A Budapesti Corvinus Egyetem rektora, Bruno van Pottelsberghe a Mastercard és a Corvinus közötti partnerség fontosságát emelte ki a „Pénzügyi kiberbiztonság és PSR az EU-ban” c. rendezvény nyitóbeszédében, illetve a magyar EU-s elnökség prioritásairól szólt. A rektor fontosnak tartja, hogy az EU-s szabályozásokra jelentős hatással legyen az elnökségünk. Márkus Gergely (Mastercard) ezzel kapcsolatban kiemelte, hogy a PSD2 szabályozás felülvizsgálata, a PSD3 és a PSR szabályozás is napirenden van, amikor Magyarország tölti be az EU-s elnökséget, tehát az NGM szakértői alakítják most ezeket a témákat. „Az iparági párbeszéd elengedhetetlen ahhoz, hogy a lehető legjobb szabályozás alakuljon ki” – jegyezte meg.
Luspay Miklós (MNB) a csalási trendekről és a pénzforgalmi szabályozói környezet változásáról tartott előadást. Szerinte az életünk néhány év alatt alaposan megváltozott, felgyorsult a digitalizáció miatt: új technológiák, szolgáltatások és szolgáltatók jelentek meg, ez gyökeresen átalakította és megreformálta a bankokat is. A kibertérben történő bűnözés oka, hogy ma már itt éljük az életünk nagy részét és zömében itt zajlanak a fizetéseink is. Ezt egy példával is szemléltette:
2000-ben még 10 ezer autót loptak, 2010-ben 5 ezer, tavaly 400-at. Ma már a digitális térben zajlanak a lopások
A csalásokkal szembeni védekezés kapcsán kiemelte, hogy ez egyszerű módszerekkel is történhet, a kártyalimitek, átutalási limitek fontosságát emelte ki, mely ma még nem minden banknál érhető el.
A visszaélések 90%-a 1 millió feletti átutalással történik. Ha ezt a limitet a bankok automatikusan beállítanák, a csalások nagy szeletétől óvhatnánk meg az ügyfeleket.
A jelenleg jogszabálytervezetként létező uniós fizetésforgalmi szabályozás, a Payment Service Regulation (PSR) kapcsán kifejtette, hogy az MNB támogatná, hogy a fraud ajánlásban lévő visszaélés-megelőzést célzó szabályokhoz hasonló előírások a PSR-ben is szerepelnének.
A valós idejű tranzakció-monitoring rendszerek is sokat segíthetnek a védekezésben, az átutalásoknál pedig a jövő év közepén élesedő Központi Visszaélésszűrő Rendszer (KVR) nagyban támogathatja majd a bankokat abban, hogy a csalási eseteket, gyanús tranzakciókat kiszűrjék.
Nemes Máté (Mastercard) előadásában kifejtette, hogy 2024-ben a becslések szerint
a kiberbűnözés okozta globális kár 9,5 ezer milliárd dollár tehet ki, ez a harmadik legnagyobb gazdaság lenne a világon.
A kiberbiztonság és a csalások problémája begyűrűzik a mindennapjainkba, aláássa a digitális gazdaságot. Gyakran a kis és közepes vállalatok a mindennapi működésre koncentrálnak, nem foglalkoznak a kiberkockázatokkal. Ám egy széleskörű EU-s felmérés szerint azon cégek 60%-a, akiket kibertámadás ér, fél éven belül megszűnik a tapasztalatok szerint. Ráadásul cégmérettől függetlenül, azoknak a cégeknek, akiket egyszer már kibertámadás ért, azok 43%-át érte legalább még egy támadás az elsőt követően. A tanulság, hogy az egyszer megtámadott cégeket újra megtámadják. Egy felmérés szerint a cégek a bankoktól várják a segítséget, hiszen ott tartják a pénzüket.
Horváth Katalin (CMS) előadásában kiemelte, hogy a PSR most a tanács előtt jár, még jöhetnek módosítások, számos változás lehet a tervezetben. A PSR legfontosabb újszerű elemei:
- A PSR újfajta csalásmódokat is szabályoz, ilyen a megszemélyesített csalás, amikor például egy bank nevében, annak telefonszámát, felületeit másolva veszik fel a kapcsolatot az ügyféllel.
- Új felelősségi szabály is lesz, épp utóbbi csalástípusok esetén a bank köteles állni az elszenvedett kárt, kivéve, ha az ügyfél öncsalást követ el vagy súlyosan gondatlan volt.
- Ellenőrizni kell majd az IBAN (számlaszám) és a név egyezését az átutalásoknál, ez eddig nem volt kötelező, ezt az ügyfél be- és ki is kapcsolhatja.
- Szélesebb csalásmegelőzési edukációs kötelezettsége lesz a bankoknak, a saját munkavállalókat is kötelező lesz tréningezni.
- Mivel sok csalás érkezik az ügyfelekhez link formájában vagy e-mailben, a bankok esetében előírják, hogy nem lehet olyan e-mailt küldeni, amiben link vagy csatolmány van. Ha ezt nem tartja be a bank, a fizető fél nem fog felelni az ebből eredő kárért.
- A tranzakció monitorozási mechanizmusban az erős ügyfélhitelesítés támogatására kötelezően vizsgálandó faktorokat, adatköröket írnak elő, így például a használt eszköz IP címét, tranzakció történet adatait, a csalási mintázatok elemzését is. Ha pedig ezek alapján csalásgyanús egy tranzakció, azt le kell tiltani.
- A PSR pedig az erős ügyfélhitelesítés alóli kivételek között már részletesebben fogja szabályozni a kereskedő által kezdeményezett fizetési tranzakciókat (ún, MIT), vagy a telefonon kezdeményezett fizetéseket (ún. MOTO) is.
- A PSR túlnyúlik a bankszektorok és az elektronikus hírközlési szolgáltatókra és online platform üzemeltetőkre is határoz meg a csalásmegelőzésben plusz kötelezettségeket és felelősségeket.
- A jogszabálytervezet a hátrányos helyzetű csoportok számára is biztosítja az eős ügyfélhitelesítéshez való hozzáférést.
Martinovic Boris (Mastercard) előadásában a Mastercard PSR-rel kapcsolatos javaslatait ismertette. Kifejtette:
- a PSR támogatja a viselkedési biometriát, amikor egy felhasználó környezeti és viselkedési adatait elemzik tranzakció monitoringhoz. Ilyen adatok lehetnek, hogy honnan, milyen IP-címről, eszközről jelentkezik be valaki, hogyan, milyen gyorsan gépel. Ezt a fajta elemzést érdemes lenne egy új erős ügyfélhitelesítési faktorként, akár a tulajdonság faktor keretében elismerni.
- A PSR megújítja az erős ügyfélhitelesítés szabályait, két egy kategórián belüli faktort is elismerne, ez új, innovatív autentikációs módok előtt nyitja meg a teret. Ám a tudás faktort a legkönnyebb kompromittálni (pl. jelszavak, azonosítók), ezért ebben a kategóriában ezt a szabályt nem lenne szerencsés bevezetni.
- Az adatmegosztást a PSR szélesebb körben várja el a pénzforgalmi szolgáltatók között. Ám az új szabályok elsősorban rájuk fókuszálnak, és nem térnek ki a technikai szolgáltatókra (mint amilyen a Mastercard és más technológiai cégek), akik a bankok számára fraud rendszereket fejlesztenek és működtetnek. Az adatmegosztást tehát a technikai szolgáltatók irányába is érdemes lehetővé tenni.
Az előadásokat követő kerekasztal beszélgetésen a PSR várható piaci hatásai mellett a csalási trendekről mondtak véleményt a téma szakértői. Dr. Kő Andrea (Budapesti Corvinus Egyetem) arra is felhívta a figyelmet, hogy nagy kiberkockázatot jelent, amikor a home officeban, távmunkában dolgozók nem ellenőrzött környezetből jelentkeznek be a vállalati rendszerekbe. Emellett ma már nagyon sokan használunk mesterséges intelligencia eszközöket, megoldásokat, de nem mindig vesszük figyelembe az adatok megosztásának kockázatát.
Horváth Katalin (CMS) egy ijesztő csalási esetet mutatott be, amikor egy pénzforgalmi szolgáltató kritikus rendszereit mesterséges intelligencia segítségével támadták meg:
Már egy hónappal a támadás előtt beférkőzött az AI bot a banki rendszerekbe, kiképezte magát, és nem tudták azonnal megállítani, csak úgy, hogy leállították a teljes rendszert, mert a bot folyamatosan tanult.
Martinovic Boris (Mastercard) a külföldi csalás trendek betörésére hívta fel a figyelmet, Amerikában és nyugaton egyre jobban terjednek a romantikus csalások.
Amerikában terjed a „pig buchering scam”, amikor virtuális romantikus kapcsolat alakul két fél között. Kiderül, hogy az új „társ” kriptoeszközökön gazdagszik, bevezeti partnerét ebbe a világba, és kamuplatformokon látszólag szépen hízik az áldozat vagyona. Ám valójában nem történik valódi befektetés, az áldozat elveszíti a befektetett pénzét.
Kő Andrea (Budapesti Corvinus Egyetem) hozzátette, hogy a felsőoktatás, az akadémiai oldal is sokat foglalkozik a kibercsalások megelőzésével, kutatási projektjeikben hálózati betörésdetektáló gépi tanulási modelleket, valós idejű anomália feltárási megoldást és a biztonságtudatosság fejlesztését célzó megoldásokat fejlesztenek.
A PSR egyik vitatott pontja, hogy a felelősségi szabályok szigorodnak, a bankoknak kell helytállni a megszemélyesítéssel elkövetett csalásokért néhány kivételtől eltekintve. Ezzel kapcsolatban Luspay Miklós (MNB) kiemelte, hogy a szabályozó szeretné, ha a bankok hosszú távú fejlesztésekben gondolkodnának a csalásmegelőzés területén, ehhez pedig fontosnak tartják az ilyen jellegű anyagi ösztönzőket is.
Horváth Katalin (CMS) szerint a bankokat a szabályozói megfelelés annyira megterheli, hogy sem emberi, sem pénzügyi erőforrások nem jutnak az innovációra. Martinovic Boris (Mastercard) kiemelte, a szabályozói célrendszer érthető, de fontos lenne, hogy a szabályozó, a bankok, a technológiai cégek meghallgassák egymást. Ez Magyarországon jól működik, de külföldön ez nem mindenhol van így. Az erős ügyfélhitelesítés szabályainak megújítása kapcsán kiemelte, hogy érdemes lenne minél inkább a biometria irányába elmozdulnia a szabályozásnak és a piacnak is, a fejlődő technológiák még biztonságosabb autentikációt hozhatnak.
A címlapkép illusztráció. Címlapkép forrása: Getty Images
