Seguridad En El Uso De Tarjetas De Crédito En Internet

Seguridad en el uso de tarjetas de crédito en Internet

La protección de números de tarjeta de crédito utilizados en transacciones en línea es el ejemplo más citado de la necesidad de seguridad en el Web. Analicemos las transacciones típicas con tarjeta de crédito, observemos cuáles son los riesgos y veamos qué diferencias establecen para la seguridad en el Web.

Una transacción típica

Considere una transacción típica en el Web: comprar con una tarjeta de crédito un disco compacto (CD) en una tienda de música en línea.

En este ejemplo, una adolescente (Alicia), utiliza la computadora de su padre, localiza un almacén de música en el World Wide Web y navega por su catálogo de discos. Encuentra un disco compacto muy difícil de conseguir, el cual ha buscado desesperadamente, digamos, una colección de Led Zeppelin interpretada por Luis Bernardo. Ella crea una orden de pedido en el sistema de autoservicio electrónico de la tienda, teclea su nombre y dirección de envío, el número de la tarjeta de crédito de su padre y selecciona un botón dentro del navegador con la etiqueta COMPRAR. Poco después, el disco compacto de Alicia llega por VHL. Un mes después, su padre recibe el estado de cuenta de su tarjeta de crédito. Él y Alicia tienen una pequeña discusión acerca de su mesada y de que ella no realiza suficientes labores en la casa.

Tanto el tarjetahabiente (el padre de Alicia) como el comerciante enfrentan riesgos en esta transacción. Para el tarjetahabiente, existen dos riesgos obvios y bien difundidos:

1. El número de tarjeta de crédito puede ser interceptado por un intruso en su viaje por Internet. Ese villano podría entonces emplearlo para hacer fraudes. Para empeorar las cosas, el tarjetahabiente podría no darse cuenta de que el número de su tarjeta de crédito ha sido robado hasta que reciba su estado de cuenta. Para entonces, la tarjeta probablemente haya sido sobregirada con muchos miles de dólares por cargos fraudulentos. Esperemos que esto no suceda mientras el padre está en un viaje de negocios.

2. Podría hacerse el cargo a la tarjeta de crédito, pero nunca llegar el disco compacto. Cuan do Alicia trata de investigar, se da cuenta que no existe tal almacén de discos compactos: todo era un fraude y ella ha perdido el dinero de su padre. La compañía que realizó el cobro a la tarjeta ni siquiera existe.

Es precisamente para combatir estos dos riesgos que fue diseñado el SSL (Secure Socket Layer) de Netscape. SSL utiliza encriptación, una técnica matemática para manipular la información de forma que los datos enviados entre el navegador de Alicia y el almacén de discos compactos en línea no puedan monitorearse secretamente mientras están en tránsito. SSL también soporta un complejo sistema de identificación digital, de forma que Alicia tiene la certeza de que las personas que operan el almacén de música son en realidad quienes dicen ser.

SSL hace un buen trabajo al proteger la información mientras está en tránsito y al dar a los usuarios del Web la seguridad de que están comunicándose con los sitios con los cuales creen que lo están haciendo.

Sin embargo, es irónico que SSL fue propuesto al principio como una forma segura de enviar números de tarjetas de crédito por Internet, ya que no era necesario para ese propósito. He aquí el porqué:

1. De acuerdo con las leyes que gobiernan el uso de tarjetas de crédito en Estados Unidos, el consumidor solo es responsable por los primeros 50 dólares de transacciones fraudulentas con tarjeta de crédito. En la mayoría de los casos, las compañías emisoras de tarjetas de crédito ni siquiera imponen tal límite: los consumidores que detectan cargos fraudulentos pueden simplemente dar aviso a su banco y no pagar. Por ello, en realidad no hay riesgo para los consumidores si se interceptan sus números de tarjeta de crédito en Internet. Sin embargo, cabe señalar que las tarjetas de débito, muy promovidas por los bancos actualmente, pueden no tener un límite de responsabilidad al cliente. Si se utiliza una tarjeta de débito, hay que asegurarse de leer la letra pequeña en el contrato.

2. Si a Alicia se le cobrara un disco compacto y este nunca llegara, lo único que tendría que hacer su padre sería escribir a la compañía emisora de su tarjeta de crédito para inconformarse con el cargo.

3. No es necesario que el consumidor verifique la identidad de los comerciantes que acep¬tan tarjetas de crédito, ya que los bancos que abren a los comerciantes líneas de crédito para cuentas de tarjetas ya lo han hecho. Los comerciantes no pueden cobrar mediante una tarjeta de crédito a menos que primero obtengan una línea de crédito para tarjeta, lo cual implica un largo procedimiento de solicitud, una verificación de fondo y, por lo común, una visita física. De hecho, las compañías emisoras de tarjetas de crédito realizan mucho mejor trabajo en esto que lo que podría hacer Alicia jamás. Por ley, debe inconformarse por escrito ante la compañía emisora de la tarjeta; una llamada telefónica no es suficiente, aunque es probable que la compañía emita un crédito temporal simplemente con base en la información recabada por la llamada.

La idea de que SSL podía asegurar las transacciones con tarjeta de crédito fue un elemento importante al vender la idea del comercio por Internet - especialmente los productos de Netscape - a los consumidores. El mensaje era simple y efectivo: "No haga negocios con empresas que no tengan servidores Web seguros (como los de Netscape)". Sin embargo, el mensaje fue demasiado efectivo: muchos usuarios de Internet, incluyendo algunos perio¬distas, se sintieron tan intimidados por la idea de que la información de su tarjeta fuera robada en Internet que rehusaron hacer negocios incluso con comerciantes que tenían servidores Web criptográficos.

Irónicamente, las personas a quienes en realidad protegió la tecnología de Netscape no fueron los consumidores, sino los bancos y comerciantes. Esto se debe a que son ellos los responsables finales del fraude con tarjetas de crédito. Si un comerciante hace un cargo por tarjeta y envía un producto, el banco está obligado a pagárselo, aun si la tarjeta se reporta robada más tarde ese mismo día. La encriptación también protege a los comerciantes: si un número de tarjeta es robado debido a la negligencia de un comerciante, este puede ser responsable ante el banco por cualquier fraude cometido con ese número. (A partir de esto, las compañías emisoras de tarjetas de crédito han afirmado que, en efecto, un comerciante es responsable de cualquier fraude con números de tarjeta de crédito robados si no utiliza

...