュリティに依存しています。
サイバーセキュリティ
しかし、カードを使用している人がそうする権利を持っているかどうかをリモートで確認するにはどうすればよいですか？オンライン取引（ATMからの現金引き出しなど）の場合、視覚的なセキュリティはそれほど重要ではなくなり、電子的なセキュリティはより重要になります。それらのおかげで、カード発行会社（銀行）は、特定の操作が詐欺ではなく実際のカード所有者によって注文されたことを確認できます。
カードの主なセキュリティはPIN（個人識別番号）です。これは、プラスチックの所有者の一種の「電子署名」であり、金融機関によって手書きの署名と同等の立場で扱われます。この4桁のコードを使用すると、店舗で取引を行ったり、ATMからお金を引き出したりすることができ、同時に貯蓄を保護できます。もちろん、安全を適切に管理し、泥棒と無謀に共有しない場合に限ります。
電子セキュリティには、磁気ストリップやチップも含まれます。エンコードされたデータセットがプラスチックホルダーに配置されるのは、これらの場所です。プロセッサチップに保存されている情報は、カードの視覚的なセキュリティを補完するものであり、リモートトランザクションを可能にするために使用されます。
不正に弱い磁気ストライプカード
磁気テープは3つの経路、つまり平行磁場で構成されており、ATMまたは端末にある磁気ヘッダーによって読み取られます。最初のトラックには、カード所有者の名前と名前、およびカードを発行した国と銀行の詳細が含まれています。2番目のトラックには、カード番号、有効期限、およびトランザクションを正しく完了するために必要なサービスコードが含まれています。一方、3番目のパスは、プライベートバンク情報を記録するために使用されます。
残念ながら、このタイプのカードで使用されているセキュリティ機能は非常に簡単に解読できます。プログラマーと呼ばれるデバイスを使用して、詐欺師はテープの内容を簡単にコピーし、カードの機密データをそのコピーに転送することができます。複製されたカードは元のカードと同じように機能し、正当な所有者の利益のためにそのカードとの取引が行われます。
よりコピー耐性のあるチップカード
磁気ストライプカードに取って代わったスマートカードには、はるかに優れたセキュリティシステムが搭載されています。マイクロプロセッサに加えて、オペレーティングシステムがロードされる永久ROMも含まれています。私たちは優れています：
- フリーリーディングエリア-カード所有者の暗号化されたデータが含まれています：彼の名前、名前、カード識別番号、有効期限、およびそれを発行した金融機関の名前。
- シークレットエリア-PIN番号を入力するとアクセスできます。この領域には、カードの製造元に関する情報とユーザーに関する機密データが保存されます。
- ワークスペース-可変データが保存される場所（カード取引リスト、銀行口座残高、取引カウンターなど）。
さらに、このチップには、複雑なアルゴリズムに基づいて動作するコーディング用のコプロセッサーが搭載されています。さらに、プログラムとプロセッサ間の通信も暗号化できます。これは、高度なハッカー攻撃に対する追加の保護です。
つまり、カードに埋め込まれたチップは、多段階の暗号化技術を使用し、トランザクションごとに一意の動的データ（いわゆるメッセージ署名）を生成します。その結果、スマートカードに情報をコピーすることはほとんど不可能です。
セキュリティは承認プロセスをカバーします
店舗でカードを使って支払う場合、またはATMから現金を引き出す際に、銀行はプラスチックの正当な所有者になりすましてはいけないことを確認する必要があります。このプロセスは承認と呼ばれ、オンライントランザクションは次のようになります。ATMまたは端末デバイスがチップまたは磁気ストリップからデータを読み取り、カードが有効であることを確認する購入者に送信します。この場合、購入者はPINコードを入力する必要があります。このコードは、デバイスで暗号化されたままで、このフォームで銀行に送信されます（したがって、認証センターで働く人でも読み取ることができません）。PINが正しければ、請求センターのコンピューターが取引を許可します。
銀行の承認システムには、不正行為、つまり、型にはまらない疑わしいカード取引を検出するのに役立つ追加のセキュリティ対策が組み込まれていることに注意してください。特定の支払いが特定の顧客が行う一般的なトランザクションアルゴリズムと異なる場合、たとえば午後1時に彼はジャプカでカードを使用して支払い、数時間後にフロリダでメルセデスを購入すると、銀行は悪意のある人の手に渡ることを決定する可能性があります承認プロセスを中断します（または、カード所有者がカードをブロックすることを知らなくても）。
オフライントランザクションは、たとえば非接触型カードの場合など、多少異なる方法で許可されます。この場合、ATMまたは端末は銀行の認証センターに接続せず、トランザクション自体を完了するために必要なデータをチェックします。追加のセキュリティ対策として、デバイスは、特定のカードがいわゆる休暇の停止、つまり盗まれたカードと制限されたカードのリストに含まれていないかどうかを自動的にチェックします。この場合、デバイスは認証を停止し、この時点でカードを保持する必要があるディーラーにメッセージを表示します。
この記事では、ライセンスプロセスのパスについて詳しく説明しました。
オンライン決済のセキュリティ
オンライン取引の保護に関する状況はあまり明確ではなく、その間、売り手はカードの信憑性を視覚的に評価できず、プラスチックの所有者の身元を確認する唯一の形式は3桁のCVC2/CVV2コードです。 。泥棒が私たちのカードを盗んだ場合、彼はPINを知る必要はありません-彼がする必要があるのは機密性の高いカードの詳細を提供することだけであり、購入の支払いは私たちのアカウントに請求されます。
この種の詐欺を防ぐための解決策は、ほとんどのポーランドの銀行が提供する3Dセキュアサービスです。これは、ワンタイムパスワードを使用したトランザクションの追加確認で構成されます。使用する認証ツールに応じて、テキストメッセージ、スクラッチカード、またはトークンからのコードである可能性があります。購入者が実際のカード所有者であることを確認した後、銀行は通常の承認を得るために取引を転送します。
オンラインストアの所有者も、トランザクションのセキュリティを確保する義務があることに注意してください。まず第一に、彼らは彼らの顧客に彼らの家のコンピュータとウェブサイトとデータベースが店でホストされているサーバーとの間のデータの転送がハッカーに耐性があることを保証しなければなりません。このような保護を可能にする主要なツールは、SSL（Secure Socket Layer）証明書です。これには3つの重要な機能があります。
- 完全な機密性のおかげで、データを暗号化できます。
- 転送中のデータの整合性を保護します-データをサードパーティが変更することはできません。または、この変更は自動的に検出されます。
- ユーザーは、安全なページにアクセスし、偽のサイトにリダイレクトされたのではなく、紛らわしいほど類似したサイトにリダイレクトされたことが保証されます。
オンラインストアにSSL証明書があるという情報は、Webサイトのアドレスに表示されます。「https」プレフィックスは、 Webサイトが暗号化された接続を使用していることを示します。追加のアイコンは、南京錠のアイコンまたは緑色のアドレスフィールドです。
ただし、多くの大規模なオンラインストアでは、最大の決済機関が共同で開発した非常に厳格な追加のセキュリティシステムを使用しています。いわゆるPCIDSS（Payment Card Industry Data Security Standard）規格は、個々のカードを識別するデータの保存、出荷、および処理に関連する12の重要な領域を対象としています。PCI DSS要件に準拠しない場合、会社に深刻な商業的および経済的影響をもたらす可能性があり、また、ペイメントカードサービスへの参加から除外される可能性があります。
将来のセキュリティ
ただし、おそらく-かなり遠い将来に-カード詐欺の試みをほぼゼロに減らし、プラスチックユーザーの身元を確認しやすくするセキュリティ対策が実装されるでしょう。
今日、最大の決済機関は、指紋パターン、血管配列、虹彩パターン、手の形状などの固有の生理学的特徴に基づいて特定の人物を識別できる生体認証カードにすでに取り組んでいます。
別の解決策は、NFCユニットで皮膚の下に埋め込まれたチップの形の銀行カードである可能性があります。これは現在、非接触型カードで使用されています。これらのカードは、いかなる方法でも偽造または偽装することはできないため、唯一の弱点はデータ送信です。
この記事では、生体認証PINを使用したカードの詳細を読むことができます。
概要
確かに、光セキュリティとチップの導入により、支払いカードの複製は妨げられましたが、犯罪者はあきらめませんでした。今日、ペイメントカードのセキュリティをめぐる真の戦いはサイバースペースで行われており、攻撃に対して最も脆弱な場所は、承認プロセスで必要なデータの送信に使用される送信チャネルです。カードプロセッサに保存されている情報を傍受することで、プラスチックの所有者になりすまして、彼のアカウントで支払いを行うことができます。
ただし、私たち自身が（無謀に）このデータを提供するため、犯罪者はそれほど努力する必要がない場合があります。ペイメントカード詐欺は現在、銀行の顧客に対するすべての犯罪の92％を占めています。したがって、最終的には、カードのもう1つの非常に重要なセキュリティコンポーネントに注目する価値があります。これは、私たちの常識である必要があります。また、支払いカードのセキュリティにも注意を払い、賢明かつ慎重に使用する必要があります。
続きを見る
