Die Haftung für eine streitige Transaktion liegt beim Händler für Transaktionen ohne Karte. Wenn Sie eine Transaktion bestreiten, wenn der Händler nicht über Ihre Unterschrift verfügt, wird die Rechnung letztendlich bezahlt, wenn Sie darauf bestehen. Aus dem gleichen Grund wird ein CNP-Händler, der Sie doppelt in Rechnung stellt, am Ende zahlen, wenn Sie die Rechnung bestreiten.

Wie @DavidFoerster hervorhebt, verfolgen die Prozessoren und Kartenunternehmen die Rückbuchungsraten. Sie beobachten die Statistiken und werden abgeschnitten, wenn ein Händler zu viele Rückbuchungen hat. (Normalerweise werden sie von ihrem Prozessor gebootet und suchen einen anderen Prozessor, der ihnen für das höhere Risiko mehr berechnet.)

Gleiches gilt für Geschäfte, die Karten an anderer Stelle erneut missbrauchen. Die Kartenmarken sehen sich Betrugsberichte an und stellen fest, dass diese 20 Betrugsberichtskarten alle Bob's Web Shack als frühere Transaktion gemeinsam hatten. Sie werden dann Bobs Web Shack untersuchen - sowohl weil es ein schlechter Ladenbesitzer sein könnte, als auch weil es ein Laden sein könnte, der kompromittiert ist. Und - wieder - wenn ein Shop Probleme verursacht, werden sie abgeschnitten.

Das verhindert, dass Webshop-Besitzer die Karten missbrauchen. Sie verlieren alle Streitigkeiten, werden dann fallen gelassen und können keine Karten mehr verarbeiten.

Wenn Sie es in großem Maßstab tun, werden Sie herausgefunden

Wie bei den meisten Verbrechen hindert Sie nichts daran, es zu tun, wenn Sie entschlossen sind, außer den Risiken und Konsequenzen von herausgefunden werden. Für kleine und seltene Ereignisse wird es von den CC-Unternehmen als Geschäftskosten abgeschrieben. In großen oder häufigen Szenarien werden die Leute herausgefunden und ins Gefängnis gebracht.

Gemeinsame Verkaufsstelle

Die Analyse von Betrugsmustern wird ernsthaft durchgeführt, viele talentierte Leute und finanzielle Ressourcen gehen es richtig zu machen. All diese Risiken sind nicht neu - bevor Webshops üblich waren, hatten Mitarbeiter in verschiedenen physischen Geschäften die Möglichkeit, dasselbe zu tun. Zum Beispiel hat ein Restaurantkellner Zugriff auf viele Karten und kann deren Daten missbrauchen.

Wenn es ein einziges Mal ist, gibt es keine Muster, die herausgefunden werden können, aber es läuft, dann ist es nicht so schwer Um automatisch festzustellen, ob sich eine Reihe missbrauchter Karten einen gemeinsamen Point of Purchase teilen, und diesen Standort zu überprüfen. Je nach Betrugsmaßstab kann dies zu polizeilichen Maßnahmen führen oder das Unternehmen und andere zukünftige Unternehmen auf die schwarze Liste setzen Dieselben Eigentümer oder Management.

Darüber hinaus sind diese Risiken Teil der Gründe, warum es nicht trivial ist, einen Webshop zu eröffnen, in dem Sie tatsächlich Zugriff auf CC-Daten erhalten. Oft erlauben Banken zufälligen kleinen Unternehmen nicht, Karten online direkt zu akzeptieren - sie akzeptieren dies unter der Bedingung, dass die gesamte Autorisierung über ein vertrauenswürdiges Zahlungsgateway erfolgt und Ihr Unternehmen einfach eine signierte Token-Zahlung von $ erhält xxx akzeptiert "und nicht die vollständigen Kartendaten. Wenn Sie CC-Daten selbst verarbeiten möchten, bereiten Sie sich auf verschiedene Konformitätsprüfungen vor.

Um Zahlungen zu akzeptieren, benötigen viele Kreditkartenunternehmen, dass der Code des Kunden PCI-konform ist. Ich bin mir nicht sicher, welche Regeln es gibt, aber ich glaube, dass es jemanden erfordert, der den Code nicht geschrieben hat, um ihn zu überprüfen. Bei anderen wie Stripe und PayPal berühren die Kreditkartendaten niemals den Server des Ladenbesitzers. Im Fall von Stripe sendet JavaScript es an sie und gibt dann ein Token an den Server des Shop-Eigentümers zurück, das angibt, dass sie bezahlt haben, es durchlaufen hat und für Rückerstattungen verwendet werden kann.

Siehe:

https://www.controlscan.com/support-resources-qa.php

https://www.controlscan.com/support -resources-qa.php # 6

Was hält sie davon ab? Nichts als die Konsequenzen.

Es gibt jedoch Verarbeitungsdienste von Drittanbietern, die größere Online-Händler nutzen können, die alle Kreditkartentransaktionen abwickeln und im Rahmen ihres Vertrags mit dem Händler die gesamte Haftung dafür übernehmen Kompromisse dieser Daten. Bei diesen Vereinbarungen sieht der Händler selbst die Kreditkartennummer überhaupt nicht. Sie erhalten nur einen Token, mit dem dieselbe Karte erneut über den Dritten abgerechnet werden kann, der jedoch für jeden Angreifer nutzlos ist. (Und wenn der Dritte kompromittiert wird und Millionen von Nummern durchgesickert sind, können die Händler ihre Hände von allem waschen.)

Natürlich, selbst wenn ein Händler eine solche verwendet Dritte, Endbenutzer müssen einfach ihr Wort dafür nehmen, wenn der Händler dies überhaupt offenlegt. Und natürlich würde nichts einen korrupten Mitarbeiter eines Dritten davon abhalten, die Nummern abzureißen.

Bis zu Ihrem Punkt ist es möglich, Krypto zum Sichern von Online-Transaktionen einzusetzen. Es gibt digitale Cash-Kryptosysteme. Die Benutzererfahrung bei der Verwendung eines solchen Systems ist jedoch im Allgemeinen komplizierter, und dies ist nur eines von vielen Hindernissen für eine breite Akzeptanz.

Im wirklichen Leben leite ich einen kleinen Laden. Sie können uns persönlich oder telefonisch mit einer Kreditkarte bezahlen.

Sobald die Transaktion abgeschlossen ist, können wir die Kreditkartennummern nicht mehr "sehen", sie werden blockiert und von bearbeitet das Unternehmen, das Kreditkarten verarbeitet.

Wenn ich oder meine Mitarbeiter versuchen würden, die Nummern über die Telefontransaktionen zu speichern, um sie zu missbrauchen: Ich glaube nicht, dass es ZU lange dauern würde, das alles herauszufinden Die Opfer lebten in der gleichen Gegend und nutzten unseren Laden.

============================== ==============

In einer Online-Händlersituation würde ich die Kreditkartennummern nicht einmal verarbeiten oder sehen können. Die Kreditkartenfirma würde nur Geld auf ein Konto für mich einzahlen. Ich nehme an, ich könnte versuchen, Kunden dazu zu bringen, mir ihre Kreditkarteninformationen per E-Mail zu senden, aber ich glaube nicht, dass zu viele Kunden auf diesen Trick hereinfallen würden, lol.

Die "schmutzigsten Einzelhändler" im Internet spielen mit dem Artikel, den sie Ihnen gesendet haben, oder ob sie die Artikel sogar gesendet haben oder ... den Versand überladen. Sie verdienen bereits etwas Geld und versuchen möglicherweise, ein wenig mehr zu verdienen.

Aber wie ich sehen kann, muss ein böswilliger Dritter die Kreditkarteninformationen abfangen und missbrauchen.

Heutzutage leiten die meisten Webshops Sie zu einer Bestätigungsseite weiter, die von Ihrem Kartenanbieter gehostet wird. Dort müssen Sie ein Passwort eingeben (normalerweise nur ein Teil davon), um zu bestätigen, dass Sie der Besitzer der Karte sind. Das hindert den Ladenbesitzer nicht daran, Ihre Kartendaten zu stehlen, aber er kann das Sicherheitspasswort nicht sehen, was ihn daran hindert, mit der Überprüfungsfunktion auf Websites einzukaufen.

Leider verwenden nicht alle Geschäfte diese Funktion, aber Mit zunehmender Akzeptanz wird es immer schwieriger, gestohlene Kartendaten zu verwenden.

Bis Sie auf der Website großer Unternehmen einkaufen, sind Sie in Sicherheit. Für kleinere, unbekannte Geschäfte ist die Verwendung von PayPal ein guter Weg, um sicher zu sein: Die Kartendaten werden auf PayPal-Servern gespeichert, oder Sie geben sie auf ihrer Seite ein, wenn sie nicht bereits registriert sind. Auf diese Weise erhält der Shop Ihre Daten nicht.

PCI DSS ist eine Checkliste zur Einhaltung von Standards, an die sich Geschäfte halten müssen, die CC-Informationen verarbeiten möchten. Da die Verordnung jedoch weltweit nicht weit verbreitet ist, entspricht dies genau den ISO-Standards.

In der Vergangenheit verwendeten die Webshops Paypal. Oder rufen Sie ihre Einkäufe über ihre eigenen Händlerkonten bei den Banken an. Das Risiko von Rückbuchungen und Betrug über das Internet machte es jedoch einfacher, das Risiko bei einer Gegenpartei zu parken. Paypal und einige andere waren die ersten, die dieses Risiko eingegangen sind.

Nun werden Sie feststellen, dass die meisten E-Commerce-Websites Sie zu einer anderen Seite mit der Kontrahenten-Website führen, auf der die Transaktionen abgewickelt werden, nur damit dies nicht der Fall ist muss das Risiko eingehen. Dies ist für die meisten ein tragfähiges Geschäftsmodell, da der Webshop nicht die Kosten für Betrug übernehmen muss, sondern möglicherweise Gebühren zahlen muss.

Wenn Sie sich das Risikomodell von shopify ansehen, werden Sie feststellen, dass es größer ist als die Verbreitung von Betrug durch sein System.

Hier spielen viele Faktoren eine Rolle.

Erstens ist das Zahlungsgateway eine wichtige Komponente - die verschlüsselten CC-Daten werden vom Browser des Benutzers zum Gateway übertragen. In einigen Fällen werden sie möglicherweise über den Webserver des Händlers abgerufen, um die Transaktionsdaten zu erfassen (in diesem Fall kommen alle PCI-DSS-Standards zum Tragen). Manchmal umgeht das Gateway den Webserver des Händlers vollständig und erhält die Transaktionsdaten als separate Verschlüsselung vom Händlerserver verbunden (in diesem Fall nicht sicher, ob die PCI-Konformität besteht).

Nachdem die Zahlungsinformationen und die Transaktionsinformationen abgerufen wurden, werden sie an den Zahlungsverarbeitungsserver der Bank weitergeleitet, der sie an die jeweiligen Verbände weiterleitet (Visa, Mastercard, Amex usw.), die es erneut zur Validierung und Überprüfung des Kreditlimits / Kontostands an die ausstellende Bank weiterleiten. Nach der Validierung senden sie eine Erfolgsantwort, die dem umgekehrten Pfad zurück zum Händler folgt.

Bei betrügerischen Transaktionen verfügen die meisten Karten heutzutage über eine dritte Schutzschicht (sogenannte 3D-Auszahlung) - entweder eine Code / Passwort (zB Master Card Secure Code usw.) oder ein OTP (Einmalpasswort, das an die registrierte Handynummer gesendet wird) (z. B. bei AMEX- und Citi-Karten), das der Benutzer eingeben muss, während die Transaktion die Zahlungsverarbeitungsserver erreicht, wodurch minimiert wird das Risiko betrügerischer Transaktionen.

Abgesehen davon verfolgen sie die IP-Adresse Ihres Computers. Ich wäre mehr besorgt über die persönlichen Daten, die ich bei jeder Transaktion an den Händler weitergebe - z. B. Name, Geburtsdatum, Adresse, Telefonnummer usw. Ich kenne keine branchenweiten Compliance-Protokolle für diese und daher könnte es eine große Menge geben Möglichkeit des Missbrauchs.