Plány pro post-PINový svět

Na počátku 21. století ležela na bedrech každého prodavače nebo pokladního obrovská tíha odpovědnosti. V dobách před čipováním, kdy ztráty, krádeže a podvody s padělanými kartami představovaly velké bezpečnostní hrozby, byl pokladní poslední linií obrany.

Pokud nějaká transakce vypadala podezřele, očekávala se konfrontace se zákazníkem – nebo odchod od zaměstnavatele odpovědného za podvodné transakce.

Kombinace čipu a PINu tuto situaci vyřešila. Čip prokázal, že karta je pravá a že PIN nebyl ztracen nebo odcizen.

Zpátky do současnosti, kdy díky tomuto postupu podvody s padělky výrazně klesly. S tím, jak se snižuje potenciál dalšího použití magnetického proužku na kartách, klesá tím pádem i zbývající hrozba podvodu.¹

Mezitím se ukázalo, že dnešní zločinci nemají chuť páchat podvody založené na ztracených nebo odcizených kartách. Když se bezkontaktní vztah stal běžnou věcí, rozšířila se obava, že se může zvětšit počet případů podvodů učiněných na základě ztracených nebo odcizených karet. Skutečnost je ale taková, že bezkontaktní řešení tvoří s 0,01 % jeden z nejméně častých podvodů ze všech typů transakcí² - to naznačuje, že dnešní zločinci považují podvod prostřednictvím ztracených nebo odcizených karet za příliš problematický nebo nepraktický.

Naproti tomu pro podniky, banky a platební průmysl existuje jednodušší a jistější způsoby, jak ověřit totožnost zákazníka. Velká část práce se děje na pozadí. Vzhledem k tomu, že téměř všechny transakce jsou nyní online, mohou systémy detekce podvodů poháněné umělou inteligencí odhalit podezřelé výdaje nebo zvláštní chování s velkou přesností. I když se nyní vynucuje zesílené ověřování, dávají spotřebitelé přednost biometrickým údajům – s nečekaným nadšením přecházejí na technologii otisků prstů nebo skenování obličeje.

Jako spotřebitelé máme také k dispozici mnohem více ochrany. Například když dnes ztratíme kartu, okamžitě se v nás probudí instinkt ji zablokovat prostřednictvím aplikace pro mobilní bankovnictví. Pokud ji znovu najdeme, můžeme ji odblokovat. Pokud ne, nahlásíme její ztrátu a necháme si ji znovu vydat. A po celou dobu víme, že jsme chráněni zárukou nulové garance.

Celé odvětví by si tedy mělo položit tři otázky.

Je PIN stále nutný?

Asi ne.

Z hlediska rizika stejně jako z hlediska technologické perspektivy máme dnes menší potřebu, aby se zákazníci aktivně identifikovali. Tam kde je to nutné, jsou k dispozici elegantnější a efektivnější řešení – těmi jsou biometrické, behaviorální a kontextové informace.

Překáží nám PIN?

Ano, bezesporu.

Zaprvé má vliv na zákaznickou zkušenost.

Čím více si spotřebitelé zvyknou na bezkontaktní transakce, tím více je bude zadávání PINu obtěžovat. Také se musí vzít v potaz důsledky situace, kdy spotřebitel PIN zapomene a musí si jej znovu nastavit – na některých trzích se musí karta znovu vydat, a to pak vytváří napětí.

Zadruhé se musí zvážit dopad na inovace.

Pokud budeme i nadále považovat PIN za zásadní pro způsob, jakým naše podnikání funguje, omezíme každého na nastavení prodejního místa, které pojme PIN. To zase zvyšuje náklady, vytváří složitosti a omezuje potenciál.

Vezměte si například nejnovější generaci řešení „tap-to-phone” nebo SoftPOS – výhradně softwarové mobilní aplikace, které umožňují přijímat bezkontaktní platby pouze pomocí standardního chytrého telefonu, ale nepodporují a ani nemohou podporovat, některé běžně rozšířené konfigurace PINu (zejména offline PIN, kde se z historických důvodů ověření PINu řeší mezi akceptačním zařízením a čipem).

Jak by mohl vypadat život bez PINu?

Přechodem od PINu bychom mohli přehodnotit samotnou povahu face-to-face plateb.

Mohli bychom pokračovat v migraci od statických dat a jejich inherentních bezpečnostních rizik (například způsobem, jakým tokenizace nahrazuje statické číslo karty dynamickým ekvivalentem, unikátním pro daného obchodníka nebo kanálu, který lze v průběhu času změnit). A tím, že se budeme více spoléhat na kontextová, behaviorální, biometrická a autentizační řešení řízená umělou inteligencí, mohli bychom platby ještě více zjednodušit a zpřehlednit.

Také bychom mohli umožnit plnější sbližování metod akceptace přítomné a nepřítomné karty, zbavit nás rozdílu, který se stává přežitkem, a přijmout metodologii akceptace, kterou lze aplikovat na všechny platby – bez ohledu na místo, zařízení nebo kanál.

Co nám z toho vyplývá, dle Marka Nelsena?

„Jednoduše chci říci, že tento trend nás odvádí od používání PINu a to je něco, co bychom měli jako platební odvětví přijmout.“

PIN nelze a neměl by být odstraněn přes noc. Měli bychom si ale začít představovat život bez PINu a jako průmysl se začít na tuto možnost připravovat. Měli bychom se také vyhnout jakýmkoliv významným investicím, které zbytečně udržují používání PINu.

Již nyní těžíme z univerzálních standardů, jakými je EMV čip, 3DS a tokenizace, které lze dále vyvíjet, a které poskytují základ pro řešení nových generací a umožňují tomuto odvětví stavět na minulých investicích.

Připomeňme si původní funkci PINu. Vše bylo zamýšleno pouze jako ochrana před podvody na základě ztracených a odcizených karet a zmínění břemene odpovědnosti pokladního. Dnes je toto odůvodnění nadbytečné – a měli bychom se zamyslet nad tím, jak bychom mohli i z PINu udělat nadbytečnou položku.

¹European Central Bank, Card Fraud Report, 2021: https://www.ecb.europa.eu/pub/cardfraud/html/ecb.cardfraudreport202110~cac4c418e8.en.html#:~:text=Over%20the%20five%2Dyear%20period%20from%202015%20to%202019%2C%20the,card%20fraud%20decreased%20by%2011.3%25.%C2%A0 ²Visa, The opportunity for contactless in the UK, 2021: https://www.visa.co.uk/visa-everywhere/blog/bdp/2021/02/09/the-opportunity-for-1612892621595.html