Comment nudata de la société mastercard valide les transactions en ligne

Avec le flux constant de clients qui entrent dans les magasins et consultent des sites Web marchands, comment les marchands savent-ils qu'un client est légitime ou frauduleux? Dans le monde du commerce électronique, les émetteurs de cartes de crédit prennent des mesures pour le compte des commerçants afin de valider les informations d'identification des clients en matière de paiement face aux menaces de fraude et de vol d'identité.

L’introduction des cartes à puce dans le but de sécuriser davantage le traitement des cartes de crédit a constitué une étape au cours des dernières années. Mais même cela ne suffit pas, selon une étude intitulée "State of Retail Payments", réalisée par la National Retail Federation et Forrester Research. En effet, les paiements en magasin devenant de plus en plus sécurisés avec les paiements par carte à puce, les voleurs d’identités ont migré vers l’espace de paiement en ligne pour tirer parti des vulnérabilités. Rien d’étonnant à ce que, parmi les détaillants interrogés par NRF et Forrester parmi les 55%, la fraude constituait leur principal défi en matière de paiement.

NuData Security, une société Mastercard, aide les commerçants à déterminer si l’utilisateur responsable d’une transaction en ligne est réel ou frauduleux. Une activité suspecte peut inclure un utilisateur non autorisé prenant en charge un compte, créant un faux identifiant de connexion ou cherchant à acheter un produit en ligne de manière frauduleuse. La personne frauduleuse peut avoir volé une bibliothèque d’identifiants d’utilisateur et de mots de passe, comme une collection de comptes d’un détaillant.

"Détaillants, commerçants et émetteurs, ils ont tous du mal à déterminer s'il s'agit d'un véritable utilisateur qui se connecte ou si c'est quelqu'un qui se fait passer pour un utilisateur qui tente de commettre une fraude", a déclaré Don Duncan, directeur du développement commercial de NuData.

Au cours du processus de validation, NuData peut déterminer si le périphérique est un périphérique iOS ou Android et à partir duquel l’utilisateur se connecte. Une fois la télémétrie collectée à partir d'un périphérique tel qu'un PC ou un téléphone portable, NuData la synthétise et en rend compte aux marchands. Bien que les marchands ne reçoivent pas d'informations personnellement identifiables, ils gagnent en intelligence d'affaires sur le niveau de risque que présente un client.

"Ce que nous faisons, c'est que nous donnons aux détaillants et aux commerçants cette visibilité sous la forme d'un score de risque, non seulement lors de la création de la connexion et du compte, mais aussi jusqu'aux paiements", a déclaré Duncan.

Ces points de données incluent des informations sur le périphérique du client, son adresse IP et sa connexion. Si les émetteurs estiment avoir besoin de plus d'informations sur l'utilisateur pour décider si l'identité du client est légitime, ils peuvent demander un "renforcement", a déclaré Duncan. "Ce commerçant ou détaillant peut déterminer sur le Web ou sur une application mobile la manière dont il devrait s’engager avec cet utilisateur pour l'avenir", a déclaré Duncan.

Comment fonctionne EMV 3DS

Lorsque les clients effectuent un achat, les émetteurs de cartes de crédit peuvent utiliser une spécification appelée EMV 3-D Secure (3DS) pour valider la transaction. EMV 3DS fournit un protocole de messagerie permettant aux consommateurs de s'authentifier lors d'un achat en ligne sans carte physique, appelé "carte absente". Ce processus implique l'authentification des acheteurs en temps réel avant qu'une transaction ne soit effectuée au point de vente. En 2016, EMVCo a introduit EMV 3-D Secure 2.0 (3DS 2.0), que les marchands et les émetteurs doivent activer en Europe à partir d'avril 2019. Le protocole 3DS 2.0 permet aux émetteurs de collecter jusqu'à 150 points de données pour évaluer une transaction par rapport aux 15 points de données. EMV 3DS utilisé.

Selon EM, un des avantages de l'utilisation d'EMV 3DS est d'éviter les faux refus lorsque les achats sont refusés par erreur, selon un rapport intitulé "3-D Secure 2.0: Considérations essentielles pour les commerçants" de NuData et du cabinet de recherche Aite Group. Et les faux déclins amènent les acheteurs à aller ailleurs. Parmi les acheteurs interrogés lors d'une enquête menée par Riskified, un fournisseur de solutions de gestion de fraudes dans le commerce électronique, 42% ont déclaré qu'ils abandonneraient complètement leur panier d'achat ou achèteraient un produit d'une autre société après un refus de paiement.

Le processus de validation implique la télémétrie à l'aide d'une application telle que NuDetect de NuData. "Lorsque vous utilisez une application mobile, l'application de télémétrie peut être utilisée pour valider votre identité", a expliqué Duncan. "Lorsque vous entrez dans un magasin, je ne connais peut-être pas votre nom, mais je reconnais votre façon de marcher, votre façon de parler et votre façon d'interagir."

Duncan a poursuivi: "Nous examinons cette interaction de l'utilisateur avec le périphérique, et cette interaction nous permet de déterminer s'il s'agit vraiment de cet utilisateur ou s'il peut s'agir d'une personne se faisant passer pour lui sous forme d'automatisation."

Le protocole EMV 3DS aide les émetteurs à gagner en transparence face à une éventuelle fraude au paiement. Crédit: NuData Security

Analyse biométrique et comportementale

Des émetteurs comme NuData fournissent des informations comportementales au détaillant ou au commerçant en temps quasi réel. Sur le back-end, un émetteur de carte de paiement utilise EMV 3DS pour valider les utilisateurs et décider si une validation supplémentaire est nécessaire, a expliqué Duncan. Si une banque remarque que quelque chose semble différent lorsque les acheteurs reviennent pour acheter quelque chose, le commerçant demandera une empreinte biométrique ou un autre type de validation.

Les experts en sécurité peuvent également suivre la cadence de la manière dont un utilisateur tape si un système automatisé tente d'emprunter l'identité d'un utilisateur. C'est ce qu'on appelle la biométrie passive. Les émetteurs étudient également l’analyse comportementale à l’aide d’indicateurs tels que la vitesse de navigation et le temps qu’un utilisateur consacre à une page Web.

"Nous transmettons ces renseignements aux marchands ou aux détaillants, qui ont ensuite la possibilité de les utiliser pour déterminer, en particulier au moment du paiement, s'il existe une possibilité que quelqu'un essaie de commettre une fraude ou non", a déclaré M. Duncan.

Duncan a donné un exemple de la façon dont vous pouvez étudier comment un conducteur conduit une voiture pour savoir si c'est vraiment cette personne qui conduit. Cela fonctionne de la même manière avec les transactions d'achat. Dans le cadre de ce processus de validation, une fois qu'une entreprise a validé un utilisateur, le processus d'achat peut comporter moins d'étapes pour que le consommateur se rende à l'achat. "Plus je vous comprends, plus je sais ce que vous aimez, plus je ne sais ce que vous n'aimez pas, et vous finirez par commencer à rendre ce processus d'achat très efficace", a déclaré Duncan. "Et c'est ce que nous essayons de faire en ligne."

En effectuant une pré-vérification des acheteurs avant de faire leurs achats, l'expérience d'achat réelle peut être plus agréable pour les consommateurs et il se peut qu'ils ne soient pas invités à entrer un code lors de leur commande. selon Duncan. Au fur et à mesure que les clients sont validés via leur ID d'appareil, leur navigateur et leur adresse IP, ils auront moins d'authentification à leur prochaine visite sur un site marchand et ils n'auront pas à courir et à obtenir leur carte de crédit pour valider la transaction.

À l’avenir, le principal défi pour les commerçants est de préserver la transparence de l’achat pour les acheteurs légitimes tout en "rendant les choses frustrantes pour les fraudeurs".

"Parce que pour le moment, de nombreux marchands et détaillants", a déclaré Duncan, "ils ne peuvent pas faire la différence entre un bon utilisateur et un mauvais utilisateur".