Nowa linia frontu zapobiegania stratom
Nawet tam, gdzie nowa technologia płatności została w pełni przyjęta, patchworkowa implementacja nadal pozostawia luki, które mogą zostać wykorzystane przez oszustów. Do tego dochodzi zgodność z normami Payment Card Industry (PCI), złożonym zestawem standardów bezpieczeństwa zaprojektowanych w celu ochrony danych posiadaczy kart, które regulują wszystko, od sposobu szyfrowania informacji po certyfikację urządzeń.
Kluczowym elementem zgodności z PCI - i jednym z najmniej rozumianych - jest zarządzanie kluczami kryptograficznymi. Są to cyfrowe kody "lock-and-key", które zabezpieczają każdą transakcję kartą. Bez nich urządzenia płatnicze nie mogą szyfrować wrażliwych danych. Ale jeśli są niewłaściwie obsługiwane, mogą stać się furtką dla oszustw płatniczych.
"Jeśli nie zarządzasz swoimi kluczami ostrożnie, naprawdę otwierasz sobie drzwi do problemów" - ostrzega Bochniarz. "W Stanach Zjednoczonych wymagania dotyczące zgodności są gęste, ale ich egzekwowanie jest niespójne. Stwarza to sytuację, w której wielu sprzedawców detalicznych jest narażonych na ryzyko, nawet nie zdając sobie z tego sprawy".
Dlatego właśnie istnieją urządzenia do wprowadzania kluczy (KIF). KIF to wysoce bezpieczne środowisko, w którym te klucze kryptograficzne są ładowane do urządzeń płatniczych.
Bochniarz porównał to do obsługi kodów nuklearnych. Prawidłowo przeprowadzony, jest jednym z najważniejszych zabezpieczeń sprzedawców detalicznych przed oszustwami. Źle wykonany, tworzy długoterminowe luki w zabezpieczeniach.
"Część handlu detalicznego związana z płatnościami tradycyjnie funkcjonuje w swoim własnym świecie" - wyjaśnia Bochniarz. "Chodzi o banki, procesory, urządzenia, oprogramowanie, certyfikaty itp. Każdy element musi do siebie pasować. A jeśli jeden z nich jest zły, cały system jest podatny na zagrożenia".
Jednocześnie technologia płatności szybko ewoluuje. Terminale stały się wielofunkcyjnymi superkomputerami, które mogą uruchamiać aplikacje, a nie tylko przetwarzać przeciągnięcia. Ta ewolucja oznacza, że nie ma już sensu, aby "przetwarzanie płatności" działało w całkowitej izolacji od innych aspektów zarządzania sprzedażą detaliczną.
"Obecnie można wbudować wykrywanie oszustw, programy lojalnościowe, a nawet monitorowanie oparte na sztucznej inteligencji bezpośrednio w punkcie sprzedaży" - powiedział Bochniarz. "RFID i Bluetooth mogą również powiązać zapasy z transakcją w czasie rzeczywistym. Jeśli wiesz dokładnie, co opuściło półkę i jak za to zapłacono, możesz połączyć punkty z zapobieganiem stratom, dokładnością zapasów i personalizacją klienta".