Categoria: Emissor

Categorias
Bandeira Carteira Digital Cartões de Pagamento Credenciadora Data Breach Emissor Empreendorismo FinTech Fraude Meios de Pagamento Mobile Payments Payments Segurança Serviços Financeiros

Cibercrime brasileiro está mesmo clonando cartões com chip?

cartão clonado 3

Por Daniel Oliveira, CEO da paySmart.

Um artigo intitulado “Cibercrime brasileiro cria método para clonar cartões com chip”, recentemente publicado pela fabricante de antivírus Kaspersky, tem chamado a atenção da mídia. O artigo contém alegações alarmantes como:

“podemos assumir que todos os usuários foram comprometidos”,
“se você tem um cartão, os dados dele provavelmente já foram roubados” e
“agora que os criminosos desenvolveram maneiras de efetivamente clonar os cartões, isso se tornou um sério risco”.

Esse post é uma tentativa de explicar um pouco melhor a abrangência desse ataque e refutar essas alegações extraordinárias que, parafraseando Carl Sagan, deveriam ser acompanhadas de evidências extraordinárias.

Comprometimento total de terminais é coisa séria e pode permitir ataques mais elaborados no futuro, mas tudo indica que o ataque se trata de uma interceptação de dados, uma variação do “clássico” ataque de homem do meio, com proteções conhecidas.

Infelizmente, alguns emissores de cartão ainda não implementam essas proteções e estão sujeitos a fraudes. Mas afirmar que cartões com chip não são mais seguros já que alguns terminais foram comprometidos e alguns emissores não implementam medidas de segurança é quase o mesmo que dizer que carros não são seguros porque há lugares onde pessoas dirigem sem cinto de segurança.

Problema antigo, solução antiga

Como quase todos os protocolos e especificações de segurança, EMV, a tecnologia por trás dos cartões de pagamento com chip, tem problemas. Um deles, uma falha de design originalmente descoberta por pesquisadores da Universidade de Cambridge em 2010 e batizada de “PIN wedge”, é uma variação do clássico ataque de “homem do meio”, onde um oponente fica entre dois ambientes (no caso, entre o cartão e a maquininha) e engana, simultaneamente, os dois. Até aí, absolutamente nada de novo. O ataque de “PIN wedge” é conhecido há anos e tem uma série de contramedidas, também conhecidas.

O ataque em 2018

Parece ser, literalmente, mais do mesmo, com um toque de automatização para “facilitar a vida dos fraudadores”: um pacote de “fraude como serviço” para permitir que mais fraudadores menos experientes tenham acesso à essa tecnologia. Mas é importante frisar que o cartão é um cartão parecido com original — com alguns dados do cartão original — e não um clone perfeito, como o artigo induz o leitor desavisado a acreditar.

Um terminal comprometido é um problema porque ele pode ser utilizado para manipular dados da transação, capturar dados do cartão e coordenar outros ataques. Dados públicos, por exemplo, combinados com o código de segurança (impresso no verso) e dados pessoais que o fraudador pode obter por outros meios (como engenharia social), podem ser utilizados em outros ataques, como compras pela Internet. Mas dizer que “cartões estão sendo clonados” é um salto lógico, para dizer o mínimo.

Em determinado momento o artigo faz alusão à utilização do cartão para saque em caixas eletrônicos (“jackpotting ATMs and beyond”), o que é estranho pelo fato de que em transações de saque, a senha é sempre validada on-line — e um “yescard”, que aceite qualquer senha off-line, não poderia ser utilizado com tanta facilidade.

O artigo não deixa claro se os criminosos estão armazenando transações nos cartões e depois enviando essas transações duplicadas (“replay”). Mas se estão fazendo “replay”, a afirmação de que “utilizar Android Pay e Apple Pay” resolveria é estranha.

O artigo tem um tom panfletário, mas a boa notícia é que existem proteções razoavelmente simples contra esses ataques e a maioria dos emissores de cartões no Brasil, já as utilizam.

Para mais informações, veja a publicação original no site da paySmart

 

Categorias
Bandeira Carteira Digital Cartões de Pagamento Credenciadora Data Breach Emissor Empreendorismo Fraude Meios de Pagamento Mobile Payments Moeda Virtual Payments Serviços Financeiros

Fraude com Cartões de Pagamento

fraudes-cartoes-credito-loja-virtual

Vale a pena conferir a matéria de Fabiana Futema, publicada na veja economia, sob o título “Como funcionam as novas fraudes com cartão de crédito”

 

Categorias
Amex Banco Central Banco do Brasil Bandeira Bradesco CADE Carteira Digital Cartões de Pagamento Cielo Credenciadora Elo Emissor Empreendorismo FinTech Hiper Itau-Unibanco MasterCard Meios de Pagamento Mobile Payments Moeda Virtual Payments PayPal Rede Regulamentação Serviços Financeiros Subcredenciadoras Visa

Meios de pagamento e o direito do consumidor

direito-do-consumidor-c

Texto de:  Mareska Tiveron Salge de Azevedo e Priscila Delanesi Guedes, do escritório MARESKA TIVERON SALGE DE AZEVEDO.

Responsabilização indevida dos prestadores de serviços de Meios de Pagamento no âmbito do Direito do Consumidor

Tema bastante debatido e de constante relevância para as Instituições de Pagamento, especialmente para as que atuam em ambiente virtual (online), é o pleito por consumidores finais que, não tendo recebido mercadoria adquirida em transação realizada via internet ou recebida com atraso/avarias (desacordo comercial), além de ajuizarem ações contra o vendedor da mercadoria, também acionam as Instituições de Pagamento, visando serem ressarcidos por estas.

Tendo em vista a atuação dos prestadores de serviços de Meios de Pagamento, que tem o vendedor como cliente, sem qualquer relação direta com o consumidor final, atuando única e exclusivamente no âmbito da viabilização do pagamento, é inadmissível que sejam responsabilizados por desentendimentos havidos na relação comercial entre o consumidor e o seu fornecedor de produtos/serviços. O prestador de serviços de Meios de Pagamento não faz parte da cadeia de consumo na qual se insere o consumidor final que adquire produtos na internet, isto é, não atua como intermediário, anunciante, garantidor, corretor, vendedor, etc.

Trazendo a situação para o mundo físico, de maneira a facilitar a visualização do equívoco, a eventual responsabilização do prestador de serviços de Meios de Pagamento, neste contexto, equivaleria responsabilizar qualquer empresa que preste serviços para uma loja física (fornecedora de energia elétrica ou a empresa de limpeza, por exemplo) por um defeito encontrado em uma mercadoria vendida na loja. No mundo virtual, tal responsabilização indevida recairia, por exemplo, sobre a agência que construiu o website (loja virtual) ou sobre a prestadora de serviços de Meios de Pagamento.

Não obstante a tendência legislativa e jurisprudencial, diga-se, justa, de proteger o consumidor final, por ser este parte hipossuficiente na relação de consumo, não se pode admitir a sua proteção ilimitada. Assim, tendo em vista a inexistência de direito absoluto no ordenamento jurídico brasileiro, é imperativo que o poder judiciário (e demais autoridades administrativas) compreenda em profundidade o mercado de Meios de Pagamento, de maneira a responsabilizar os verdadeiros culpados pelos danos sofridos pelo consumidor final.

Vale lembrar, ainda, que eventuais acordos firmados entre Instituições de Pagamento e consumidores finais com o exclusivo intuito da empresa de solucionar rapidamente a questão financeira e evitar arrastar litígios e contingências, após homologados no âmbito das ações judiciais, podem acabar sendo interpretados como assunção de culpa, formando uma jurisprudência contrária ao entendimento presente neste artigo.

Categorias
Amex Banco Central Banco do Brasil Bandeira Bradesco Carteira Digital Cartões de Pagamento Cielo Credenciadora Elo Emissor FinTech Hipercard Itau-Unibanco MasterCard Meios de Pagamento Mobile Payments Payments PayPal Rede Regulamentação Serviços Financeiros Subcredenciadoras Visa

Parcelado ‘sem juros’: quem ganha e quem perde?

a PSJ 4
A história mostra que, em países que passaram por décadas de instabilidade economia e/ou política, os bancos se afastaram dos consumidores. Coube aos comerciantes financiar seus clientes, afinal, a vida continua.

Isto aconteceu na Argentina, Chile, México e Brasil, para citar apenas alguns, resultando em distorções e na inversão de papéis na relação entre bancos e lojistas.
No Chile, por exemplo, que passou por décadas de instabilidade política, o maior emissor de cartões do país é uma das maiores redes do varejo chileno, o grupo Falabela.
 
No Brasil, existem ao menos duas distorções, que agora voltaram à pauta das discussões. Já comentamos uma delas no post “Cartão de crédito: Por que o lojista só recebe em 30 dias?”.
A outra diz respeito ao “chamado parcelado sem juros”.
Convidado pelo Brazil Journal, analisei as duas questões.  Você pode ler o artigo aqui? “Parcelado ‘sem juros’: quem ganha e quem perde?”
Categorias
Amex Banco Central Carteira Digital Cartões de Pagamento Cielo Credenciadora Elo Emissor Empreendorismo FinTech Inclusão Financeira MasterCard Meios de Pagamento Mobile Payments Payments Regulamentação Startups Subcredenciadoras Visa

PagSeguro e o mercado de MEI

A MEI

O Brasil possuía 8,7 milhões de microempreendedores individuais (MEIs) registrados na Secretaria Especial da Micro e Pequena Empresa (SEMPE) em dezembro de 2016, mas apenas 19% desse total têm conta bancária como pessoa jurídica (PJ) e só 8% possuem operações de crédito também como PJ. O dado está no Panorama do Crédito Concedido a Microempreendedores Individuais, um estudo inédito divulgado pelo Banco Central.

Na minha opinião esse é o principal motivo pelo qual tradicionais Credenciadoras como Cielo, Rede, GetNet, assim como as multinacionais Global Payments e First Data tem uma enorme dificuldade para ofertar seus serviços de pagamento aos MEIs.

Todos sabem que os valores das transações com cartões de pagamento são liquidados em contas bancárias, sempre. Os sistemas e processos dessas empresas foram construídos para atender clientes incluídos no sistema financeiro e, com suas políticas de “AML – Anti Money Laundry” e “KYC – Know Your Customer”, dá muito trabalho analisar um pequeno (microempreendedor) cliente, que ao final, irá processar poucas transações e pequenos valores, em comparação a média do mercado.

As FinTechs podem ter resolvido o problema, ofertando uma “conta de pagamento” ao invés de uma “conta bancária”. Sem os fees cobrados pelos bancos e com sistemas e processos flexíveis é possível “ganhar o coração” (e o bolso) do empreendedor.

Totalmente digital, hoje é possível abrir uma conta de pagamento muito rapidamente e por tabela, ter acesso a uma plataforma digital onde ele pode pagar suas contas, transferir recursos para fornecedores, pagar salários, etc., e ainda de quebra, obter um cartão pré-pago, com uma bandeira de boa aceitação (Visa, MasterCard, Elo, etc), para suas despesas diárias.

Muitas dessas empresas ainda podem ofertar credito, na mesma conta, com base no histórico de transação do microempreendedor. Outro item, que muitas vezes passa despercebido, é que o emissor da conta de pagamento passa auferir as receitas de intercâmbio ou até mesmo 100% da taxa de desconto, quando utiliza bandeira própria.

A pergunta é: por que os bancos e as Credenciadoras não podem ofertar os mesmos serviços? Talvez a resposta mais justa seja uma questão de plataforma e estrutura de custos. Por isso, a Cielo adquiriu a Stelo e, com uma plataforma independente e processos flexíveis, pode atacar esse mercado com tudo.

Outra coisa que me vem em mente é a receita de aluguel de equipamento de captura (o POS ou a “maquininha”), trata-se da segunda melhor receita das grandes Credenciadoras. Como ofertar a venda ao mesmo tempo em que cobrando aluguel obtém resultados muito mais significativos? Entretanto, com uma marca “B”, voltada especificamente para esse mercado, talvez consiga manter a atual linha de receita.

A propósito, há tempos gostaria de falar sobre a venda de “maquininha” versus o aluguel da mesma. O microempreendedor compra um hardware que somente serve para fazer transação com a companhia que o vendeu, ou seja, ele é dono de “nada”. Se desejar fazer com que sua máquina seja utilizada com outras Credenciadoras, descobrirá que não vai funcionar, é como se você comprasse um telefone celular que só funciona com a operadora que lhe vendeu. Em outras palavras, o microempreendedor não está comprando um POS, mas um contrato de exclusividade.

Claro que, economicamente falando, pode ser mais vantajoso comprar do que alugar, mas tem que estar atento que toda e eventual necessidade de manutenção é por sua própria conta.

Você pode perguntar: por que a PagSeguro, SumUp e outras preferem vender? Na minha opinião é uma forma de reduzir o custo de aquisição de clientes (CAC). Sabemos que o negócio da Credenciadora depende da capacidade de distribuição e que as Credenciadoras ligadas aos bancos se aproveitam da capacidade que as agencias bancárias proporcionam. Para competir nesse mercado, uma boa maneira é mudar a forma de precificação, tornando-a mais atraente ao cliente. Assim, a PagSeguro até pode abrir mão da receita de aluguel ou de lucro na venda de equipamento, entretanto, tende a ter maior fidelidade do lojista que comprou a sua máquina, alavancando a captura e processamento de transações de pagamento e os resultados com pré-pagamento de recebíveis.

Categorias
Banco Central Cartões de Pagamento Credenciadora Emissor Meios de Pagamento Regulamentação Serviços Financeiros

Vantagens da liquidação centralizada

Reproduzimos abaixo, a notícia publicada pelo Banco Central do Brasil, no dia 26/06/2017:

info_liquidacaocentralizada-01

Conheça as vantagens da liquidação centralizada de arranjos de pagamento

A partir de setembro, a liquidação das transações feitas via cartão de crédito e débito no país será centralizada na Câmara Interbancária de Pagamentos (CIP). Mas quais os efeitos dessa novidade para os consumidores de produtos e serviços financeiros, para as instituições que oferecem esses serviços e para o Sistema Financeiro Nacional (SFN)? O diretor de Política Monetária do Banco Central, Reinaldo Le Grazie, afirma que a mudança, em linha com a Agenda BC+, busca reduzir os custos de observância e as assimetrias de concorrência que existem no mercado atualmente.

“Temos hoje arranjos de pagamento com até três Prestadores de Serviço de Compensação e Liquidação (PSCL), e isso significa que algumas instituições têm que ter três sistemas de mensageria distintos para efetuar a liquidação dos pagamentos de determinado arranjo. O modelo atual é muito custoso operacionalmente. Além disso, há vantagens claras para as instituições que são, ao mesmo tempo, PSCL e credenciadoras. A liquidação centralizada dará aos participantes desse mercado as mesmas condições de concorrência, e isso pode se traduzir em benefícios para o consumidor final”, argumenta o diretor. “Com a melhora das condições concorrenciais e menores custos de operação, há a expectativa de que os valores cobrados dos clientes sejam reduzidos. Não é algo que ocorrerá no curto prazo, mas esse é o cenário projetado pelo BC”, afirma.

Um Prestador de Serviço de Compensação e Liquidação (como a CIP) é uma infraestrutura do mercado financeiro regulada pela Lei 10.214, de 2001, e que efetua a liquidação dos pagamentos entre os participantes do arranjo (instituições financeiras e de pagamento). A CIP foi escolhida pelo mercado como PSCL que unificará as liquidações dos maiores arranjos de pagamento no Brasil a partir de 4 de setembro. Consultor no Deban, Ricardo Mourão ressalta que a unificação trará mais simetria, uma vez que eliminará vantagens competitivas que algumas instituições possuem. “A medida nivela os participantes desse mercado ao estabelecer condições equânimes de concorrência. Temos atualmente duas empresas que são PSCL e credenciadoras. Isso significa, por exemplo, que elas conseguem obter recursos para adiantar recebíveis aos estabelecimentos comerciais com custo e risco inferiores ao das empresas que são apenas credenciadoras.”

Credenciadoras são as empresas que habilitam estabelecimentos fornecedores de bens e produtos ou prestadores de serviços para aceitarem instrumentos de pagamento, a exemplo dos cartões de crédito e débito (como Cielo e Rede). Há no país atualmente mais de 10 empresas atuando como credenciadoras. Já as emissoras são as instituições que emitem cartões de crédito, tais como bancos e empresas não financeiras, denominadas instituições de pagamento, que são autorizadas a oferecer esse serviço (a exemplo do NuBank). No caso das empresas não financeiras, elas oferecem um limite operacional para que os usuários usem o cartão de crédito. Se, por ventura, o usuário precisar financiar sua fatura (no crédito rotativo ou em outra modalidade), essas empresas realizam a mediação entre o portador do cartão e uma instituição financeira. É com o emissor que o cliente mantém o relacionamento para qualquer questão decorrente da posse e do uso de seus cartões.

Outra novidade é que a liquidação centralizada irá englobar as subcredenciadoras, empresas que atuam conectadas aos credenciadores, recebendo destes e liquidando as operações de pagamento junto aos usuários recebedores (em geral, estabelecimentos comerciais). É o que ocorre, por exemplo, no caso de lojas de departamento que disponibilizam seus sítios na Internet para outros vendedores, prestando, ainda, serviço de pagamento para essas empresas.

Mourão explica que o BC não regula diretamente as subcredenciadoras, mas as regras para arranjos de pagamentos que entrarão em vigor a partir de setembro também valerão para o segmento. “Há subcredenciadoras que atuam no mercado como se fossem estabelecimentos comerciais. O Banco Central não exige autorização específica para atuar como subcredenciador, o que reduz os custos regulatórios desses agentes, mas a prestação de serviços de pagamento por si só faz com que essas empresas estejam sujeitas a algumas regras”, detalha Mourão, ressaltando que algumas dessas regras decorrem da regulação do BC, outras são decorrentes de lei, a exemplo das regras de prevenção à lavagem de dinheiro e de combate ao financiamento ao terrorismo.