Kartowa przestępczość rośnie
Nasilająca się kartowa przestępczość wymaga od organizacji płatniczych, banków oraz Policji coraz skuteczniejszych narzędzi do walki z nią. Karty płatnicze, jako instrument zastępujący gotówkę, jest bardzo podatny na działania przestępcze.Szczególnie groźnym procederem jest skimming, czyli klonowanie kart płatniczych, oraz dokonywanie zakupów w Internecie z podaniem cudzego numeru karty. Oba wskazane typy przestępstw są wynikiem niedoskonałości w budowie karty oraz systemie jej autoryzacji.
W przyszłości nowe technologie wyeliminują te pola przestępczości, lecz jest pewne, że w takiej sytuacji przestępcy znajdą inne sposoby, by przejmować pieniądze swoich ofiar.
Co się bankom opłaca?
Choć zewsząd słychać narzekania na ogromną ilość przestępstw kartowych, to już dziś są dostępne narzędzia pozwalające w znacznym stopniu to zjawisko wyeliminować. Rozwiązania te mają wszakże jedną poważną wadę - najczęściej ich wprowadzenie wymaga dużych inwestycji. Wielu bankom bardziej opłaca się przerzucanie kosztów takich oszustw na klientów, niż wdrożenie systemów chroniących przed tego rodzaju stratami.Jednym z narzędzi pozwalających na znaczne ograniczenie kartowej przestępczości, a głównie skimmingu i zakupów w Internecie na cudzy rachunek, jest skuteczny i wydajny monitoring transakcji. Monitoring taki jest obecnie prowadzony przez wszystkie centra rozliczeniowe oraz przez niektóre z naszych banków.
O ile monitoring dokonywany przez centrum rozliczeniowe może wychwytywać oszukańcze transakcje, wykonywane seriami w tym samym punkcie handlowym lub na stronie internetowej, o tyle monitoring, prowadzony przez bank wydający kartę, dzięki informacjom, jakie bank posiada o swoim kliencie oraz specjalnym algorytmom, powinien być w stanie wychwycić większość prób nieautoryzowanego użycia karty lub danych o niej.
Telefon z banku
Reakcją banku na podejrzenia o oszukańczej transakcji jest próba kontaktu z klientem. Kontakt taki następuje przez telefon. Banki posiadają różne procedury na wypadek sytuacji, gdy kontaktu z klientem nawiązać nie można.Banki starają się jednak minimalizować ilość alarmów i telefonów do klienta. Obawiają się bowiem, że za duża ich częstotliwość mogłaby go zirytować. Dodatkowo każdy wykonany telefon to dla banku koszty w postaci opłaty za połączenie oraz czasu pracownika. Dlatego właśnie banki ustawiają progi alarmowe dość wysoko, tak, by nie niepokoić klientów zbyt wieloma fałszywymi alarmami.
Trudno jest dokładnie oszacować, ile oszukańczych transakcji nie jest wychwytywanych przez banki, właśnie z powodu takiego postępowania. Samych klientów coraz mniej irytują telefony z banku, a wręcz przeciwnie, są one dla nich sygnałem, ze ktoś na bieżąco stara się chronić ich pieniądze.
Producenci systemów monitorujących modyfikują także procedury reakcji banku na informacje o potencjalnie oszukańczych transakcjach. Model, w którym pracownicy banku dzwonią do klientów z pytaniem o potwierdzenie wykonania transakcji, przestaje się sprawdzać w przypadku bardzo dużej liczby posiadanych przez bank kart. Skutkuje to koniecznością zatrudniania dużej liczby pracowników lub też ignorowaniem części ostrzeżeń.
Systemy wdrażane obecnie przez największych wystawców kart w Europie zakładają, że ostrzeżenia byłyby wysyłane do klientów przy wykorzystaniu wiadomości SMS, lub przy wykorzystaniu systemu automatycznego IVR (do klienta dzwoniłby automat). W tak dostarczonej klientowi wiadomości znalazłaby się informacja, co należy zrobić, jeśli transakcji nie dokonał prawowity posiadacz karty.
Centrum monitoringu
Centra autoryzacyjne monitorują wszystkie transakcje dokonywane za swoim pośrednictwem. Chodzi tu zarówno o transakcje dokonywane w Internecie, jak i płatności wykonywane za pośrednictwem terminali POS.W przypadku płatności internetowych, istnieje duże ryzyko wykorzystywania przez przestępców cudzych numerów kart do dokonywania transakcji. Systemy monitoringu w przypadku takich transakcji stosują specjalne filtry, wychwytujące wielokrotne przeprowadzanie transakcji oraz próby sondowania przez przestępców kwoty dostępnego limitu karty (transakcje na coraz niższe kwoty, aż do uzyskania autoryzacji). Centra sprawdzają także dodatkowe dane wprowadzane przez klientów, np. adresy.
Przestępcy często nie zadają sobie trudu, i za każdym razem, dokonując transakcji tym samym numerem karty, wpisują inne dane dodatkowe. System jest w stanie to wykryć i zablokować taką transakcję. Dodatkowo centrum autoryzacyjne informuje bank - wystawcę o konieczności zastrzeżenia takiej karty.
W przypadku transakcji w terminalach POS, monitoring służy wychwytywaniu prób użycia skradzionych lub sklonowanych kart. Pomaga także w wychwytywaniu nieuczciwych, współpracujących z przestępcami sprzedawców. Ponieważ system taki może analizować tylko transakcje wykonywane w sieci danego centrum rozliczeniowego, to brana pod uwagę jest tylko seryjność transakcji oraz wysokość ich kwoty. Jeśli coś wzbudzi podejrzenia sytemu, to kontaktuje się on z wystawcą karty, a ten próbuje nawiązać kontakt z jej posiadaczem.
System monitoringu centrum autoryzacyjnego, jak już wspomniałem, ma tą wadę, że nie obejmuje wszystkich transakcji dokonywanych daną kartą płatniczą. Jest natomiast bardzo dobrym uzupełnieniem systemów stosowanych przez samych wydawców. Niestety, niektóre banki nie posiadają systemów monitoringu, i w takiej sytuacji ten dość ułomny monitoring jest jedynym, który może ochronić bank i posiadacza karty przed działalnością przestępców.
Monitoring bankowy
Monitoring prowadzony przez bank jest bardziej skuteczny. Wydaje się, że nowoczesny system monitoringu bankowego powinien wychwycić prawie wszystkie próby dokonywania transakcji przestępczych. Do banku - wystawcy karty trafiają bowiem informacje o wszystkich dokonywanych daną kartą transakcjach. Bank dysponuje także wiedzą historyczną o sposobach, w jaki dany klient korzysta z karty. Jest to wiedza wystarczająca do sprawnego wychwytywania prób oszustw.W przypadku monitoringu bankowego funkcjonują obecnie dwa podstawowe rodzaje systemów monitoringu. Pierwszy to systemy oparte o reguły (rule based), czyli odnoszące dokonywaną transakcję do zaprogramowanych wcześniej reguł. To zgodność lub nie z tymi regułami świadczy, czy dana transakcja może być transakcją oszukańczą.
Drugi model to tzw. monitoring inteligentny, oparty o koncepcję sieci neuronowych. Tego rodzaju systemy "uczą się" zachowań klientów i przestępców, by potem prawie bezbłędnie identyfikować oszukańcze transakcje.
Tego rodzaju system uczy się jak zachowują się klienci banku oraz w jaki sposób przeprowadzane są próby oszustw. Po pewnym okresie system uzyskuje sprawność i jest w stanie, samodzielnie i niezwykle skutecznie, wychwytywać wszystkie próby oszustw. Większość oferowanych obecnie systemów monitoringu to rozwiązania mieszane. Połączenie sytemu reguł i monitoringu inteligentnego daje bowiem najlepsze rezultaty.
Co jest podejrzane?
Najprostszą regułą, stosowaną w monitoringu przez wszystkie banki, jest kryterium wartości transakcji. Im wyższa kwota transakcji, tym większe prawdopodobieństwo oszustwa. W takiej sytuacji bank próbuje komunikować się z posiadaczem karty. Brana pod uwagę jest także liczba i kwota transakcji w pewnym okresie czasu, np. 24 czy 48 h.System monitoringu funkcjonuje w taki sposób, że za każdą dokonaną transakcję przyznawane są klientowi "punkty niebezpieczeństwa", a kiedy ich suma przekroczy pewną określoną liczbę, bank kontaktuje się z klientem. System taki pozwala na wychwytywanie oszustw, polegających na dokonywaniu wielu transakcji na małe kwoty.
Kolejnym wyznacznikiem jest kryterium geograficzne. Są miejsca na świecie, gdzie przestępstwa kartowe są dokonywane częściej niż gdzie indziej. Takim rejonem jest np. południowo-wschodnia Azja, gdzie międzynarodowe grupy skimmerów dokonują transakcji kartami skopiowanymi na innych kontynentach. Jeśli zdarzy się nam dokonywać transakcji na kwotę około 2.000 zł podczas wycieczki do Tajlandii, jest prawie pewne, że otrzymamy telefon z naszego banku z prośbą o potwierdzenie transakcji.
Nowoczesne systemy monitoringu posiadają algorytmy, które mogą eliminować potencjalnie przestępcze transakcje, opierając się na danych, dotyczących czasu podróży i przemieszczania się. Jeśli na przykład dokonano transakcji kartą o godzinie 12 w Warszawie, to transakcji w Paryżu można dokonać dopiero po upływie co najmniej 2,5 godzin, tak samo w Moskwie. Transakcję w Singapurze można wykonać dopiero po 12 h, gdyż tyle co najmniej trwa podróż na trasie Warszawa-Singapur. Oczywiście system ten jest tym skuteczniejszy, im więcej transakcji dokonuje kartą jej właściciel.
Natomiast systemy oparte o sieci neuronowe uczą się, jak korzysta z karty określony jej posiadacz. "Nauka" trwa cały czas i następuje wraz z każdą wykonaną transakcją. Każdy posiadacz karty korzysta z niej w pewien ściśle określony sposób, który jest ma tyle indywidualny, że może służyć do identyfikacji danej osoby.
Prawdopodobieństwo, że przestępca będzie używał karty w taki sam sposób, jak jej prawowity właściciel, jest prawie równe 0. Dlatego prawdopodobieństwo wykrycia oszustwa już na etapie dokonywania transakcji zbliża się do 100%.
Organizacje wchodzą do gry
Ponieważ mniejsze banki nie mogą pozwolić sobie na nowoczesne systemy monitoringu, to organizacje płatnicze Visa i MasterCard starają się wbudować tego rodzaju systemy w swoją infrastrukturę, służącą akceptacji kart.Niedawno Visa zapowiedziała uruchomienie od 1 kwietnia 2004 roku systemu o nazwie Visor (Visa Intelligent Scoring of Risk). Jest on zbudowany w oparciu o system Falcon firmy Fair Isaac, i został włączony do ogólnoświatowej sieci autoryzacyjnej Visanet.
System ten ocenia i przydziela poziom ryzyka dla danej transakcji, dokonywanej kartą Visa. Informacja na ten temat przekazywana jest przez Visanet do banku - wystawcy karty. Dalsze jej wykorzystanie następuje w banku, w taki sam sposób, jakby informacja o transakcji pochodziła z jego wewnętrznego systemu monitoringowego. Taki system zastąpi stosowany obecnie przez Visa system CRIS Online 2.
MasterCard oferuje podobny produkt o nazwie RiskFinder, który funkcjonuje w sieci autoryzacyjnej Banknet. Jest on także oparty o rozwiązania dostarczone przez firmę Fair Isaac.
Podsumowanie
Systemy kartowego monitoringu są dziś koniecznym elementem infrastruktury akceptacji kart. Choć w większości są one bardzo drogie we wdrożeniu, to ich instalacja pozwala na minimalizowanie strat związanych z działalnością kartowych przestępców. Przy dzisiejszym poziomie tej przestępczości, oraz w perspektywie jej dalszego szybkiego wzrostu, implementacja tego rodzaju systemów wydaje się być niezbędna i opłacalna.Niektóre z polskich banków już posiadają tego rodzaju systemy. Pozostałe banki wdrażają lub dopiero zamierzają stworzyć tego rodzaju systemy. Mniejszym bankom, które samodzielnie nie są w stanie tego zrobić, pomagają organizacje płatnicze, zapewniając własne systemy monitoringu. Trzeba stwierdzić, że systemy tego rodzaju są niezbędne dla dalszego normalnego i zrównoważonego rozwoju naszego rynku kart płatniczych.
Źródło:Informacja prasowa
