신용카드 사기

[섬네일|right|200px|"[스키머 (장치)|스키밍"에 사용되는 위조 현금 자동 입출금기 슬롯]]
**신용카드 사기**(credit card fraud)는 신용카드나 직불 카드와 같은 지불 카드를 사용하여 저지르는 사기를 포괄하는 용어이다. 그 목적은 상품이나 서비스를 얻거나 범죄자가 통제하는 다른 계좌로 결제하는 것일 수 있다. 지불 카드 산업 데이터 보안 표준 (PCI DSS)은 금융 기관이 카드 결제를 안전하게 처리하고 카드 사기를 줄이는 데 도움이 되도록 만들어진 데이터 보안 표준이다.

신용카드 사기는 정당한 고객이 범죄자가 통제하는 다른 계좌로 직접 결제를 처리하는 승인된 사기이거나, 계좌 소유자가 결제 진행을 승인하지 않고 제3자가 거래를 실행하는 무단 사기일 수 있다. 2018년 영국에서 결제 카드 및 원격 뱅킹을 통한 무단 금융 사기 손실은 총 8억 4,480만 파운드에 달했다. 반면 은행 및 카드 회사들은 2018년에 16억 6천만 파운드의 무단 사기를 막았다. 이는 시도된 사기 3건 중 2건이 차단된 것과 맞먹는다.

신용카드 사기는 승인되지 않은 사용자가 개인의 신용카드 정보에 접근하여 구매, 기타 거래를 하거나 새 계좌를 개설할 때 발생할 수 있다. 신용카드 사기의 몇 가지 예로는 계좌 탈취 사기, 새 계좌 사기, 복제 카드, 그리고 카드 미제시 사기 등이 있다. 이러한 무단 접근은 피싱, 스키밍, 그리고 사용자에 의한 정보 공유(종종 자신도 모르는 사이에)를 통해 발생한다. 그러나 이러한 유형의 사기는 인공지능과 기계 학습을 통해 탐지될 수 있으며, 발행사, 기관 및 개별 카드 소지자에 의해 예방될 수 있다. 2021년 연례 보고서에 따르면, 모든 미국인의 약 50%가 신용카드 또는 직불카드에서 사기성 청구를 경험했으며, 신용카드 또는 직불카드 소지자 3명 중 1명 이상이 여러 번 사기를 경험했다. 이는 미국에서 1억 2,700만 명이 최소 한 번 신용카드 도난의 피해자가 되었다는 것을 의미한다.

규제 당국, 카드 제공업체, 은행은 사기꾼이 성공하지 못하도록 전 세계 조사관들과 협력하는 데 상당한 시간과 노력을 기울인다. 카드 소지자의 돈은 카드 제공업체와 은행에 책임을 부과하는 규정에 의해 사기꾼으로부터 일반적으로 보호된다. 신용카드 뒤에 숨겨진 기술과 보안 조치는 지속적으로 발전하여 돈을 훔치려는 사기꾼들에게 장벽을 더한다.

## 지불 카드 사기 수단
카드 사기에는 두 가지 종류가 있다: 카드 현장 사기(요즘은 흔하지 않음)와 카드 미제시 사기(더 흔함). 침해는 여러 방식으로 발생할 수 있으며 일반적으로 카드 소지자가 모르게 발생할 수 있다. 인터넷은 데이터베이스 보안 허점을 특히 비용이 많이 들게 만들었으며, 일부 경우에는 수백만 개의 계좌가 침해되었다.

도난당한 카드는 카드 소지자가 신속하게 신고할 수 있지만, 침해된 계좌의 세부 정보는 사기꾼이 몇 달 동안 보관할 수 있어 침해 원인을 식별하기 어렵다. 카드 소지자는 명세서를 받기 전까지 사기 사용을 발견하지 못할 수 있다. 카드 소지자는 의심스럽거나 알 수 없는 거래가 없는지 자주 계좌를 확인하여 이러한 사기 위험을 줄일 수 있다.

신용카드를 분실하거나 도난당하면 카드 소지자가 발행 은행에 통보하고 은행이 계좌를 정지시킬 때까지 불법적인 구매에 사용될 수 있다. 대부분의 은행은 신속한 신고를 장려하기 위해 24시간 무료 전화번호를 운영한다. 그럼에도 불구하고 카드가 취소되기 전에 도둑이 카드로 무단 구매를 하는 것이 가능하다.

## 지불 카드 사기 방지
카드 정보는 여러 형식으로 저장된다. 카드 번호(정식으로는 기본 계좌 번호)는 종종 카드에 양각되거나 인쇄되며, 뒷면의 자기 띠에는 기계 판독 가능한 형식으로 데이터가 포함되어 있다. 필드는 다를 수 있지만 가장 일반적인 것은 카드 소지자의 이름, 카드 번호, 만료일, 그리고 확인 CVV 코드를 포함한다.

유럽과 캐나다에서는 대부분의 카드가 EMV 칩을 탑재하고 있으며, 결제가 승인되기 전에 판매자의 터미널에 4~6자리 PIN을 입력해야 한다. 그러나 온라인 거래에는 PIN이 필요하지 않다. 일부 유럽 국가에서는 칩이 없는 카드를 사용하는 구매자에게 판매 시점 정보 관리에서 사진이 있는 신분증을 요청할 수 있다.

일부 국가에서는 신용카드 소지자가 미리 정해진 한도 미만의 비용인 경우 PIN이나 서명 없이 RFID 또는 NFC 리더기에 카드를 태그하여 상품이나 서비스에 대한 비접촉 결제를 할 수 있다. 그러나 도난당한 신용카드 또는 직불카드는 사기 활동이 플래그 처리되기 전에 여러 소액 거래에 사용될 수 있다.

카드 발행사는 여러 가지 대응책을 유지하는데, 여기에는 사기 발생 확률을 추정할 수 있는 소프트웨어도 포함된다. 예를 들어, 카드 소지자의 집에서 멀리 떨어진 곳에서 대규모 거래가 발생하면 의심스러워 보일 수 있다. 판매자는 카드 발행사에 확인 전화를 걸거나 거래를 거부하거나, 심지어 카드를 보관하고 고객에게 돌려주지 않도록 지시받을 수 있다.

## 기술을 이용한 신용카드 사기 탐지

### 인공 및 전산 지능
신용카드 사기를 탐지하는 엄청난 어려움을 고려하여, 인간이 이미 잘하고 있는 작업을 기계가 시도하도록 인공 및 전산 지능이 개발되었다. 전산 지능은 변화하는 환경에서 지능을 가능하게 하는 AI의 하위 집합이다. 인공 및 전산 지능의 발전으로 인해 신용카드 사기를 탐지하는 가장 일반적으로 사용되고 제안되는 방법은 규칙 유도 기법, 의사 결정 트리, 신경망, 서포트 벡터 머신, 로지스틱 회귀, 그리고 메타 휴리스틱이다. 신용카드 사기를 탐지하는 데 사용될 수 있는 다양한 접근 방식이 있다. 예를 들어, 일부는 "각 고객에 대해 자체 조직 맵을 사용하여 먼저 이상치 분석을 수행한 다음 예측 알고리즘을 사용하여 비정상적으로 보이는 거래를 분류하는 실시간으로 적용될 수 있는 프레임워크를 제안한다." 전산 지능을 통해 신용카드 사기를 탐지할 때 발생하는 몇 가지 문제는 오분류(예: 오탐/미탐)의 개념뿐만 아니라, 사용 가능한 한도가 더 큰 신용카드에서 사기를 탐지하는 것이 사용 가능한 한도가 더 작은 카드에서 사기를 탐지하는 것보다 훨씬 더 두드러진다는 것이다. 이러한 종류의 문제를 탐지하는 데 도움이 되는 한 가지 알고리즘은 MBO 알고리즘으로 결정된다. 이는 "이웃 솔루션"을 통해 개선을 가져오는 검색 기술이다. 이러한 문제에 도움이 되는 또 다른 알고리즘은 GASS 알고리즘이다. GASS는 유전 알고리즘과 산란 검색의 하이브리드이다.

### 기계 학습
신용카드 사기 탐지의 어려움에 대해 좀 더 자세히 설명하자면, 매일 학습과 기술의 발전이 이루어지고 있음에도 불구하고 기업들은 외부인에게 자신들의 알고리즘과 기술을 공유하기를 거부한다. 또한 사기 거래는 일일 거래의 약 0.01~0.05%에 불과하여 탐지하기가 더욱 어렵다. 기계 학습은 인공 지능과 유사하며, 통계학이 수학의 하위 분야인 것처럼 AI의 하위 분야이다. 기계 학습과 관련하여 목표는 과적합 없이 최고 수준을 산출하는 모델을 찾는 것이다. 과적합은 컴퓨터 시스템이 데이터를 암기하여 새로운 거래가 훈련 세트와 어떤 방식으로든 다르면 오분류될 가능성이 높다는 것을 의미하며, 이는 짜증난 카드 소지자나 탐지되지 않은 사기의 피해자를 초래한다. 기계 학습에서 가장 널리 사용되는 프로그래밍 언어는 Python, R, MatLab이다. 동시에 SAS도 점점 더 강력한 경쟁자가 되고 있다. 이러한 프로그램을 통해 이 산업에서 사용되는 가장 쉬운 방법은 서포트 벡터 머신이다. R에는 SVM 함수가 이미 프로그래밍된 패키지가 있다. 서포트 벡터 머신이 사용될 때, 이는 데이터를 추출하는 효율적인 방법이다. SVM은 활발한 연구 분야로 간주되며 분류 문제도 성공적으로 해결한다. 기계 학습에서 중요한 역할을 하며 "손글씨 숫자 인식, 웹 페이지 분류, 얼굴 탐지와 같은 광범위한 학습 문제에서 뛰어난 일반화 성능을 보인다." SVM은 또한 과적합 및 차원 축소의 가능성을 낮추기 때문에 성공적인 방법이다.

## 지불 카드 사기의 종류

### 신청 사기
신청 사기는 다른 사람의 이름으로 계좌를 개설하기 위해 도난당했거나 위조된 문서를 사용하는 경우에 발생한다. 범죄자는 공과금 청구서나 은행 명세서와 같은 문서를 훔치거나 위조하여 개인 프로필을 만들 수 있다. 위조되거나 도난당한 문서를 사용하여 계좌를 개설하면 사기꾼은 피해자의 이름으로 현금을 인출하거나 신용을 얻을 수 있다.

신청 사기는 위에 언급된 위조 문서와 유사한 합성 신원을 사용하여 발생할 수도 있다. 합성 신원은 여러 다른 신원에서 수집된 개인 정보를 사용하여 하나의 위조 신원을 생성하는 것이다. 신원과 계좌가 설정되면 사기꾼은 은행을 이용하기 위해 몇 가지 다른 옵션을 사용할 수 있다. 그들은 새 신용카드로 가능한 한 많은 돈을 사용하여 신용카드 지출을 최대화할 수 있다. 많은 사기꾼은 새 신용카드를 사용하여 재판매 가치가 높은 품목을 구매하여 현금으로 바꿀 것이다.

### 계좌 탈취
계좌 탈취는 사기꾼이 고객의 계좌(예: 신용카드, 이메일, 은행, SIM 카드 등)를 제어하려는 행위를 의미한다. 계좌 수준에서의 제어는 사기꾼에게 높은 수익을 제공한다. 포레스터(Forrester)에 따르면, 위험 기반 인증(RBA)은 위험 완화에 중요한 역할을 한다.

사기꾼은 피해자의 이메일 주소와 같은 신원 정보를 사용하여 금융 계좌에 접근한다. 그런 다음 이 사람은 계좌에 대한 통신을 가로채어 피해자가 위협을 알지 못하게 한다. 피해자는 종종 자신이 승인하지 않은 월별 명세서의 청구액이나 여러 의심스러운 인출을 발견할 때 계좌 탈취를 처음으로 감지한다. EMV 기술이 도입된 이후 계좌 탈취 건수가 증가했는데, 이는 사기꾼이 실물 신용카드를 복제하기 더 어렵게 만들기 때문이다.

사기꾼이 계좌 탈취를 저지르는 가장 일반적인 방법 중 일부는 프록시 기반 "체커" 원클릭 앱, 무차별 대입 봇넷 공격, 피싱 및 멀웨어 등이 있다. 다른 방법으로는 버려진 우편물에서 개인 정보를 찾기 위한 쓰레기 뒤지기, 그리고 암시장에서 판매되는 완전한 식별 정보 패키지를 뜻하는 속어인 'Fullz' 목록을 직접 구매하는 것이 있다.

일단 로그인하면 사기꾼은 계좌에 접근하여 구매를 하고 은행 계좌에서 돈을 인출할 수 있다. 그들은 계좌와 연결된 모든 정보에 접근할 수 있으며, 주민등록번호와 함께 신용카드 번호를 훔칠 수 있다. 그들은 피해자가 계좌에 접근하는 것을 막기 위해 비밀번호를 변경할 수 있다. 사이버 범죄자들은 다른 계좌를 개설하고, 계좌의 보상 및 혜택을 활용하고, 이 정보를 다른 해커에게 판매할 기회를 얻는다.

### 사회공학 사기
사회공학 사기는 범죄자가 다른 사람인 척하여 사기꾼에게 돈이나 정보를 자발적으로 이전하도록 유도하는 경우에 발생할 수 있다. 사기꾼들은 사람과 기업으로부터 돈을 가로채기 위해 더욱 정교한 방법을 사용하고 있다. 일반적인 수법은 고위 직원을 사칭한 위조 이메일을 보내 직원들을 속여 사기성 은행 계좌로 돈을 이체하도록 유도하는 것이다.

사기꾼들은 은행이나 결제 처리업체를 사칭하여 개인 정보를 유도하기 위해 다양한 기술을 사용할 수 있다. 전화 피싱은 피해자의 신뢰를 얻기 위한 가장 일반적인 사회공학 기법이다.

기업들은 자금 이체에 최소 두 명의 승인을 요구하는 이중 승인 절차를 통해 스스로를 보호할 수 있으며, 결제 요청에 포함된 연락처 정보가 아닌 미리 설정된 연락처 번호로 콜백 절차를 사용할 수 있다. 은행은 무단 결제에 대해 환불해야 하지만, 고객이 거래를 승인했다는 것을 증명하거나, 고객이 고의로 행동했거나 거래를 가능하게 한 세부 정보를 보호하지 못하여 잘못이 있다는 것을 증명할 수 있다면 환불을 거부할 수 있다.

### 스키밍

[섬네일|[현금 자동 입출금기 슬롯에 설치된 녹색 플라스틱 장치로, 도둑이 기계에 스키머 장치를 설치하는 것을 막기 위한 목적]]
스키밍은 정상적인 거래에서 사용된 개인 정보의 도용이다. 도둑은 영수증을 복사하는 등의 기본적인 방법이나 소형 전자 장치(스키머)를 사용하여 수백 명의 피해자 카드 번호를 긁고 저장하는 등의 고급 방법을 사용하여 피해자의 카드 번호를 얻을 수 있다. 스키밍의 일반적인 시나리오는 택시, 식당 또는 바와 같이 스키머가 피해자의 결제 카드를 즉시 볼 수 없는 곳에서 소유하고 있는 경우이다. 도둑은 또한 소형 키패드를 사용하여 자기 띠에는 없는 3자리 또는 4자리 카드 보안 코드를 눈에 띄지 않게 기록할 수도 있다.

콜센터는 스키밍이 쉽게 발생할 수 있는 또 다른 영역이다. 스키밍은 제3자 카드 판독 장치가 카드 스와이프 터미널 외부에 설치될 때 판매점에서 발생할 수도 있다. 이 장치는 도둑이 카드 스와이프마다 고객의 PIN을 포함한 카드 정보를 캡처할 수 있도록 한다.

스키밍은 일반적인 카드 소지자가 탐지하기 어렵지만, 충분히 큰 샘플이 주어지면 카드 발행사가 탐지하기는 비교적 쉽다. 발행사는 사기성 거래에 대해 불평한 모든 카드 소지자 목록을 수집한 다음 데이터 마이닝을 사용하여 그들과 그들이 사용하는 판매점 간의 관계를 발견한다. 정교한 알고리즘은 사기 패턴을 검색할 수도 있다. 판매점은 터미널의 물리적 보안을 보장해야 하며, 신용카드 거래가 일반적인 식당과 같은 사업체에 치명적일 수 있는 발행사의 막대한 벌금부터 시스템에서 완전히 제외되는 것까지, 침해될 경우 판매점에 대한 처벌은 엄중할 수 있다.

스키밍 사례는 범죄자가 현금 자동 입출금기의 카드 슬롯 위에 사용자가 모르는 사이에 카드를 통과시킬 때 자기 띠를 읽는 장치를 설치한 경우도 보고되었다. 이러한 장치는 종종 소형 카메라와 함께 사용하여 사용자의 개인 식별 번호를 동시에 읽는다. 이 방법은 남아메리카와 유럽을 포함한 세계 여러 지역에서 사용되었다.

### 예상치 못한 반복 청구
온라인 청구서 지불 및 은행 계좌를 이용한 인터넷 구매는 "반복 은행 청구"라고 알려진 반복 청구의 원천이다. 이는 고객이 매월 특정 금액을 수취인에게 지불하고 이행하도록 하는 자동이체 또는 은행 명령이다. 전자 상거래에서는 특히 미국에서 공급업체 또는 수취인이 자동이체를 통해 ACH 네트워크로부터 결제를 받을 수 있다. 많은 결제 또는 구매가 유효하고 고객이 매월 청구서를 지불할 의도가 있지만, 일부는 불량 자동 결제로 알려져 있다.

또 다른 유형의 신용카드 사기는 공익사업 고객을 대상으로 한다. 고객들은 공익사업 회사의 대표라고 주장하는 개인으로부터 직접, 전화 또는 전자 통신을 통해 원치 않는 연락을 받는다. 사기꾼들은 즉시 결제가 이루어지지 않으면 공익사업이 중단될 것이라고 고객에게 알리며, 일반적으로 재충전 가능한 직불카드를 사용하여 결제를 받는다. 때로는 사기꾼들이 실제와 같은 전화번호와 그래픽을 사용하여 피해자를 속인다.

### 피싱
피싱은 개인 데이터를 훔치는 데 사용되는 가장 일반적인 방법 중 하나이다. 이는 공격자가 신뢰할 수 있는 사람, 기관 또는 단체를 가장하여 피해자를 속여 메시지를 수락하거나 특정 요청에 따라 조치를 취하도록 유도하는 사이버 공격 유형이다. 종종 공격 대상은 그들이 원하거나 필요로 할 만한 것에 대한 이메일이나 문자 메시지를 받게 되며, 이는 그들이 메시지를 열거나 다운로드하도록 속이려는 의도이다. 피싱은 코로나바이러스감염증-19 팬데믹 기간 동안 전 세계가 전자 통신에 더 의존하게 되면서 증가했으며, 연구자들은 코로나바이러스감염증-19 팬데믹 첫 몇 달 동안에만 피싱 공격이 "667%의 상당한 급증"을 보였다고 언급했다. 더욱이 최근 몇 년간 의료 시스템의 중요성을 고려할 때, 의료 기업들은 피싱 공격의 주요 표적이 되어 왔다. 이러한 기업들은 공격자에게 매우 귀중할 수 있는 엄청난 양의 환자 개인 데이터를 보유하고 있다.

### 정보 공유

정보 공유는 개인, 기업, 조직 및 기술 간의 데이터 전송 또는 교환이다. 기술, 인터넷 및 네트워크의 발전은 정보 공유의 성장을 가속화했다. 정보는 이전보다 더 빠른 속도로 전송되고 처리될 수 있다.

개인은 하루 동안 얼마나 많은 민감한 개인 정보를 스스로 공유할 수 있는지에 대한 감각이 부족할 수 있다. 예를 들어, 온라인으로 상품을 구매할 때 개인은 이름, 이메일 주소, 집 주소, 신용카드 정보를 제공하며, 이 모든 정보는 개인의 미래 구매를 추적하는 목적으로 저장되고 제3자와 공유될 수 있다. 조직은 개인의 개인 정보를 데이터베이스에서 안전하게 보관하기 위해 노력할 수 있지만, 역사적으로 해커들은 종종 조직의 보안을 침해하고 엄청난 양의 데이터에 접근하는 데 성공했다. 가장 큰 데이터 유출 중 하나는 2013년에 해커들이 미국 할인 소매업체인 타깃의 판매 시점 정보 관리 시스템을 표적으로 삼아 약 4천만 명의 쇼핑객 개인 정보를 침해했을 때 발생했다. CNN 비즈니스는 "그들이 고객이 신용카드를 긁는 터미널에 멀웨어를 침투시키거나, 타깃에서 신용카드 처리업체로 가는 도중에 고객 데이터를 수집했다"고 보도했다. 계산대에서 단 한 번의 구매로도 방대한 개인 데이터가 수집되며, 이는 도난당할 경우 심각한 파급 효과를 가져온다. 금융 시장 인프라와 결제 시스템은 보안 해커와의 지속적인 싸움 속에서 계속해서 발전해 나갈 것이다.

## 규제 및 거버넌스

### 미국
미국에서는 PCI DSS가 연방에서 의무화된 것은 아니지만, 주요 신용카드 브랜드로 구성된 지불 카드 산업 보안 표준 위원회에서 산업 표준으로 유지하며 의무화하고 있다. 일부 주는 이 표준을 법률에 통합했다.

#### 연방법 강화 제안
미국 법무부는 2014년 9월 해외 신용카드 밀매를 단속하기 위한 더 강력한 법률을 부과할 것이라고 발표했다. 당국은 현재 법규가 너무 약해서 다른 나라 사람들이 데이터를 사고팔 때 미국 밖에 머무르고 불법 사업을 미국을 통해 진행하지 않으면 기소를 피할 수 있기 때문이라고 밝혔다. 법무부는 미국 의회에 국제 범죄자가 지리적 위치와 상관없이 미국 은행이 발행한 도난 신용카드를 소유, 구매 또는 판매하는 것을 불법화하는 현재 법을 개정해 줄 것을 요청했다.

#### 카드 소지자 책임
미국에서 연방법은 실제 신용카드 도난 시 카드 소지자의 책임을 $50로 제한하며, 카드에 청구된 금액과 관계없이 명세서를 받은 후 60일 이내에 신고하는 경우에 해당된다. 실제로는 많은 발행기관이 이 소액 결제를 면제하고 고객이 청구액이 실제로 사기임을 확인하는 선서 진술서에 서명하면 단순히 고객 계좌에서 사기성 청구액을 제거한다. 물리적 카드를 분실하거나 도난당한 것이 아니라 신용카드 계좌 번호 자체가 도난당한 경우에는 연방법에 따라 카드 소지자가 신용카드 발행기관에 대해 아무런 책임도 지지 않는다.

### 캐나다
**규제 및 거버넌스**

캐나다에서 신용카드는 은행법의 적용을 받으며 캐나다 금융 소비자국 (FCAC)의 감독을 받는다. 신용 및 직불카드 산업 행동 강령 또한 결제 네트워크에 적용되어 판매자 및 소비자 계좌 처리의 투명성과 공정성을 보장한다. 캐나다에서는 금융기관 감독청 (OSFI)이 연방 규제 금융 기관을 감독한다.

**카드 소지자 책임**

캐나다 법은 사기성 거래에 대한 카드 소지자의 책임을 사기가 신속하게 보고될 경우 최대 $50로 제한한다. 그러나 대부분의 신용카드는 무책임 보호 기능을 제공하므로 소비자는 일반적으로 무단 거래에 대해 책임지지 않는다.

**사기 및 손실**

캐나다에서 신용카드 사기는 신원 도용의 일종이며, 캐나다 형법의 적용을 받는다. 캐나다 사기 방지 센터(Canadian Anti-Fraud Centre)에 따르면, 2022년 결제 사기로 인한 손실은 5억 달러 이상이었으며, 특히 신용카드를 포함한 사기가 캐나다에서 가장 큰 금융 범죄 유형이 되었다. 캐나다 사기 방지 센터 (CAFC)는 사기 동향을 추적하고 분석한다.

### 영국
영국에서는 신용카드가 소비자 신용법 1974(2006년 개정)에 의해 규제된다. 이 법은 여러 보호 조치와 요구 사항을 제공한다. 카드 소지자의 고의적인 범죄가 아닌 한, 카드의 오용은 판매자 또는 카드 발행인이 환불해야 한다.

영국의 은행 규제는 잉글랜드 은행 (BoE); BoE의 한 부서인 프루덴셜 규제청 (영국) (PRA); 그리고 일상적인 감독을 관리하는 금융행위감독청 (FCA)에 의해 수행된다. 신용카드 산업을 규율하는 특정 법률이나 규정은 없다. 그러나 결제청산 서비스 협회 (APACS)는 모든 결제 회원들이 소속된 기관이다. 이 조직은 은행 통합 지침에 따라 거래를 모니터링하고 규제할 수 있는 수단을 제공한다. UK Finance는 영국 은행 및 금융 서비스 부문 협회로, 250개 이상의 기업이 신용, 은행 및 결제 관련 서비스를 제공하고 있다.

### 오스트레일리아
섬네일|범죄 유형별 피해자 수와 인구 또는 가구의 비율을 보여주는 그래프

오스트레일리아에서 신용카드 사기는 신원 범죄의 한 형태로 간주된다. 오스트레일리아 거래 보고 및 분석 센터는 오스트레일리아 전역의 법 집행 기관이 사용할 신원 범죄와 관련된 표준 정의를 확립했다.
* **신원**이라는 용어는 자연인(생존자 또는 사망자)의 신원과 법인의 신원을 포괄한다.
* **신원 위조**는 가상의 신원을 만드는 것을 의미한다.
* **신원 조작**은 자신의 신원을 변경하는 것을 의미한다.
* **신원 도용**은 동의 여부와 관계없이 기존 신원(또는 그 상당 부분)을 도용하거나 가정하는 것을 의미하며, 개인의 경우 생존 여부와 관계없다.
* **신원 범죄**는 범죄자가 위조 신원, 조작 신원, 또는 도용/가정 신원을 사용하여 범죄를 저지르는 활동/범죄를 설명하는 일반적인 용어이다.

#### 손실
법무부에서 작성한 추정치에 따르면 신원 범죄로 인해 오스트레일리아는 매년 16억 달러 이상의 손실을 입고 있으며, 이 중 신용카드 사기, 신원 도용 및 스캠을 통해 개인이 잃는 금액이 약 9억 달러로 대부분을 차지한다. 2015년, 법무부 장관이자 대테러 담당 총리 보좌관인 마이클 키넌은 '오스트레일리아의 신원 범죄 및 오용 2013-14' 보고서를 발표했다. 이 보고서는 신원 범죄의 총 직간접 비용이 20억 달러에 가까울 것으로 추정했으며, 여기에는 정부 기관 및 개인이 겪는 직간접 손실과 경찰에 기록된 신원 범죄 비용이 포함된다.

#### 카드 소지자 책임
오스트레일리아에서 신용카드 사기 피해자가 카드를 여전히 소지하고 있는 경우, 자신의 허락 없이 카드로 구매된 모든 것에 대해 책임이 없다. 그러나 이는 계좌 약관에 따른다. 카드가 물리적으로 도난당하거나 분실되었다고 신고된 경우, 카드 소지자가 부정직하게 행동했거나 합리적인 주의를 기울이지 않았다는 것이 입증되지 않는 한, 카드 소지자는 자신이 하지 않은 거래에 대해 일반적으로 책임이 없다.

### 홍콩
사기 및 스캠과 관련된 무단 지불 카드 거래 건수가 증가함에 따라 홍콩 금융관리국은 2023년 4월 25일 두 가지 회람을 발표했다.

## 판매자와 상인
판매자가 사기 거래로 "차지백"되는 것을 방지하기 위해 판매자는 비자와 마스터카드가 제공하는 비자 시큐어(Visa Secure) 및 마스터카드 아이덴티티 체크(Mastercard Identity Check)와 같은 서비스에 가입할 수 있다. 이는 3-D Secure라는 포괄적인 용어로 묶인다. 이 서비스는 소비자가 거래를 확인하기 위해 추가 정보를 제공하도록 요구한다.

종종 온라인 판매자는 사기 공격으로부터 웹사이트를 보호하기 위한 적절한 조치를 취하지 않으며, 예를 들어 시퀀싱에 무관심할 수 있다. 보다 자동화된 제품 거래와는 달리, "카드 현장" 승인 요청을 감독하는 점원은 고객이 매장에서 상품을 제거하는 것을 실시간으로 승인해야 한다.

판매자가 결제금을 잃으면 결제 처리 수수료, 환전 수수료, 그리고 차지백 벌금이 부과된다. 분명한 이유로 많은 판매자는 의심스러운 거래를 받지 않는 등 차지백을 피하기 위한 조치를 취한다. 이는 합법적인 거래를 잘못 차단하여 판매자가 합법적인 판매를 추가로 잃게 되는 부수적 피해를 유발할 수 있다. 우편 주문/전화 주문(MOTO) 판매자는 상담원 지원 자동화를 구현하여 콜센터 상담원이 신용카드 번호 및 기타 개인 식별 정보를 보거나 듣지 않고 수집할 수 있도록 한다. 이는 차지백 가능성을 크게 줄이고 사기성 차지백이 번복될 가능성을 높인다.

## 유명 신용 사기 공격
 

2005년 7월부터 2007년 1월 중순까지 TJX 컴퍼니스의 시스템 침해로 4,560만 개 이상의 신용카드 데이터가 유출되었다. 앨버트 곤잘레스는 도난을 저지른 그룹의 주모자로 지목되고 있다. 2009년 8월, 곤잘레스는 당시까지 알려진 가장 큰 신용카드 절도 사건으로 기소되기도 했다. 이 사건에서는 하트랜드 페이먼트 시스템즈, 소매업체 세븐일레븐 및 해너포드 브라더스, 그리고 두 개의 알려지지 않은 회사에서 1억 3천만 개 이상의 신용카드 및 직불카드 정보가 도난당했다.

2012년에 어도비 시스템즈 해킹으로 약 4천만 건의 결제 카드 정보가 유출되었다. 유출된 정보에는 고객 이름, 암호화된 결제 카드 번호, 만료일, 주문 관련 정보가 포함되었다고 최고 보안 책임자 브래드 아킨이 밝혔다.

2013년 7월, 언론 보도에 따르면 4명의 러시아인과 1명의 우크라이나인이 뉴저지 미국의 주에서 "미국에서 기소된 해킹 및 데이터 유출 사건 중 가장 큰 규모"로 기소되었다. 앨버트 곤잘레스도 이 공격의 공범으로 언급되었으며, 이 공격으로 최소 1억 6천만 건의 신용카드가 손실되고 3억 달러 이상의 피해가 발생했다. 이 공격은 시티그룹, 나스닥 OMX 그룹, PNC 파이낸셜 서비스 그룹, 비자 라이센시 비자 요르단, 까르푸, JCPenney, 제트블루 항공을 포함한 미국 및 유럽 기업에 영향을 미쳤다.

2013년 11월 27일부터 2013년 12월 15일까지 타깃 코퍼레이션 시스템 침해로 약 4천만 개의 신용카드 데이터가 유출되었다. 도난당한 정보에는 이름, 계좌 번호, 만료일 및 카드 보안 코드가 포함되었다.

2013년 7월 16일부터 10월 30일까지 해킹 공격으로 니만 마커스 컴퓨터에 저장된 약 100만 건의 결제 카드 데이터가 유출되었다. 현금 등록기와 연결되어 신용카드 승인 과정을 모니터링하도록 설계된 멀웨어 시스템(RAM 스크래핑 멀웨어)이 타깃의 시스템에 침투하여 1억 1천만 명의 고객 정보를 유출시켰다.

2014년 9월 8일, 홈디포는 자신들의 결제 시스템이 침해되었음을 확인했다. 그들은 나중에 해커들이 이 침해의 결과로 총 5,600만 개의 신용카드 번호를 획득했다고 발표했다.

2016년 5월 15일, 조직적인 공격으로 약 100명의 개인이 1,600개의 남아프리카 신용카드 데이터를 사용하여 3시간 만에 도쿄도 내 1,400개의 편의점에서 미화 1,270만 달러를 훔쳤다. 일요일에, 그리고 카드를 발행한 은행이 아닌 다른 나라에서 행동함으로써, 그들은 강도 사건이 발각되기 전에 일본을 떠날 충분한 시간을 벌었다고 믿어진다.

## 카드 결제 사기 방지 대책
신용카드 사기를 막기 위한 대책은 다음과 같다.

### 상인에 의한 대책

* PAN 절단 – 영수증에 전체 **기본 계좌 번호**를 표시하지 않음
* 토큰화 (데이터 보안) – 실제 카드 번호 대신 카드 번호에 대한 참조(토큰) 사용
* PIN, 우편번호 또는 카드 보안 코드와 같은 추가 정보 요청
* IP 주소와 같은 지리적 위치 유효성 검사 수행
* PayPal을 통한 간접적인 의존 인증 또는 iSignthis 또는 를 통한 직접적인 의존 인증 사용.

### 카드 발행사에 의한 대책

* 일반 및 비정상적인 행동 패턴뿐만 아니라 개별 거래를 분석하여 사기 가능성을 표시하는 사기 탐지 및 방지 소프트웨어 IP 주소와 같은 정보를 포함하는 프로필을 통해 사기 가능성을 표시한다. 잠재적 사기를 탐지하는 기술은 1990년대 초부터 존재했다. 초기 시장 진입자 중 하나는 Falcon이었다. 카드 사기를 위한 다른 선도적인 소프트웨어 솔루션으로는 Actimize, SAS, BAE Systems Detica, IBM이 있다.
* 사기 탐지 및 대응 비즈니스 프로세스:
** 카드 소지자에게 연락하여 확인 요청
** 피해를 입었을 수 있는 계정에 예방 통제/보류 조치
** 카드 소지자가 거래를 확인할 때까지 카드 차단
** 사기 활동 조사
* 강력한 인증 조치:
** 다요소 인증, 계좌 번호, PIN, 우편번호, 챌린지 질문과 같은 추가 정보 요구 사항을 통해 카드 소지자가 계좌에 접근하고 있는지 확인. 다요소 인증에는 다섯 가지 주요 요소가 있다.
**# 지식 - 사용자가 아는 것 (예: 비밀번호 또는 비밀 질문에 대한 답변).
**# 소유 - 사용자가 가지고 있어야 하는 물건 (예: 실제 신용카드).
**# 내재 - 사용자의 생물학적 특성 (예: 지문 또는 얼굴 인식).
**# 위치 - 인증 시 사용자가 있는 위치 - 사용자가 카드를 사용했는지 확인.
**# 시간 - 인증이 일어나는 시간 - 이상한 시간이거나 여러 번인가?
** 다중 소유 요소 인증, 스마트 워치, 스마트폰 챌린지-응답 인증과 같은 추가 개인 장치 요구 사항을 통해 카드 소지자가 계좌에 접근하고 있는지 확인
** 대역 외 인증, 문자 메시지, 전화 통화 또는 보안 토큰 장치와 같은 "알려진" 또는 "신뢰할 수 있는" 통신 채널을 통해 카드 소지자가 거래를 수행하고 있는지 확인
* 알려진 사기꾼 및 새로운 위협 벡터에 대한 산업 협력 및 정보 공유
* 자동화된 데이터 통제:

# 신용카드에서 비정상적인 활동이나 지출이 발생할 때 이를 인식하는 데 사용되는 자동화된 데이터 통제 사용. 이러한 통제는 "...의심스러운 일이 발견되는 즉시 사기 활동의 흐름을 중단시키는..." 실시간으로 반응할 수 있다(존스턴). 자동화된 데이터 통제가 정보를 보호하는 세 가지 주요 방법은 다음과 같다.
## 통제가 제대로 작동하는지 확인하기 위한 조정 및 검증.
## 비정상적인 활동이 발생할 때 카드 소지자/은행에 경고하는 지속적인 모니터링 및 경고.
## 조직이 사기 활동을 방지하기 위한 적절한 통제 장치를 갖추고 있는지 확인하는 보고.

### 은행 및 금융 기관에 의한 대책

* 날씨와 관계없이 고객이 거래를 수행할 수 있는 내부 셀프뱅킹 구역. 접근 문:
** 지정된 구역에 접근하는 모든 카드 소지자를 식별한다.
** 셀프 서비스 절차 중 고객 보호를 강화한다.
** ATM 및 은행 자산을 무단 사용으로부터 보호한다.
** 보호 구역은 은행의 CCTV 시스템으로 모니터링할 수도 있다.
** 카드는 EMV 식별(예: PASSCHIP)을 사용하여 카드 스키밍 가능성을 줄인다.

### 정부 및 규제 기관에 의한 대책

* 카드 사기와 관련된 소비자보호 법률 제정
* 신용카드 발행기관에 대한 정기적인 검사 및 위험 평가 수행
* 카드 소지자 정보 보호 및 사기 활동 모니터링을 위한 표준, 지침 및 가이드라인 발표
* SEPA 및 EU28에서 유럽 중앙 은행의 'SecuRe Pay' 요구 사항 및 결제 서비스 지침 2 법률과 같은 규제.

### 카드 소지자에 의한 대책

* 분실 또는 도난 카드 신고
* 정기적으로 청구 내역 확인 및 무단 거래 즉시 신고
* 식당 및 택시 등에서 항상 신용카드를 카드 소지자의 시야 내에 두기
* 개인 컴퓨터에 바이러스 백신 소프트웨어 설치
* 온라인 구매 시, 특히 신뢰할 수 없는 웹사이트에서 신용카드 사용 시 주의, 평판 좋은 사이트인지 확인
* 계좌 번호, 만료일, 각 회사의 전화번호 및 주소를 안전한 곳에 기록 보관
* 암호화되지 않은 이메일로 신용카드 정보 보내지 않기
* 신용카드와 함께 PIN 번호 적어두지 않기.
* 온라인에서 신용카드 번호 및 기타 정보 제공하지 않기
* 카드 사용 시 거래 알림 신청
* 피싱 사기 유의

## 신용카드 사기의 불균형 및 윤리적 딜레마
**세대 차이**

# 밀레니얼 세대는 신용카드 및 직불카드 사기, 디지털 지갑, 디지털 결제, 은행 및 세금 사기를 포함한 모든 사기의 가장 큰 피해자이다. 그 다음은 X세대, 그리고 Z세대이다.
# 밀레니얼 세대는 사기성 청구로 인한 금전 손실 회복, 사기성 청구 이의 제기, 사기성 또는 비정상적인 활동에 대한 계좌 확인에 다른 어떤 세대보다 가장 많은 시간을 보낸다.
# Z세대는 페이팔, 벤모, 스퀘어와 같은 디지털 결제 앱을 통해 사기를 가장 많이 경험했다. 다른 세대는 대부분 신용카드 사기를 통해 문제를 경험했다.
# 베이비붐 세대는 사기성 청구 발생률이 가장 낮았고, 사기성 청구로 인한 금전 손실 회복이나 이러한 청구에 대한 이의 제기에도 가장 적은 시간을 보냈다.

**인종 차이**

# "연방거래위원회("FTC")와 소비자금융보호국("CFPB")은 소수 인종 집단과 소비자 문제 사이의 연관성에 대한 보고서를 작성했다. 각 보고서는 동일한 결론에 도달했다. 불공정하고 기만적인 관행이 유색인종 공동체에 독특하고 불균형적인 영향을 미친다는 것이다. 이러한 발견은 이러한 공동체를 사기로부터 보호하기 위해 더 많은 노력이 필요함을 시사한다." 이 외에도 해커들은 추가 소득이나 신용의 필요성, 또는 특정 유형의 금융 상품을 사용하는 경향과 같은 이유로 특히 유색인종 공동체를 표적으로 삼는다.
# 추가 보고서 결과:
## 흑인 및 라틴계 소비자가 사기를 경험할 가능성이 더 높지만, 라틴계 공동체는 흑인 및 백인 공동체에 비해 신고율이 현저히 낮다.
## 라틴계 및 흑인 소비자는 문제의 유형에 따라 사기 발생률이 다르게 보고된다. FTC는 그들의 불만 데이터베이스에서 흑인 및 라틴계 공동체(그 정도는 덜하지만)가 백인 공동체보다 신용 bureaus 및 채무 추심과 관련된 문제 발생률이 더 높다는 것을 발견했다.
## 백인 및 라틴계 공동체는 흑인 공동체보다 사칭 사기 발생률이 더 높다. 또한 FTC 결제 방법 데이터에 따르면 흑인 및 라틴계 공동체는 백인 공동체보다 법적 보호가 수반되는 신용카드를 사용하는 비율이 현저히 낮다.

## 추가 기술 기능

* 3-D Secure
* EMV
* 종단 간 암호화
* 강력한 인증
* 트루 링크

## 같이 보기

* 카드 결제 사기
* 차지백 사기
* 차지백 보험
* 미국 연방수사국
* 금융 범죄
* 신원 도용
* 이민세관집행국 (ICE)
* 인터넷 사기
* 조직범죄
* 피싱
* 예측 분석
* 변제
* 사회공학
* 트래픽 분석
* 미국 우편 감사국
* 미국 비밀경호국
* 화이트 칼라 범죄

## 각주

## 외부 링크
* 연방 금융 기관 심사 위원회 (FFIEC) IT 소책자 » 정보 보안 » 부록 C: 법률, 규정 및 지침
* 비자의 판매자를 위한 사기 통제 기본 사항

분류:신용카드
분류:조직적 범죄활동
분류:신원 도용