Pago con tarjeta. Evitar riesgos

Según diferentes estudios de la Asociación de Compensación de Pagos, una de cada tres personas ha sido víctima de algún fraude con su tarjeta de crédito. En Reino Unido el fraude anual sobre tarjetas perdidas o robadas supera los 130 millones de euros y el fraude de falsificación supone casi 150 millones de euros. En España sólo el año pasado la policía detuvo a 377 personas por vinculación con este tipo de delitos.

Con el fin de dar mayor confianza y seguridad a los usuarios de tarjetas, desde PCI asociación que agrupa a la industria de las tarjetas de pago (Visa, MasterCard, Worldwide, American Express, Discovery Financial Services y JCB Internacional) han promovido la implantación de una serie de normas de seguridad de datos que deben seguir todos las entidades y empresas (entre ellas los comercios) que intervienen en este tipo de transacciones financieras. La normativa recibe el nombre de PCI DSS por sus siglas en inglés (Payment Card Industry Data Security Standard).

La iniciativa se lanzó en 2004 con el objetivo de que en 2007 los comerciantes europeos compatibilizaran sus sistemas de pago con los nuevos estándares. Sin embargo, son muy pocos los que hoy en día cumplen con los requisitos, la mayoría por falta de información.

Para conocer más sobre la iniciativa (implantación, beneficios, particularidades) y su aportación al mundo del comercio minorista, DISTRIBUCIÓN ACTUALIDAD ha hablado con Lara Fiorani, PCI DSS Technical Manager de Visa Europa.

Objetivo y beneficios
El estándar PCI DSS permite a las organizaciones que procesan pagos con tarjeta tener una guía para evitar fraudes, vulnerabilidades y amenazas de esta forma de pago con el objetivo de proteger la intimidad de los titulares. Como dato, extraído del estudio Javelin Strategy and Research 2007, el 63% de los consumidores opina que los comercios son el punto débil a la hora de proteger los datos de sus tarjetas. Además, tres de cada cuatro señalan que no volverían a realizar compras en un establecimiento en el que han sufrido una incidencia de seguridad.

En definitiva como señala Lara Fiorani, un comercio seguro fomenta la confianza de los consumidores y aporta valor a la marca, por lo que “invertir en cumplir con los estándares debería formar parte de los planes de retención de clientes de los minoristas”. Esto es, según su experiencia, lo que más atrae a los grandes retailers a la hora de apostar por esta iniciativa.

Por su parte, las cadenas más pequeñas, lo que más valoran es que les evite los costes derivados de incumplir con el compromiso de salvaguardar los datos de las tarjetas de los clientes que pueden alcanzar en algunos casos los diez millones de euros. “Se ha convertido en un elemento competitivo y que ayuda a cumplir con la legislación europea de protección de datos ya que es un instrumento para implementarla”, remarca.

Desde su lanzamiento todos los comerciantes que procesan más de 20.000 operaciones tienen que utilizar sistemas compatibles con esta regulación. En el caso de que un comerciante no cumpla con estos requisitos, los bancos emisores pueden imponer multas de hasta 250.000 euros por cada incidente, restringir el uso de tarjetas en el establecimiento o incluso su utilización.

Implantación
La primera etapa en la adaptación a PCI DSS es identificar las redes y sistemas que deben cumplir las normas. Una vez detectadas e identificados los elementos que no cumplen con el estándar se desarrolla un Plan de Acción de medidas correctoras y se pone en práctica.

Como señala Lara Fiorani, la complejidad de la implantación varia mucho y depende del nivel de seguridad actual del comercio. “Las cadenas pequeñas si no tienen un sistema muy complicado no encuentran muchas dificultades para compatibilizarlo con las normas, sin embargo, una cadena que opera por Internet, por teléfono y en punto de venta físico tendrá más dificultades porque tiene que actuar sobre varios canales”.

Los requisitos y actuaciones para conseguir adaptar el sistema de cobro por tarjeta al estándar de la industria varían según el volumen de transacciones que realiza el comercio. Existen cuatro niveles. El primero incluye a los comercios, independientemente de los canales en los que operen, que realizan 6.000.000 operaciones anuales; el segundo, a los que realicen desde 1.000.000 hasta los 6.000.000; el tercero hace referencia sólo a los e-commerce que registran entre 20.000 hasta 1.000.000 de transacciones y el nivel cuatro acoge a todos los demás establecimientos.

Hasta ahora, a nivel europeo se han conseguido buenos resultados en los tres primeros niveles, “en el cuarto aún no hemos empezado a trabajar”. Los mayores avances se han obtenido en Suecia y Reino Unido, mientras que en España se está empezando a trabajar muy en serio y aunque no estamos al nivel del resto de Europa “va creciendo bastante bien”, y desde Visa esperan que muy pronto alcance el mismo nivel que Suecia.

Por temas de confidencialidad entre bancos y clientes, Lara Fiorani no puede desvelar los nombres de los minoristas que trabajan para compatibilizar sus sistemas pero, asegura que hay cadenas muy importantes. “Los comercios grandes son los que han iniciado el proceso y se han puesto en contacto directamente con nosotros”.

El camino hasta llegar a la situación actual no ha sido fácil, indica la representante de Visa, “al principio encontramos mucha resistencia porque todo el mundo aseguraba que sería muy difícil adaptarse, pero ahora tenemos la prueba de que se puede hacer y los comercios que lo hacen, aprecian la importancia del nivel de seguridad mayor que van a tener.” “Ahora quieren ser los primeros en su país, los primeros en su sector, los primeros en su categoría en cumplir las normas”.

Último paso
El pasado mes de junio Visa Europe lanzó un innovador proyecto piloto para combatir el fraude en transacciones con tarjeta no presente. Se trata de su Tarjeta Visa PIN, desarrollada conjuntamente con Emue Technologies Pty Ltd. Este dispositivo aunque parece a simple vista una tarjeta convencional, combina un chip de crédito o débito con una tecnología que genera una clave segura y única que el titular puede ver en una pequeña pantalla alfanumérica de ocho dígitos integrada en la tarjeta.

Como señala el presidente y consejero delegado de esta asociación, Peter Ayliffe, la industria debe encontrar formas de pago cada vez más sofisticadas para hacer frente a los delincuentes, que al observar la efectividad de la tecnología chip en los comercios, están más volcados en defraudar a través de las transacciones en las que la tarjeta no está presente físicamente como es el caso de las compras por Internet.

Con la nueva Visa PIN, el proceso para validar la transacción se lleva a cabo en tres pasos. Primero, el titular activa el proceso de autentificación eligiendo la opción adecuada simplemente presionando los botones en el teclado de que dispone la tarjeta, después se le pedirá la introducción de su PIN habitual y una vez introducido, aparece en la pantalla una clave única que sólo es válida para la transacción en curso y que deberá ser usado por el titular para autentificar la operación.

ENTIDADES A LAS QUE AFECTA PCI DSS

Emisores: entidades bancarias que emiten tarjetas de pago propias bajo las marcas agrupadas en PCI

Adquirientes: entidades bancarias que mantienen relaciones con los comerciantes que aceptan pago a través de tarjetas.

Proveedores de servicios: empresas que implementan una pasarela de pago, fabricantes de tarjetas, procesadores de transacciones, etc.

Comerciantes: comercios finales que aceptan pagos con tarjeta, como super/hipermercados, e-commerce, agencias de viajes.