Le informazioni contenute in questo documento sono di proprietà di Value Team S.p.a. e del destinatario del documento. Tali informazioni sono strettamente legate ai commenti orali che le hanno accompagnate, e possono essere utilizzate solo dalle persone che hanno assistito alla presentazione. Copiare, pubblicare o distribuire il materiale contenuto in questo documento è proibito e può essere illegale. Il contrasto alle frodi su carte di pagamento e canali remoti: best practices ed esperienze internazionali Roberto Testa Convegno ABI Banche e Sicurezza 2011 Roma, 26 Maggio 2011
Agenda Un benchmark internazionale di riferimento riguardo le frodi su carte di pagamento Soluzioni per il monitoraggio ed il contrasto alle frodi su carte di pagamento e canali remoti La gestione delle nuove sfide e alcuni spunti di riflessione 1
L incidenza delle frodi sulle carte di pagamento in alcuni paesi UE ed extra UE 0,12% 0,10% 0,08% 0,06% 0,04% 0,02% Andamento percentuale delle frodi rispetto all importo totale delle transazioni Regno Unito Francia Paesi Bassi Australia Spagna - 4B Spagna - ServiRed Paese Numero carte Valore transazioni Perdite frode 143,7 Mln Totale: 695 Mld 494,2 Mln * Regno Unito 2009 - Indicatori Prelievi domestici: 215 Mld Acquisti e-commerce: 61 Mld Francia 90,6 Mln Totale: 453 Mld Prelievi domestici: 324,2 Mld Acquisti e-commerce: 23 Mld 265,6 Mln Australia 43,7 Mln Totale: 290 Mld 96,5 Mln ** 0,00% 2006 2007 2008 2009 Elaborazioni Value Team su fonti dati: Observatoire de la sécurité des cartes de paiement (Francia) Currence (Paesi Bassi) ServiRed, 4B (Spain) Paesi Bassi UK Cards Association (Regno Unito) Australia Payment Clearing Association (Australia) 30,2 Mln Totale: 147 Mld 78,2 Mln L impatto delle frodi nel Regno Unito ha subito una significativa decrescita (-28%) riportandosi sui valori assoluti del 2005. L andamento generale delle frodi in altri paesi presenta un trend leggermente in crescita, come in Francia (+6,5%) ed in Australia (+6,2%). Il dato relativo alle frodi varia in maniera significativa rispetto alla tipologia di circuito di riferimento, ad esempio in Australia le frodi sul circuito di debito nazionale rappresentano lo 0,0094% dell importo delle transazioni, mentre complessivamente nello stesso periodo si attestano sullo 0,03% per la totalità delle carte. * Tasso cambio : 0,891 ** Tasso cambio: 1,774 2
Le tipologie di minacce associate alle frodi su carte di pagamento e la loro evoluzione nel periodo 2006-2009: Benchmark su Regno Unito, Francia e Australia Regno Unito Francia Australia Lost/stolen Mail non-receipt Counterfeit Card not present Card ID Theft Lost or stolen cards Intercepted cards Forged or counterfeit cards Appropriated numbers Other Lost stolen Never received Counterfeit Card not present Fraudulent application Other 2006 50% 7% 16% 4% 23% 19% 9% 32% 1% 39% 32% 5% 5% 33% 19% 6% Lost/stolen Mail non-receipt Counterfeit Card not present Card ID Theft Lost or stolen cards Intercepted cards Forged or counterfeit cards Appropriated numbers Other Lost stolen Never received Counterfeit Card not present Fraudulent application Other 2009 60% 9% 11% 2% 18% 38% 6% 24% 31% 1% 53% 1% 1% 10% 2% 33% Laddove, come in Francia e Regno Unito, la migrazione alla tecnologia EMV è stata conclusa, la ripartizione delle frodi presenta un incremento percentuale degli illeciti di tipo Card Not Present ed una relativa contrazione delle tipologie di frodi associate ad alterazione/contraffazione della carta. In paesi come l Australia dove la migrazione allo standard EMV non si è conclusa, l alterazione/contraffazione rimane una minaccia significativa, sebbene le tipologie di frodi CNP abbiano comunque un peso considerevole. Elaborazioni Value Team su fonti dati: Observatoire de la sécurité des cartes de paiement (Francia); UK Cards Association (Regno Unito); Australia Payment Clearing Association (Australia) 3
La distribuzione delle frodi rispetto al luogo di utilizzo (nazionale vs internazionale) nel periodo 2006-2009: Benchmark su Regno Unito, Francia e Australia (1/2) Ripartizione geografica delle frodi rispetto al luogo di utilizzo 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 41,08% 58,92% 39,67% 60,33% Internazionale 27,42% 42,69% 45,99% 38,79% 47,47% 50,61% 37,73% 45,78% 50,54% 27,87% Nazionale 72,58% 57,31% 54,01% 61,21% 52,53% 49,39% 62,27% 54,22% 49,46% 72,13% 2006 2007 2008 2009 La ripartizione geografica (nazionale/internazionale) delle frodi segue un andamento simile nei tre paesi, sebbene con proporzioni differenti. Nel Regno Unito l incidenza sul territorio nazionale delle frodi di tipo Face to Face e tramite ATM è nel 2009 pari al 34%. In Francia l incidenza su territorio nazionale delle frodi di tipo Card Not Present è nel 2009 pari al 57%, mentre nel perimetro internazionale le due tipologie di frodi, Card Present e Card Not Present, si equivalgono. Elaborazioni Value Team su fonti dati: Observatoire de la sécurité des cartes de paiement (Francia); UK Cards Association (Regno Unito); Australia Payment Clearing Association (Australia) 4
La distribuzione delle frodi rispetto al luogo di utilizzo (nazionale vs internazionale) nel periodo 2006-2009: Benchmark su Regno Unito, Francia e Australia (2/2) Card Present fraud (% sul totale delle frodi) su perimetro nazionale Counterfeit fraud (% sul totale delle frodi) su perimetro internazionale 45,00% Regno Unito Francia Australia 25,00% Regno Unito Francia Australia 40,00% 35,00% 20,00% 30,00% 25,00% 15,00% 20,00% 15,00% 10,00% 10,00% 5,00% 5,00% 0,00% 2006 2007 2008 2009 0,00% 2006 2007 2008 2009 Nel Regno Unito il trend associato alle frodi di tipo Face to Face e ATM, è decrescente, sebbene diminuisca meno rispetto ad altre tipologie di illeciti, rimanendo legato a fenomeni come il furto/smarrimento della carta e il furto di identità. In Australia il fenomeno legato alle frodi di tipo Card Present è principalmente associato alla non completa migrazione verso l EMV. In generale la diminuzione nel Regno Unito di frodi derivanti da contraffazione sul canale internazionale può essere ricondotta all implementazione di soluzioni di monitoraggio delle transazioni. Elaborazioni Value Team su fonti dati: Observatoire de la sécurité des cartes de paiement (Francia); UK Cards Association (Regno Unito); Australia Payment Clearing Association (Australia) 5
L andamento delle frodi di tipo Card Not Present nel periodo 2006-2009: Benchmark su Regno Unito e Francia Frodi su canale e-commerce (% sul totale delle frodi) Frodi su canale Mail e Phone order (% sul totale delle frodi) 45,00% 40,00% 35,00% Regno Unito Francia 30,00% 25,00% Regno Unito Francia 30,00% 25,00% 20,00% 20,00% 15,00% 15,00% 10,00% 5,00% 10,00% 5,00% 0 2006 2007 2008 2009 0 2006 2007 2008 2009 Ripartizione 2009 frodi e-commerce su canale in Francia Internazionale Nazionale Ripartizione 2009 frodi MOTO su canale in Francia 24% Internazionale Nazionale 49% 51% 76% Elaborazioni Value Team su fonti dati: Observatoire de la sécurité des cartes de paiement (Francia); UK Cards Association (Regno Unito) 6
Le maggiori azioni effettuate dagli issuer di carte di pagamento per il contrasto alle frodi Migrazione verso tecnologia EMV - La migrazione in area Europe1 ha raggiunto a settembre 2010 una percentuale di completamento pari al 65,4% per le carte e pari al 84,7% per gli apparati. Regno Unito e Francia hanno raggiunto la migrazione totale sia per le carte che per gli apparati. Nell area SEPA la migrazione di apparati ATM allo standard EMV ha raggiunto il 97%. * * * Apparati antiskimmer su ATM - L azione combinata di questa tipologia di contromisura insieme all introduzione della tecnologia EMV ha contribuito a garantire una riduzione complessiva degli attacchi ad ATM in area SEPA; nel 2010 gli attacchi fraudolenti finalizzati alla contraffazione di carte su ATM rappresentano meno del 50% del totale delle frodi perpetrate su tali apparati. * * * Introduzione 3D Secure per il canale e-commerce - L introduzione del servizio di autenticazione delle transazioni e-commerce, oltre a garantire l applicazione della liability per il merchant in caso di disconoscimento, rimane per l utente finale il sistema maggiormente efficace per proteggere gli acquisti e-commerce. L applicazione di soluzioni di strong authentication per abilitare il 3D Secure inizia a diffondersi rapidamente, ad esempio in Francia i maggiori issuer di carte di pagamento forniscono servizi di autenticazione basati su SMS OTP per le transazioni on-line. Rimane aperta la tematica associata alla protezione delle transazioni CNP di tipo MOTO. * * * Sistemi di monitoraggio transazioni carte - Generalmente l introduzione di soluzioni per il monitoraggio delle transazioni ha consentito una maggiore efficienza nell identificazione delle frodi e l applicazione di azioni maggiormente efficaci in termini di prevenzione. * * * Sistemi a livello paese per la prevenzione ed il contrasto delle frodi - La crescente sensibilità sul tema del contrasto alle carte di pagamento ha portato negli anni alla creazione di organismi nazionali che contribuiscono all attività di identificazione e prevenzione delle frodi, fornendo ad esempio servizi di condivisione di basi informative (ad esempio IHCF nel Regno Unito) * * * Certificazioni PCI DSS - Sebbene non esistano statistiche ufficiali il forte impulso dato dai circuiti alla certificazione PCI DSS è stato un importante driver per la riduzione delle frodi. L analisi dei dati sul Regno Unito presentano un trend in crescita e molto significativo in taluni settori merciologici. 7
Agenda Un benchmark internazionale di riferimento riguardo le frodi su carte di pagamento Soluzioni per il monitoraggio ed il contrasto delle frodi su carte di pagamento e canali remoti La gestione delle nuove sfide e alcuni spunti di riflessione 8
Principali ambiti di intervento per il contrasto delle frodi sui sistemi di pagamento Ambito Interventi Caratteristiche principali Interventi di natura tecnologica Adozione misure strutturali a livello di sistema o di servizio Sistema autorizzativo interno in modalità OLI Piattaforma di monitoraggio del rischio delle transazioni Interfacce / canali di comunicazione verso la clientela Migrazione carte di debito verso tecnologia EMV Introduzione protocolli 3-D secure per e-commerce Applicazioni di sistemi di strong authentication Indipendenza dal centro applicativo / circuit processor Rapidità di introduzione misure restrittive anti-frode Flessibilità dei blocchi (e.g. combinazioni, fasce orarie, ) Possibilità di inserire regole in modalità simulazione Monitoraggio transazioni bloccate Valutazione del rischio delle transazioni associato a parametri di controllo statici Valutazione del rischio delle transazioni associato alla varianza rispetto ad una baseline comportamentale Possibilità di delegare al cliente per eccezioni (deroghe e/o aggiunte) rispetto a blocchi impostati dalla banca Possibilità di restringere l applicazione del blocco solo ad alcuni clienti / banche /prodotti Possibilità di delegare ai clienti gli eventi sui quali attivare una notifica (e.g. soglia, orario, localizzazione, ) Interventi di natura organizzativa Normativa / processi per introduzione blocchi con finalità di contrasto frodi Normativa / processi per il monitoraggio delle transazioni con finalità di contrasto frodi Categorie di blocchi applicabili Profilatura clienti Profilatura prodotti Livelli di deroga per clienti / banche Livelli di aggiunta per clienti / banche Categorie di controlli applicabili Profilatura clienti Profilatura prodotti Regole apertura fascicolo frode Contatto con la clientela per accertamento frode Supporto al cliente per la pratica di rimborso Gestione contabile del rimborso Gestione del recupero tramite sistemi di garanzia 9
Interventi di natura organizzativa Processi di monitoraggio con finalità di contrasto alle frodi Definizione di politiche e linee guida Quantificazione impatti economici Formulazione budget e gestione risorse Sviluppo modello organizzativo Reportistica direzionale con KPI Aggiornamento sull evoluzione di fenomeni/tecniche di attacco/difesa Mantenimento relazioni verso fonti informative istituzionali e non convenzionali ESEMPLIFICATIVO Macrofasi Governo Intelligence Verifiche all accesso Rilevazione Analisi Contrasto Follow-up Prevenzione Gestione Principali attività Svolgimento di controlli sui Monitoraggio delle clienti all atto della anomalie rilevate sulle sottoscrizione di un servizio operazioni svolte all interno - veridicità identità dei servizi sotto indagine - rating di merito - superamento soglie - garanzie addizionali - contravvenzione regole - Raccolta delle Svolgimento di controlli sui segnalazioni provenienti clienti all atto dell utilizzo un da altre fonti interne ed servizio esterne - integrità strumenti di accesso - regole/soglie e pesi Inserimento in un case - manager delle operazioni anomale rilevati e Definizione di regole/ soglie attribuzione di ownership per la rilevazione delle di gestione operazioni anomali Svolgimento indagini di dettaglio sulle operazioni anomale rilevate al fine di identificare gli elementi compromessi Qualificazione e quantificazione del danno conseguente Contatto con il cliente per verificare le potenziali frodi Segnalazione ed coinvolgimento di strutture interne ed esterne Interruzione/limitazione dell illecito tramite interventi di contenimento Definizione delle azioni legali, commerciali e disciplinari da compiere Effettuare eventuali esposti verso FF.OO. Effettuare eventuali denuncie verso A.G. Effettuare eventuali comunicazioni verso la clientela Proposta di modifiche a processi/strumenti per aumentare l efficacia del processo di prevenzione delle frodi Proposta di modifiche a processi/strumenti per aumentare l efficacia del processo di gestione delle frodi Predisposizione reportistica di dettaglio e di sintesi Condivisione della best practice e dell esperienza 10
Interventi di natura tecnologica L introduzione di sistemi di monitoraggio delle transazioni all interno di una strategia di contrasto delle frodi Canali remoti ILLUSTRATIVO L evoluzione dello scenario delle frodi informatiche ha portato negli ultimi anni a una diffusione crescente, su base volontaria, di strumenti di monitoraggio e tracciamento delle operazioni effettuate tramite internet banking (a fine, 2009 il 72% delle banche implementa un sistema di monitoraggio delle transazioni, Fonte ABI) Azioni contrasto frodi Risk based authorization Blocchi OLI Blocchi OLI Monitoraggio batch Monitoraggio batch Monitoraggio batch Carte di pagamento Partecipazione fondi garanzia Partecipazione fondi garanzia Partecipazione fondi garanzia Partecipazione fondi garanzia Gestione contestazioni Gestione contestazioni Gestione contestazioni Gestione contestazioni Gestione contestazioni Banche piccole e medio-piccole Banche medie e medio-grandi Banche grandi a livello domestico Banche grandi a livello internazionale 11
Sistemi di monitoraggio - Le tipologie di controlli utilizzabili per il monitoraggio delle transazioni: regole statiche vs analisi comportamentali Tipologia Descrizione Controlli ESEMPLIFICATIVO Controlli basati su regole statiche Sono controlli costruiti sulla base di schemi frodatori già noti Vengono applicati indipendentemente dallo specifico profilo del cliente Hanno un valore tipicamente binario (SI / NO) che tipicamente porta alla generazione di un numero elevato di falsi positivi Sui parametri della transazione Sui parametri del canale Di orario (e.g. fasce critiche, frequenza, ) Di valore (e.g. superamento massimali, saldo finale, ) Di destinatario (e.g. presenza in blacklist, nazionalità, nuovo, MCC, ) Di geolocalizzazione (e.g. localizzazione, provider, acquirer, linguaggio, ) Di tecnologia (e.g. sistema operativo, browser, indirizzo IP, terminal-id ) Controlli basati su analisi comportamentale Sono controlli costruiti sulla base di analisi statistiche sulle transazioni effettuate in un certo periodo Vengono applicati in modalità differente a seconda del profilo del cliente e del canale utilizzato Hanno un valore compreso entro un range di priorità (0 / 100) che tipicamente porta ad una riduzione dei falsi positivi (a parità di capacità di identificazione) Sui parametri della transazione Sui parametri del canale Su altri parametri del servizio Di orario (e.g. schedulazione, Di valore (e.g. valore medio, arrotondamento, rapporto saldo/valore, ) Di destinatario (e.g. correlazione con altri clienti, località, cognome, ) Di geolocalizzazione (e.g. accesso da diversi luoghi in breve tempo, ) Di tecnologia (e.g. stesso device di accesso con altri clienti, ) Di servizio (e.g. cambio password, cambio informazioni anagrafiche, ) Di profilatura (e.g. età, tipologia di conto, localizzazione geografica, ) Di appartenenza a liste (e.g. banca, ISP, black-list, login list, ) 12
Modello funzionale di una piattaforma per il monitoraggio verticale delle frodi su canali remoti e carte di pagamento Data source layer Data Risorse Architettura integration logica layer di sicurezza Analytics layer Investigation Risorse Architettura layer logica di sicurezza Action layer ILLUSTRATIVO Transaction data (e.g. transaction type, amount, currency, authentication method, time, ) Customer data (e.g. name, address, postal code, ) Card data (e.g. PAN, ATM/POS limits, type, status, expiration date, ) Historical data (e.g. open alerts, non confirmed frauds, latest alerts, ) Channel data (e.g. acquiring institution, terminal ID, merchant ID, location, ) Operational DBs Statistical analytics (e.g. moving average, regression, ) Behavioral analytics (e.g. neural networks, adaptive models, ) Watch list analytics (e.g. name, address, merchant, ) Matching analytics (e.g. rules, policy, pattern, models, ) Link analytics (e.g. accounts, beneficiaries, branches, ) Alert Alert Alert Alert Alert Alert management (e.g. risk scoring, prioritization, queuing, data enrichment, ) Case management (e.g. workflow, information repository, ) Performance management (e.g. frauds KPI, ioperations KPI, rules KPI, ) Authorization system (e.g. VISA Electron, Maestro, Mastercard, Bancomat, ) Authorization system (e.g. VISA Electron, Maestro, Mastercard, Bancomat, ) Clients (e.g. by phone, by messaging system, by branch, ) Other Banks department (e.g. audit, branches, compliance, operational risk, security, ) Client data (e.g. limits, trip information, alerting settings, ) Analytics development (e.g. techniques development, sensitivity testing, model/rule deployment, ) 13
Evoluzione dei sistemi di monitoraggio in un ottica di Enterprise Fraud Management System L introduzione di un sistema di Enterprise Fraud Management System è spesso necessaria laddove gli istituì finanziari allargano le possibilità di interconnessione tra i differenti prodotti offerti e si aprono in modo significativo alla multi-canalità, un altro diriver importante è associato alla necessità di aggregare all interno di un unico workflow la gestione degli allarmi provenienti da differenti sistemi verticali. ESEMPLIFICATIVO Prodotti Conti Correnti Carte di pagamento Prodotti Conti Correnti Carte di pagamento Canali Phone Banking Mobile Banking Internet Banking ATM/POS E-commerce Canali Phone Banking Mobile Banking Internet Banking ATM/POS E-commerce Portali Web gestione carte Sistemi verticali Sistemi verticali Strato di correlazione Analisi del device Localizzazione delle operazioni Analisi operazioni account Workflow unificato Case management Sistema EFM Fraud intelligence Reporting 14
Funzionalità di correlazione e workflow unificato per un Enterprise Fraud Management System Analisi del device Case management ESEMPLIFICATIVO Mettere a fattore comune le informazioni associate alle caratteristiche dell apparato utilizzato dal cliente per effettuare l accesso tramite il medesimo canale, ad esempio: Internet Banking E-commerce (3D Secure) Portali gestione carte Localizzazione delle operazioni Gestione unificata degli allarmi provenienti da differenti sistemi verticali Gestione delle code di lavorazione degli analisti e applicazione modelli di prioritizzazione degli eventi Gestione documentale degli allegati Funzionalità di ricerca avanzata Fraud intelligence Valutare comportamenti anomali associati alle abitudini del cliente, ottenuti attraverso la correlazione di differenti fonti: Geolocalizzazione IP per i servizi Web Localizzazione di ATM/POS utilizzati dal cliente per effettuare operazioni di acquisito o prelievo Capacità di correlazione degli allarmi provenienti da fonti dati differenti Analisi olistica delle abitudini e dei comportamenti dei clienti Definizione delle relazioni tra clienti, prodotti e analisi geografica Analisi operazioni account Reporting Utilizzo di repository unici contenente i beneficiari delle operazioni dispositive dei clienti Valutazione delle caratteristiche e delle abitudini associate alle operazioni dispositive dei clienti su molteplici prodotti Strutturazione di indicatori globali di rischio frode associati a canali, servizi, prodotti, paesi di provenienza Definizione di indicatori di sintesi per le differenti funzioni aziendali (Rischi Operativi, Compliance, ) Applicazione di un modello di valutazione dei savings prodotti dal processo 15
Agenda Un benchmark internazionale di riferimento riguardo le frodi su carte di pagamento Soluzioni per il monitoraggio ed il contrasto delle frodi su carte di pagamento e canali remoti La gestione delle nuove sfide e alcuni spunti di riflessione 16
Le sfide del futuro per i Fraud Manager... Le sfide dei prossimi anni richiederanno un approccio olistico e integrato che permetta di gestire i seguenti aspetti: Servizi di pagamento sempre più interconnessi L evoluzione dei servizi consentirà una sempre maggiore flessibilità al cliente che potrà pertanto accedere a strumenti di pagamento tramite differenti prodotti e attraverso differenti canali Nuovi strumenti di pagamento La diffusione di strumenti di pagamento innovativi (ad es. mobile payment), anche con l affacciarsi di nuovi player di mercato, aprirà nuovi scenari tecnologici da monitorare con attenzione Evoluzione delle minacce tecnologiche L esperienza acquisita con gli ultimi banking malware, ha rafforzato la convinzione che l evoluzione delle minacce segue rapidamente l evoluzione delle contromisure, soprattutto nell attuale contesto dove il cybercrime è in grado di organizzarsi rapidamente 17
e alcuni spunti di riflessione L applicazione di una efficace strategia antifrode può pertanto traguardare: L allargamento e l integrazione del perimetro di monitoraggio Garantendo piena copertura rispetto a tutte le operazioni effettuate dal cliente attraverso i canali remoti, massimizzando l efficacia di detection per le frodi di tipo cross channel La gestione delle sinergie all interno e all esterno del contesto bancario Attraverso uno scambio rapido ed efficace delle informazioni in grado di ottimizzare le attività di prevenzione, sia all interno tra differenti dipartimenti aziendali sia all esterno verso enti e istituzioni Una costante e continua analisi del contesto tecnologico Attraverso l approfondimento delle tematiche legate alle nuove minacce e vulnerabilità tecnologiche, tramite attività di scouting, intelligence e verifica 18
Value Team: la Divisione Sicurezza Divisione dedicata alla Sicurezza Mission Fornire un delivery end-to-end sulla sicurezza unendo competenze e soluzioni dedicate Offerta di servizi e soluzioni su tutte le aree della sicurezza con modelli integrati di servizio sulla sicurezza fisica e logica Presenza diffusa in ambito Banking Leader sul mercato nazionale sui grandi clienti (Finance, Telco, PA, Infrastrutture) Più di 280 security professional Presenti in Italia e in Europa Roberto Testa Community Manager Value Team Email: roberto.testa@valueteam.com 19