De situatie vóór EMV

Voor de invoering van EMV lag de financiële verantwoordelijkheid voor fraude met magneetstripkaarten doorgaans bij de issuer, de bank die de kaart had uitgegeven. Werd een gestolen kaart gebruikt, dan droeg de issuer de kosten.

Wat de shift inhoudt

Met de chipkaart verschoof de aansprakelijkheid voor bepaalde typen fraude van de issuer naar de merchant, of in sommige gevallen naar de acquirer.

• Type fraude. De verschuiving geldt vooral voor card-present-fraude met nagemaakte of gestolen kaarten in een fysieke winkel. Niet voor card-not-present-fraude, zoals bij online transacties.
• EMV-compliance. De shift treedt in werking als de kaart een EMV-chip heeft en de merchant geen apparatuur heeft om die chip te lezen. Verwerkt de merchant de transactie dan via de magneetstrip, dan draait hij op voor de schade. Zijn kaart en terminal allebei EMV-compatibel en blijkt de transactie toch frauduleus, dan blijft de aansprakelijkheid meestal bij de issuer.
• Datum. De ingangsdatum verschilde per regio en per kaartnetwerk. In Europa was de verschuiving ruim voor 2010 doorgevoerd. In de Verenigde Staten trad zij voor de meeste netwerken in werking op 1 oktober 2015; voor geldautomaten en benzinepompen volgde dat later.

Waarom de shift is ingevoerd

• EMV-adoptie stimuleren. Door de rekening bij de merchants te leggen, kregen zij een reden om in EMV-terminals te investeren.
• Fraude terugdringen. EMV-chipkaarten genereren per transactie een eigen code, waardoor klonen en misbruik na diefstal veel moeilijker werden.

De gevolgen

Voor merchants

• Grotere noodzaak om in EMV-compatibele apparatuur te investeren.
• Hogere kosten bij fraude zolang zij niet EMV-compliant zijn.
• Complexere procedures voor het afhandelen van frauduleuze transacties.

Voor issuers

• Lagere kosten bij bepaalde typen kaartfraude.
• Ruimte om zich op andere fraudebestrijding te richten.

Voor consumenten

• Betere beveiliging van hun betaalgegevens.
• Aan hun eigen bescherming bij fraude verandert in de meeste gevallen weinig.

Waar het nu staat

• EMV-adoptie. De liability shift heeft die aanzienlijk vergroot, vooral in de Verenigde Staten, die relatief laat waren.
• Verschuiving naar online fraude. Doordat de fysieke winkel beter beveiligd is, verplaatst de fraude zich naar card not present. Criminelen zoeken het kanaal met de zwakste beveiliging.
• Contactloos betalen. Contactloze betalingen gebruiken vaak ook EMV-technologie. De regels rond de liability shift liggen daar iets anders, afhankelijk van de transactiewaarde en het kaartnetwerk.
• 3D Secure 2. Bij online transacties wordt 3DS2 steeds belangrijker. Dat protocol voegt een authenticatielaag toe en kan de aansprakelijkheid voor online fraude terugleggen bij de issuer.
• Tokenization. Kaartgegevens worden vervangen door een token, zowel online als offline.

Waarom het uitmaakt

De liability shift bepaalt wie de rekening krijgt als het misgaat. Dat is geen technische bijzaak maar een post op de begroting. Een terminal die de chip niet leest, is daarmee geen verouderde terminal maar een openstaande verplichting.