La responsabilité d'une transaction contestée incombe au commerçant pour les transactions sans carte. Essentiellement, si vous contestez une transaction, si le commerçant n'a pas votre signature, alors si vous persistez, il finira par payer la facture. De même, lorsqu'un commerçant CNP vous facture deux fois, il finit par payer lorsque vous contestez la facture.

Comme le souligne @DavidFoerster, les processeurs et les sociétés de cartes suivent les taux de rétrofacturation. Ils lorgnent les statistiques et, lorsqu'un commerçant a trop de rejets de débit, ils sont coupés. (Habituellement, ils sont démarrés à partir de leur processeur et vont trouver un autre processeur qui les facturera plus pour le risque plus élevé).

La même chose est vraie avec les magasins qui réutilisent les cartes ailleurs. Les marques de cartes examinent les rapports de fraude et déterminent que ces 20 rapports de fraude avaient tous en commun Bob's Web Shack en tant que transaction passée. Ils enquêteront ensuite sur Bob's Web Shack - à la fois parce qu'il pourrait s'agir d'un mauvais propriétaire de magasin et parce qu'il pourrait s'agir d'un magasin compromis. Et - encore une fois - si une boutique est une source de problèmes, elle sera coupée.

C'est ce qui empêche les propriétaires de boutique en ligne d'abuser des cartes. Ils perdront tous les litiges, puis ils seront abandonnés et ne pourront plus traiter les cartes.

Si vous le faites à grande échelle, vous êtes découvert

Comme pour la plupart des crimes, il n'y a vraiment rien qui vous empêche de le faire si vous êtes déterminé, à part les risques et les conséquences être découvert. Pour les petits et rares événements, il est radié par les sociétés CC comme un coût d'exploitation. Pour les scénarios importants ou fréquents, les gens sont découverts et vont en prison.

Point d'achat commun

L'analyse des schémas de fraude se fait sérieusement, beaucoup de personnes talentueuses et de ressources financières s'en vont à le faire correctement. Tous ces risques ne sont pas nouveaux - avant que les boutiques en ligne ne soient courantes, les employés de divers magasins physiques avaient la capacité de faire de même. Par exemple, un serveur de restaurant a accès à un grand nombre de cartes et peut abuser de ses données.

Si c'est une seule fois, alors il n'y a pas de modèle à découvrir, mais c'est en cours, alors ce n'est pas si difficile pour déterminer automatiquement qu'un groupe de cartes utilisées à mauvais escient partage un point d'achat commun , puis auditer cet emplacement - en fonction de l'ampleur de la fraude, cela peut entraîner des actions de la police ou simplement mettre sur liste noire l'entreprise et d'autres entreprises les mêmes propriétaires ou la même direction.

De plus, ces risques font partie des raisons pour lesquelles il n'est pas trivial de démarrer une boutique en ligne où vous avez réellement accès aux données CC. Souvent, les banques n'autorisent pas les petites entreprises au hasard à accepter les cartes en ligne directement - elles les acceptent à condition que toutes les autorisations passent par une passerelle de paiement fiable et que votre entreprise reçoive simplement un jeton signé "paiement de $ xxx accepté "et non les données complètes de la carte. Si vous souhaitez gérer vous-même les données CC, préparez-vous à diverses vérifications de conformité.

Pour accepter les paiements, de nombreuses sociétés de traitement de cartes de crédit exigent que le code du client soit conforme à la norme PCI. Je ne suis pas sûr de toutes les règles, mais je pense qu'il faut que quelqu'un qui n'a pas écrit le code l'examine. Avec d'autres, tels que Stripe et PayPal, les données de la carte de crédit ne touchent jamais le serveur du propriétaire de la boutique. Dans le cas de Stripe, JavaScript le leur soumet, puis renvoie un jeton au serveur du propriétaire de la boutique indiquant qu'il a payé, qu'il a été effectué et qu'il peut être utilisé pour des remboursements.

Voir:

https://www.controlscan.com/support-resources-qa.php

https://www.controlscan.com/support -resources-qa.php # 6

Qu'est-ce qui les arrête? Rien que les conséquences.

Cependant, il existe des services de traitement tiers que les grands marchands en ligne peuvent utiliser, qui gèrent toutes les transactions par carte de crédit et, dans le cadre de leur contrat avec le marchand, sont responsables de compromis de ces données. Dans ces arrangements, le commerçant lui-même ne voit jamais du tout le numéro de carte de crédit; ils n'obtiennent qu'un jeton qui peut être utilisé pour facturer à nouveau la même carte via le tiers, mais qui est inutile pour tout attaquant. (Et si le tiers est compromis et que des millions de numéros sont divulgués, les marchands peuvent se laver les mains de tout.)

Bien sûr, même lorsqu'un marchand utilise un tel tiers, les utilisateurs finaux doivent simplement se croire sur parole, si le commerçant le divulgue même. Et bien sûr, rien n'empêcherait un employé corrompu d'un tiers d'arnaquer les numéros.

Pour votre question, il est possible d'utiliser la cryptographie pour sécuriser les transactions en ligne. Les cryptosystèmes numériques en espèces existent là-bas. Mais l'expérience utilisateur de l'utilisation d'un tel système est généralement plus compliquée, et ce n'est que l'un des nombreux obstacles à une adoption généralisée.

Dans la vraie vie, je gère une petite boutique. Vous pouvez nous payer en personne ou par téléphone avec une carte de crédit.

Une fois la transaction effectuée, nous ne pouvons pas "voir" les numéros de carte de crédit, ils sont bloqués et traités par la société de traitement des cartes de crédit.

Si moi ou mes employés essayions d'enregistrer les numéros des transactions par téléphone, de les utiliser à mauvais escient: je ne pense pas que cela prendrait TROP de temps pour comprendre, que tout les victimes vivaient dans le même quartier et utilisaient notre boutique.

============================== ==============

Dans une situation de commerçant en ligne, je ne pourrais même pas gérer ou voir les numéros de carte de crédit. La société de traitement des cartes de crédit déposait simplement de l'argent sur un compte pour moi. Je suppose que je pourrais essayer d'amener les clients à m'envoyer un e-mail avec les informations de leur carte de crédit, mais je ne pense pas que trop de clients tomberaient dans cette astuce, lol.

Les détaillants les plus «sales» en ligne jouent avec quel article ils vous ont envoyé, ou s'ils ont même envoyé les articles, ou ... surfacturent les frais d'expédition. Ils gagnent déjà de l'argent, et ils pourraient essayer d'en gagner un peu plus.

Mais, comme je peux le voir, il faut qu'un tiers malveillant intercepte et utilise à mauvais escient les informations de carte de crédit.

De nos jours, la plupart des boutiques en ligne vous redirigent vers une page de vérification hébergée par votre fournisseur de carte. Là, vous devez entrer un mot de passe (généralement une partie seulement) pour vérifier que vous êtes le propriétaire de la carte. Cela n'empêche pas le propriétaire de la boutique de voler les détails de votre carte, mais il ne peut pas voir le mot de passe de sécurité, ce qui l'empêche de faire des achats sur des sites Web utilisant la fonction de vérification.

Malheureusement, tous les magasins n'utilisent pas cette fonctionnalité, mais à mesure que de plus en plus l'adoptent, il devient plus difficile d'utiliser des informations de carte volées.

Jusqu'à ce que vous achetiez sur le site Web de grandes entreprises, vous êtes en sécurité. Pour les petits magasins inconnus, un bon moyen de rester en sécurité est d'utiliser PayPal: les détails de la carte sont stockés sur les serveurs PayPal, ou vous les saisirez sur leur page s'ils ne sont pas déjà enregistrés. De cette façon, la boutique ne recevra pas vos coordonnées.

PCI DSS est une liste de contrôle de conformité aux normes que les magasins souhaitant gérer les informations CC doivent adhérer. Mais, comme la réglementation n'est pas largement appliquée dans le monde entier, c'est tout comme les normes ISO.

Dans le passé, les boutiques en ligne utilisaient paypal. Ou téléphonez à leurs achats via leurs propres comptes marchands auprès des banques. Cependant, le risque de rejet de débit, de fraude via le Web, a facilité le stationnement du risque avec une contrepartie. Paypal et quelques autres ont été les premiers à prendre ce risque.

Maintenant, vous verrez que la plupart des sites de commerce électronique vous mènent à une autre page avec le site de contrepartie qui gère les transactions, juste pour qu'ils ne le fassent pas doivent prendre le risque. Il s'agit d'un modèle commercial viable pour la plupart, car la boutique en ligne n'a pas à prendre en charge le coût de la fraude, mais pourrait devoir payer des frais.

Si vous regardez le modèle de risque de Shopify, vous constaterez que ce qu'ils font, c'est aller plus loin que la propagation de la fraude dans leur système.

Il y a beaucoup de facteurs en jeu ici.

Premièrement, la passerelle de paiement est un composant important - les données CC cryptées sont transférées du navigateur de l'utilisateur à la passerelle. Dans certains cas, ils peuvent passer par le serveur Web du commerçant pour collecter les données de transaction (dans ce cas, toute la conformité aux normes PCI DSS entre en jeu), parfois la passerelle peut contourner complètement le serveur Web du commerçant et obtenir les données de transaction sous forme de chiffrement séparé. connectés depuis le serveur marchand (pas sûr de la conformité PCI dans ce cas).

Après avoir obtenu les informations de paiement et les informations de transaction, elles sont transmises au serveur de traitement des paiements de la banque qui les redirige vers les associations respectives (Visa, Mastercard, Amex etc.) qui le transmet à nouveau à la banque émettrice pour validation et vérification de la limite de crédit / du solde du compte. Une fois validées, elles envoient une réponse de succès qui suit le chemin inverse vers le marchand.

En ce qui concerne les transactions frauduleuses, la plupart des cartes de nos jours ont une troisième couche de protection (appelée paiement 3D) - cela peut être soit un code / mot de passe (par exemple, code sécurisé de la carte maîtresse, etc.) ou un OTP (mot de passe unique envoyé au numéro de téléphone mobile enregistré) (par exemple, dans les cartes AMEX et Citi) que l'utilisateur doit saisir lorsque la transaction atteint les serveurs de traitement des paiements, minimisant ainsi le risque de transactions frauduleuses.

En dehors de ceux-ci, ils suivent l'adresse IP de votre ordinateur. Je serais plus préoccupé par les données personnelles que je donne au commerçant à chaque transaction - par exemple, nom, date de naissance, adresse, numéro de téléphone, etc. Je ne connais aucun protocole de conformité à l'échelle de l'industrie pour ces derniers et il pourrait donc y avoir un énorme risque d'utilisation abusive.