Перенос ответственности

Visa International и MasterCard International определили в своих планах миграции на микропроцессорную платформу, что начиная с момента Х отвечать за мошенничество с «пластиком» будут те, кто еще не взял смарт-карточки на вооружение. Момент Х уже неоднократно откладывался относительно первоначально намеченных сроков, поэтому конкретную дату называть не имеет смысла.
Очевидно одно: рано или поздно «момент Х» наступит. А как обстоят дела сегодня?

Перенос ответственности

Франция — «всемирный пионер» в области внедрения смарт-карточек. Подавляющее число французских розничных предприятий принимает французские чиповые карточки с проверкой PIN-кода. Если на вашей карточке нет микросхемы — транзакция пройдет как обычно, по магнитной полосе. Однако если попытаться, например купить билет на поезд в билетном автомате на французской железнодорожной станции, воспользовавшись микропроцессорной кредитной карточкой стандарта EMV, выпущенной в Великобритании, Германии или, скажем, России, — будут проблемы. Французские автоматы могут читать только карточки французского стандарта B0 и «не понимают» EMV. Более того, автоматы запрограммированы так, что ввод PIN-кода при совершении смарт-карточной транзакции — необходимое условие. Поэтому, даже будь он способен читать EMV-карточки, транзакция по «чужой» карточке все равно не пройдет: на британских карточках, скажем, сегодня помещается только банкоматный PIN-код.

Это лишь один пример того, как мощная смарт-карточная инфраструктура оказывается совершенно бесполезной (скорее даже вредной) с точки зрения международных транзакций.

Выпускать микропроцессорные карточки, якобы соответствующие требованиям стандарта EMV, начали многие банки, но в отношении защиты держателей карточек от использования их карточек посторонними лицами в случае утери или кражи толку от этого мало. Без PIN-кода микропроцессор удостоверяет лишь подлинность карточки, но личность ее держателя он удостоверяет не больше, чем подпись на оборотной стороне. По иронии судьбы, микропроцессор может даже затруднить или сделать невозможными транзакции без участия оператора. Пример французских билетных автоматов в этом смысле очень показателен.

Именно поэтому столь важны глобальное развертывание стандартов операционной совместимости и обобщение технологии PIN-транзакций в торговых терминалах. Некоторые европейские страны уже используют PIN-коды для подтверждения транзакций в торговых терминалах, но все эти технологии базируются на «фирменных» или в лучшем случае национальных стандартах. Такие системы защищают от внутренних мошенников, но не защищают от зарубежных, поскольку в случае несовместимых иностранных карточек информацию приходится считывать с магнитной полосы, а по совершении транзакции необходимо подписывать слип. Мошенники хорошо знают это и соответствующим образом перестраивают собственную «технологию».

Сегодня внедрять стандарт EMV обязались все страны Европейского Союза, Польша и Турция. Перейти на EMV стремятся также Египет, ЮАР и ряд стран Латинской Америки и Азиатско-Тихоокеанского региона, причем Бразилия, Япония и Южная Корея уже выбрали конкретные технологии.

Великобритания идет впереди всех в Европе. Сегодня в стране уже больше 300 тыс. терминалов, способных считывать микропроцессорные карточки, однако крупные розничные торговые сети пока медлят с приобретением таких терминалов.

Странам, в которых уже существуют свои стандарты на микропроцессорные карточки, в частности Франции и Бельгии, предстоит очень сложный переход.

«Мы только начинаем внедрение терминалов в торговлю, и к середине 2003 г. оно должно быть завершено, — говорит директор группы Carte Bancaires по бизнесу и стратегии Седрик Саразен (Cedric Sarazin). — Для подготовки французов к принятию стандарта EMV разрабатывается стандарт CBS, который обеспечит обслуживание как французских карточек, так и EMV-карточек. Карточки «двойного стандарта» начнут выпускаться с конца 2002 г., — утверждает Саразен. — Они будут отвечать как французскому фирменному стандарту B0, так и стандарту EMV и считываться в режиме EMV во Франции и за рубежом и в стандарте B0 в тех французских торговых терминалах, которые еще не переведены на стандарт EMV».

Пилотные проекты недавно начали осуществляться в Италии, и крупные итальянские банки уверены, что в 2004 г. они смогут достичь критической массы. К числу отстающих в Европе относятся Германия и Нидерланды, где дело тормозят розничные торговцы, которые уже вложили большие средства в терминалы для внутренних электронных кошельков и дебетовых карточек и которым теперь предстоит модернизировать эти терминалы. Однако представители платежных систем уверены, что к «моменту Х» все будет завершено.

Хотя EMV-карточек выпущено уже много, развертывание стандарта EMV в Европе тормозится: участники рынка не готовы вкладывать деньги в светлое будущее, построенное на EMV. Торговцы вовсе не жаждут обновлять свое оборудование, поскольку для этого у них нет экономических мотивов. Однако финансовым структурам EMV и PIN-коды дают множество преимуществ. Прежде всего это снижение уровня мошенничества, особенно важное для Великобритании, где потери от использования поддельных карточек за время с 2000 по 2001 г. выросли на 50%, достигнув 160,3 млн ф. ст. EMV-карточки позволят банкам-эмитентам лучше следить за тем, как используются их карточки, и подстраивать их платежные возможности к запросам отдельных потребителей. EMV-карточки способны не только хранить больше информации, чем карточки с магнитной полосой, но и обрабатывать эту информацию для принятия решений в режиме оф-лайн. При этом хранимую на микропроцессорных карточках информацию можно обновлять, что исключает необходимость частого перевыпуска карточек.

Микросхема стандарта EMV позволяет хранить много различных параметров, относящихся к решению вопроса о том, требует ли данная транзакция авторизации в режиме онлайн или может пройти в офлайне. Кроме того, стандарт EMV предусматривает возможность постэмиссионной загрузки приложений, а следовательно, «тонкая настройка» инфраструктуры приема EMV-совместимых карточек может быть проведена уже после того, как такие карточки получат массовое распространение. К слову, не только торговые предприятия, но и банки еще не осознали всех возможностей, которые заложены в EMV-спецификациях.

Платежи — это лишь малая доля того, что позволяет делать технология микропроцессорных карточек. Микросхема способна хранить ряд приложений — программ лояльности, удостоверения личности держателя, электронного кошелька и др., — но пока европейские эмитенты, руководствуясь, скорее, минимальными требованиями платежных систем, чем потребностями собственного бизнеса, выпускают в основном простейшие однофункциональные EMV-карточки. Производители знают это и действуют соответственно.

Над проектами многофункциональных карточек работают лишь очень немногие банки. При этом смысл, который каждый из них вкладывает в понятие «многофункциональность», может быть совершенно различным. Различны и проблемы, стоящие на пути внедрения многофункциональных продуктов. Например, Carte Bancaires в передовой Франции просто не разрешает совместного использования торговых марок. В результате производители бросили безуспешную пропаганду мультифункциональных продуктов и сосредоточились до поры до времени на выпуске простейших и максимально дешевых карточек типа VSDC и М/Chip Lite.

Если для банков уже одно только уменьшение потерь от мошенничества оправдывает переход на микропроцессорные карточки, то для розничных торговцев необходимость такого перехода гораздо менее очевидна. Хотя карточные ассоциации предлагают им различные финансовые стимулы, включая нормативное снижение эквайринговых комиссий, многие торговые предприятия не видят преимуществ вложения средств в новые терминалы. Однако на деле не имеет значения, хотят торговцы переходить на микропроцессорные карточки или не хотят, поскольку у них практически нет выбора. Перенос ответственности как крайняя мера, которую Visa и MasterCard намерены применить к «непокорным» неизбежно сделает свое дело.

С 1 января 2005 г. (а даже если «момент Х» и будет отодвинут, ситуация не изменится принципиально) ответственность за все возможные недоразумения в случае транзакций, осуществленных без использования микропроцессорных карточек и PIN-кодов, и все потери от таких транзакций будут нести торговые предприятия. Это переложение ответственности относится к международным транзакциям, но по умолчанию оно коснется и внутренних транзакций. Для эмитентов перенос ответственности также является серьезным стимулом.

Если кто-либо придет с микропроцессорной карточкой в торговое предприятие, но по той или иной причине не сможет осуществить транзакцию, выходом из положения будет авторизация в режиме онлайн. Однако, если эмитент выпустил микропроцессорную карточку, но не требует PIN-кода (тогда как торговец предоставляет возможность его проверки), ответственность лежит на эмитенте.

Такой весьма радикальный способ ускорить внедрение микропроцессорных карточек банки, вероятно, могут применить для того, чтобы побудить своих клиентов, обслуживающих карточки, поторопиться с обновлением терминального парка. Когда операционно-совместимые микропроцессорные карточки и системы PIN-кодов будут развернуты по всей Европе и за ее пределами, а торговые терминалы станут более безопасными, мошенники, безусловно, обратятся к Интернету.

До сих пор банки сами покрывали потери от незаконного использования карточек своих клиентов в случае совершения покупок через сеть, но если они могли доказать, что клиенты осуществляли транзакции в режиме он-лайн, покрытие потерь могло быть переложено на держателей карточек. Идея может состоять в переносе торгового терминала на дом к держателю карточки. Человек может использовать картридер для микропроцессорных карточек и клавиатуру для ввода PIN-кода, подключенные к его персональному компьютеру, с тем чтобы совершать покупки через сеть столь же безопасно, как в обычном магазине.

Более того, кредитные и дебетовые карточки могут использоваться в качестве средств авторизации в режиме онлайн для получения таких услуг, как банковские операции через Интернет. Картридеры для микропроцессорных карточек уже используются в некоторых системах электронной коммерции в секторе B2B, однако внедрить их в потребительскую среду — в сектор B2C — будет гораздо труднее. Причина здесь в проблемах установки терминалов и операционной несовместимости.

Ключевой вопрос состоит в том, кто должен платить за эти домашние торговые терминалы. Как и торговые предприятия, картхолдеры будут, вероятно, неохотно тратить на это свои трудом заработанные деньги, хотя кого-то соображения безопасности, возможно, на это и сподвигнут. Сейчас, когда бум интернет-проектов прошел, банки попросту не хотят вкладывать существенные деньги в сектор B2C и вопрос о создании инфраструктуры приема смарт-карточек среди рядовых пользователей Сети пока остается в тени. В то же время, весьма вероятно, что рост объемов платежей по карточкам в секторе B2C и снижение себестоимости ридеров в конечном итоге приведут к тому, что банки будут бесплатно предоставлять ридеры, по крайней мере, части своих наиболее активных частных клиентов.

Рост числа мошенничеств в Интернете вполне может ускорить этот процесс. И что может быть лучше для убеждения упирающихся клиентов, чем еще один перенос ответственности? Если банки прекратят возмещать потери из-за мошенничества в случаях, когда PIN-код не использовался, интерес к использованию PIN-кодов существенно возрастет. Это будет вполне реальный вариант, если переход на PIN-коды примет общеотраслевой масштаб. Использование PIN-кода в домашнем компьютере намного уменьшит также число возвратных платежей, возникающих из-за прихоти или нечистоплотности отдельных клиентов.

Так сколько же времени пройдет до той поры, когда мы сможем использовать свои кредитные карточки для того, чтобы войти на сайт авиакомпании, оплатить авиабилет, накопить километраж для получения скидки или использовать этот накопленный километраж и занести этот билет в микросхему карточки? Несомненно одно: время карточек с магнитной полосой еще далеко не прошло, поскольку для отказа от них необходимо, чтобы процессорные карточки Visa или MasterCard начали приниматься во всем мире. И все же специалисты уверены, что магнитная полоса станет скорее исключением, чем правилом. Это будет, однако, зависеть от того, стремятся ли США к реализации всеобъемлющего плана перехода на микропроцессорные карточки. ». 2002. № 4. с. 2). Однако к концу 2002 г. и в США будет выпущено около 12 млн EMV-карточек и их начнут принимать такие крупные предприятия розничной торговли, как, например, Target.

Тем не менее, пока перенос ответственности не будет осуществлен и в США, стандарт EMV едва ли будет внедрен в торговые терминалы всего розничного сектора страны. Однако Канада намерена развернуть EMV в ближайшие годы. Тогда мошенники перенесут упор на США, и американские розничные торговцы, возможно, не захотят нести убытки из-за их деятельности.