Cartão com chip e senha: longe da segurança adequada! | Núcleo Consultoria
maio 7, 2019 Edison Fontes
Periodicamente sou consultado e questionado sobre a segurança do serviço oferecido pelos bancos e administradores de cartões, considerando o uso de cartão com chip e senha. Primeiramente precisamos entender que a segurança deve ser do sistema completo, que inclui o cartão, proteção da digitação de senha, perfil histórico e a única forma de garantir efetivamente a autenticação do usuário: o uso de controles de biometria. São controles possíveis e fáceis de existirem por parte dos bancos/administradoras.
Evidentemente a segurança do uso de cartão com chip e senha é melhor do que a tecnologia utilizada anteriormente: cartão e assinatura. Melhorou, mas ainda tem muitas falhas para a pessoa que utiliza este sistema. Isto significa que os bancos/administradores devem sempre utilizar as melhores tecnologias de controle de proteção de dados. Se não utilizarem, estão assumindo o risco. Opção empresarial, mas que o cliente não pode ser penalizado por suas fraquezas e limitações.
A digitação da senha garante que a pessoa que porta o cartão naquele momento, seja ele o cliente ou o fraudador, possui a senha. Não garante que é a pessoa legítima relacionada à conta de débito/crédito. Somente com o uso de biometria pode-se garantir que a pessoa é a pessoa. Somente a biometria, que é uma técnica possível de ser utilizada em todos os pontos de uso de cartão, tipo caixas eletrônicos e máquinas de venda por uso de cartão. É obrigação do fornecedor de serviço (bancos e administradoras) oferecerem este nível de proteção. Se não oferecem, decidiram correr riscos no seu negócio.
A senha fornecida pelo banco/administradora é enviada para o cliente por meio convencional, papel, via serviço de entrega (correio ou empresa especializada). Segurança regular, pois a violação da leitura da senha pode acontecer, mesmo sem rompimento do papel.
A segurança da senha é compartilhada com o cliente e com os mecanismos que o banco/administradora oferece.
A proteção para garantir que a pessoa é a pessoa é a técnica da biometria, onde uma característica física da pessoa é validada no momento da operação. Somente esta técnica garante que a pessoa é a pessoa. O que a justiça exige para condenar alguém? Que aquela pessoa é aquela pessoa. Impressões digitais, filmagem, testemunha ocular e similar. A própria Justiça Eleitoral exige a biometria ou apresentação de documento com foto.
Como proteção lógica de sistemas de segurança de transações de débito e crédito, é obrigatório que os bancos/administradoras considerem o perfil de uso de débito e crédito pelo cliente. Este controle já é realizado em vários segmentos financeiros. Um cliente que nos recentes cinco anos, ou desde a sua vida de cliente na instituição financeira, realiza compras durante a madrugada de valores de até R$ 500,00 (quinhentos reais), deve ser impedido automaticamente se a conta deste cliente for ter um movimento de débito/crédito de R$ 5.000,00 (cinco mil reais), neste período. Principalmente se não for utilizada a biometria. É um controle básico. Se os bancos/administradoras não utilizam este controle estão assumindo um risco de fraude. Um risco de negócio.
6.1. A consideração de perfil histórico de uso de débito/crédito pelo cliente é um dado pessoal do cliente que o identifica. A Lei de Proteção de Dados Pessoais considera esta identificação no seu artigo 5º.I, dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Mas as instituições financeiras já utilizam este conceito há muitos anos. Principalmente nas transações em que o usuário está usando o sistema de maneira remota: compras em lojas físicas ou compras no ambiente virtual.
Quando da não utilização de biometria em compras em lojas, falha de controle do sistema de proteção de crédito/débito, os bancos/administradoras deveriam exigir de apresentação de documento oficial de identidade. É a única maneira de garantir que a pessoa é a pessoa. Se não fazem esta obrigatoriedade estão assumindo os riscos da prestação de serviços de crédito e débito. Estão assumindo riscos de fraudes.
A grande fragilidade do controle de visualização da senha, equipamentos sem proteção física para encobrir a movimentação da digitação, o não uso de biometria, permitem que criminosos tenham conhecimento da senha e obtenham o cartão do cliente de maneira fraudulenta: trocando por outro cartão parecido ou furtando o mesmo. E desta maneira possam realizar transações de débito/crédito de passando pelo cliente, considerando que os bancos/administradoras não utilizam os controles adequados:
Perfil de histórico de uso de crédito/débito pelo cliente;
Verificação de filmagens;
Não proteção física para encobrir a digitação de senhas. Inclusive as máquinas mais modernas, são as mais vulneráveis;
A não implementação destes controles é um risco de negócio assumido pelos bancos/administradoras. O cliente não pode ser penalizado, caso sofra uma ação de criminosos.
Ainda existem, dento do ambiente de serviço de uso de crédito/débito, outros aspectos, tipo: a máquina de coleta dos dados do cliente, a transmissão dos dados, o ambiente dentro da empresa que vendo o produto, o ambiente dentro do banco, e muito mais. Fica para uma próxima análise.