เนื่องจากความยากลำบากอย่างมากในการตรวจจับการฉ้อโกงบัตรเครดิต จึงมีการพัฒนาปัญญาประดิษฐ์และปัญญาเชิงคำนวณขึ้นมาเพื่อให้เครื่องจักรสามารถทำงานที่มนุษย์ทำได้ดีอยู่แล้ว ปัญญาเชิงคำนวณเป็นเพียงส่วนย่อยของปัญญาประดิษฐ์ที่ช่วยให้เกิดความฉลาดในสภาพแวดล้อมที่เปลี่ยนแปลงไป ด้วยความก้าวหน้าทั้งในด้านปัญญาประดิษฐ์และปัญญาเชิงคำนวณ วิธีการที่ใช้กันทั่วไปและแนะนำในการตรวจจับการฉ้อโกงบัตรเครดิต ได้แก่ เทคนิคการสร้างกฎเกณฑ์ ต้นไม้ตัดสินใจ โครงข่ายประสาทเทียม เครื่องสนับสนุนเวกเตอร์ การถดถอยโลจิสติก และเมตาฮิวริสติกส์ มีวิธีการมากมายที่อาจใช้ในการตรวจจับการฉ้อโกงบัตรเครดิต ตัวอย่างเช่น บาง "แนะนำกรอบการทำงานที่สามารถนำไปใช้ได้แบบเรียลไทม์ โดยเริ่มจากการวิเคราะห์ค่าผิดปกติแยกต่างหากสำหรับลูกค้าแต่ละรายโดยใช้แผนที่จัดระเบียบตนเอง จากนั้นจึงใช้อัลกอริธึมการทำนายเพื่อจำแนกธุรกรรมที่ดูผิดปกติ" ปัญหาบางอย่างที่เกิดขึ้นเมื่อตรวจจับการฉ้อโกงบัตรเครดิตผ่านปัญญาเชิงคำนวณ ได้แก่ การจำแนกประเภทผิดพลาด เช่น ผลลบเท็จ/ผลบวกเท็จ รวมถึงการตรวจจับการฉ้อโกงบนบัตรเครดิตที่มีวงเงินสูงกว่าจะพบได้บ่อยกว่าการตรวจจับการฉ้อโกงบนบัตรเครดิตที่มีวงเงินต่ำกว่า อัลกอริทึมหนึ่งที่ช่วยตรวจจับปัญหาประเภทนี้คืออัลกอริทึม MBO ซึ่งเป็นเทคนิคการค้นหาที่นำมาซึ่งการปรับปรุงผ่าน "โซลูชันเพื่อนบ้าน" อัลกอริทึมอีกตัวที่ช่วยในเรื่องนี้คืออัลกอริทึม GASS ใน GASS นั้นเป็นการผสมผสานระหว่างอัลกอริทึมทางพันธุกรรมและการค้นหาแบบกระจาย^{[ 8 ]}

หากจะกล่าวถึงความยากลำบากในการตรวจจับการฉ้อโกงบัตรเครดิต แม้ว่าเทคโนโลยีและการเรียนรู้จะก้าวหน้าขึ้นทุกวัน แต่บริษัทต่างๆ ก็ยังคงปฏิเสธที่จะแบ่งปันอัลกอริทึมและเทคนิคของตนกับบุคคลภายนอก นอกจากนี้ ธุรกรรมฉ้อโกงคิดเป็นเพียงประมาณ 0.01–0.05% ของธุรกรรมรายวัน ทำให้การตรวจจับทำได้ยากยิ่งขึ้น การเรียนรู้ของเครื่อง (Machine Learning) คล้ายกับปัญญาประดิษฐ์ (Artificial Intelligence) ซึ่งเป็นสาขาย่อยของ AI และสถิติเป็นสาขาย่อยของคณิตศาสตร์ สำหรับการเรียนรู้ของเครื่อง เป้าหมายคือการค้นหาแบบจำลองที่ให้ผลลัพธ์สูงสุดโดยไม่เกิดการโอเวอร์ฟิต (Overfitting) ในเวลาเดียวกัน การโอเวอร์ฟิตหมายความว่าระบบคอมพิวเตอร์จดจำข้อมูล และหากธุรกรรมใหม่แตกต่างจากชุดข้อมูลฝึกฝนในทางใดทางหนึ่ง ก็มีแนวโน้มที่จะถูกจัดประเภทผิดพลาด ทำให้ผู้ถือบัตรไม่พอใจหรือตกเป็นเหยื่อของการฉ้อโกงที่ไม่ถูกตรวจพบ ภาษาโปรแกรมที่นิยมใช้ในการเรียนรู้ของเครื่อง ได้แก่ Python, R และ MATLAB ในขณะเดียวกัน SAS ก็กำลังกลายเป็นคู่แข่งที่เพิ่มขึ้นเช่นกัน วิธีที่ง่ายที่สุดที่ใช้ในอุตสาหกรรมนี้คือ Support Vector Machine (SVM) โดย R มีแพ็กเกจที่มีฟังก์ชัน SVM ที่เขียนโปรแกรมไว้แล้ว เมื่อใช้ Support Vector Machines จะเป็นวิธีที่มีประสิทธิภาพในการดึงข้อมูล SVM ถือเป็นการวิจัยที่กำลังดำเนินการอยู่และประสบความสำเร็จในการแก้ปัญหาการจำแนกประเภทเช่นกัน โดยมีบทบาทสำคัญในการเรียนรู้ของเครื่อง มี "ประสิทธิภาพการวางนัยทั่วไปที่ยอดเยี่ยมในปัญหาการเรียนรู้ที่หลากหลาย เช่น การจดจำตัวเลขที่เขียนด้วยมือ การจำแนกประเภทเว็บเพจ และการตรวจจับใบหน้า" SVM ยังเป็นวิธีการที่ประสบความสำเร็จเพราะช่วยลดโอกาสในการเกิด overfitting และมิติ^{[ 9 ]}

แนวทางการเรียนรู้ของเครื่องและการเรียนรู้เชิงลึกได้แสดงให้เห็นถึงศักยภาพที่แข็งแกร่งในการตรวจจับการฉ้อโกงเนื่องจากความสามารถในการเรียนรู้รูปแบบพฤติกรรมที่ซับซ้อนโดยอัตโนมัติ อย่างไรก็ตาม โมเดลที่มีประสิทธิภาพสูงจำนวนมากทำงานเหมือนกล่องดำ สร้างการคาดการณ์โดยปราศจากข้อมูลเชิงลึกที่มีความหมายเกี่ยวกับตรรกะการตัดสินใจ การขาดความโปร่งใสนี้เป็นปัญหาในสภาพแวดล้อมทางการเงินที่มีการควบคุมซึ่งต้องการปัญญาประดิษฐ์ที่สามารถอธิบายได้มากขึ้นเรื่อยๆ กฎระเบียบต่างๆ เช่น GDPR ยังเน้นย้ำถึงสิทธิในการอธิบายในการตัดสินใจอัตโนมัติ ทำให้ความสามารถในการตีความกลายเป็นข้อกำหนดที่สำคัญ^{[ 10 ]}

การฉ้อโกงการสมัครเกิดขึ้นเมื่อบุคคลใช้เอกสารที่ถูกขโมยหรือปลอมแปลงเพื่อเปิดบัญชีในชื่อของบุคคลอื่น อาชญากรอาจขโมยหรือปลอมแปลงเอกสาร เช่น ใบแจ้งค่าสาธารณูปโภคและใบแจ้งยอดบัญชีธนาคารเพื่อสร้างโปรไฟล์ส่วนตัว เมื่อเปิดบัญชีโดยใช้เอกสารปลอมหรือที่ถูกขโมย ผู้ฉ้อโกงก็สามารถถอนเงินสดหรือขอสินเชื่อในชื่อของเหยื่อได้^{[ 11 ]}

การฉ้อโกงการสมัครยังสามารถเกิดขึ้นได้โดยใช้ข้อมูลประจำตัวปลอม ซึ่งคล้ายกับเอกสารปลอมที่กล่าวถึงข้างต้น ข้อมูลประจำตัวปลอมคือข้อมูลส่วนบุคคลที่รวบรวมจากข้อมูลประจำตัวที่แตกต่างกันหลายๆ อย่างเพื่อสร้างข้อมูลประจำตัวปลอมขึ้นมา เมื่อสร้างข้อมูลประจำตัวและบัญชีได้แล้ว ผู้ฉ้อโกงมีตัวเลือกต่างๆ สองสามอย่างที่จะใช้ประโยชน์จากธนาคาร พวกเขาสามารถเพิ่มการใช้จ่ายบัตรเครดิตให้สูงสุดโดยใช้จ่ายเงินให้มากที่สุดเท่าที่จะเป็นไปได้บนบัตรเครดิตใหม่ ผู้ฉ้อโกงจำนวนมากจะใช้บัตรเครดิตใหม่เพื่อซื้อสินค้าที่มีมูลค่าขายต่อสูงเพื่อที่จะเปลี่ยนเป็นเงินสดได้^{[ 12 ]}

การเข้ายึดบัญชีหมายถึงการกระทำที่ผู้ฉ้อโกงพยายามเข้าควบคุมบัญชีของลูกค้า (เช่น บัตรเครดิต อีเมล ธนาคาร ซิมการ์ด และอื่นๆ) การควบคุมในระดับบัญชีให้ผลตอบแทนสูงสำหรับผู้ฉ้อโกง ตามรายงานของ Forrester การตรวจสอบสิทธิ์ตามความเสี่ยง (RBA) มีบทบาทสำคัญในการลดความเสี่ยง^{[ 13 ]}

ผู้ฉ้อโกงใช้ข้อมูลประจำตัวบางส่วนของเหยื่อ เช่น ที่อยู่อีเมล เพื่อเข้าถึงบัญชีทางการเงิน จากนั้นบุคคลนี้จะดักฟังการสื่อสารเกี่ยวกับบัญชีเพื่อไม่ให้เหยื่อรู้ถึงภัยคุกคามใดๆ เหยื่อมักจะเป็นคนแรกที่ตรวจพบการเข้ายึดบัญชีเมื่อพวกเขาพบค่าใช้จ่ายในใบแจ้งยอดรายเดือนที่พวกเขาไม่ได้อนุญาต หรือการถอนเงินที่น่าสงสัยหลายครั้ง^{[ 14 ]}จำนวนการเข้ายึดบัญชีเพิ่มขึ้นนับตั้งแต่มีการนำเทคโนโลยี EMV มาใช้ ซึ่งทำให้ผู้ฉ้อโกงทำสำเนาบัตรเครดิตจริงได้ยากขึ้น^{[ 15 ]}

วิธีการที่พบบ่อยที่สุดที่ผู้ฉ้อโกงใช้ในการเข้ายึดบัญชี ได้แก่ แอป "ตรวจสอบ" แบบคลิกเดียวที่ใช้พร็อกซี การโจมตีบอทเน็ตแบบใช้กำลังดุร้าย การฟิชชิ่ง^{[ 16 ]}และมัลแวร์ วิธีการอื่นๆ ได้แก่ การค้นหาข้อมูลส่วนบุคคลในจดหมายที่ถูกทิ้ง และการซื้อรายการ "Fullz" ซึ่งเป็นคำสแลงสำหรับแพ็กเกจข้อมูลระบุตัวตนแบบเต็มรูปแบบที่ขายในตลาดมืด^{[ 17 ]}

เมื่อเข้าสู่ระบบแล้ว ผู้ฉ้อโกงจะสามารถเข้าถึงบัญชีและทำการซื้อและถอนเงินจากบัญชีธนาคารได้ พวกเขาสามารถเข้าถึงข้อมูลใดๆ ที่เชื่อมโยงกับบัญชีและสามารถขโมยหมายเลขบัตรเครดิตรวมถึงหมายเลขประกันสังคมได้ พวกเขาสามารถเปลี่ยนรหัสผ่านเพื่อป้องกันไม่ให้เหยื่อเข้าถึงบัญชีของตนได้ อาชญากรไซเบอร์มีโอกาสที่จะเปิดบัญชีอื่นๆ ใช้รางวัลและสิทธิประโยชน์จากบัญชี และขายข้อมูลนี้ให้กับแฮกเกอร์รายอื่น^{[ 18 ]}

การฉ้อโกง โดยใช้เทคนิควิศวกรรมสังคมสามารถเกิดขึ้นได้เมื่ออาชญากรปลอมตัวเป็นบุคคลอื่น ซึ่งส่งผลให้มีการโอนเงินหรือข้อมูลโดยสมัครใจให้กับผู้ฉ้อโกง^{[ 19 ]}ผู้ฉ้อโกงกำลังหันมาใช้วิธีการที่ซับซ้อนมากขึ้นในการหลอกลวงผู้คนและธุรกิจให้เสียเงิน กลยุทธ์ทั่วไปคือการส่งอีเมลปลอมโดยแอบอ้างเป็นพนักงานระดับสูง และพยายามหลอกลวงพนักงานให้โอนเงินไปยังบัญชีธนาคารปลอม^{[ 20 ]}

มิจฉาชีพอาจใช้วิธีการต่างๆ เพื่อหลอกลวงเอาข้อมูลส่วนบุคคลโดยแอบอ้างเป็นธนาคารหรือผู้ให้บริการชำระเงิน การหลอกลวงทางโทรศัพท์ (Phishing) เป็นเทคนิคการหลอกลวงทางสังคมที่พบได้บ่อยที่สุดเพื่อสร้างความไว้วางใจให้กับเหยื่อ

ธุรกิจต่างๆ สามารถป้องกันตนเองได้ด้วยกระบวนการอนุมัติสองขั้นตอนสำหรับการโอนเงินที่ต้องได้รับการอนุมัติจากบุคคลอย่างน้อยสองคน และขั้นตอนการโทรกลับไปยังหมายเลขติดต่อที่กำหนดไว้ก่อนหน้านี้ แทนที่จะใช้ข้อมูลติดต่อใดๆ ที่รวมอยู่ในคำขอชำระเงิน ธนาคารต้องคืนเงินที่ชำระโดยไม่ได้รับอนุญาต อย่างไรก็ตาม ธนาคารสามารถปฏิเสธการคืนเงินได้หากสามารถพิสูจน์ได้ว่าลูกค้าอนุมัติการทำธุรกรรม หรือสามารถพิสูจน์ได้ว่าลูกค้าเป็นฝ่ายผิดเพราะกระทำการโดยเจตนา หรือไม่ปกป้องรายละเอียดที่ทำให้การทำธุรกรรมเกิดขึ้นได้^{[ 21 ]}

การขโมยข้อมูลบัตรเครดิตเป็นการขโมยข้อมูลส่วนบุคคลที่ใช้ในการทำธุรกรรมตามปกติ โจรสามารถได้หมายเลขบัตรของเหยื่อโดยใช้วิธีพื้นฐาน เช่น การถ่ายเอกสารใบเสร็จ หรือวิธีขั้นสูงกว่า เช่น การใช้อุปกรณ์อิเล็กทรอนิกส์ขนาดเล็ก (skimmer) เพื่อรูดและเก็บหมายเลขบัตรของเหยื่อได้หลายร้อยหมายเลข^{[ 22 ]}สถานการณ์ทั่วไปของการขโมยข้อมูลบัตรเครดิต ได้แก่ รถแท็กซี่ ร้านอาหาร หรือบาร์ ซึ่งผู้ขโมยจะครอบครองบัตรชำระเงินของเหยื่อโดยที่เหยื่อมองไม่เห็น^{[ 23 ]} โจรอาจใช้แป้นพิมพ์ขนาดเล็กเพื่อคัดลอก รหัสความปลอดภัยของบัตรสามหรือสี่หลักอย่างแนบเนียนซึ่งไม่มีอยู่ในแถบแม่เหล็ก

ศูนย์บริการลูกค้าเป็นอีกพื้นที่หนึ่งที่สามารถเกิดการขโมยข้อมูลบัตรได้ง่าย^{[ 24 ]}การขโมยข้อมูลบัตรยังสามารถเกิดขึ้นได้ที่ร้านค้าเมื่อมีการติดตั้งอุปกรณ์อ่านบัตรของบุคคลที่สามไว้นอกเครื่องรูดบัตร อุปกรณ์นี้ทำให้โจรสามารถบันทึกข้อมูลบัตรของลูกค้า รวมถึงรหัส PIN ได้ทุกครั้งที่รูดบัตร^{[ 25 ]}

การขโมยข้อมูลบัตรเป็นเรื่องยากที่ผู้ถือบัตรทั่วไปจะตรวจจับได้ แต่หากมีตัวอย่างมากพอ ผู้ออกบัตรก็สามารถตรวจจับได้ค่อนข้างง่าย ผู้ออกบัตรจะรวบรวมรายชื่อผู้ถือบัตรทั้งหมดที่ร้องเรียนเกี่ยวกับการทำธุรกรรมที่ฉ้อโกง จากนั้นใช้การวิเคราะห์ข้อมูลเพื่อค้นหาความสัมพันธ์ระหว่างพวกเขาและร้านค้าที่พวกเขาใช้บริการ อัลกอริทึมที่ซับซ้อนยังสามารถค้นหารูปแบบการฉ้อโกงได้อีกด้วย ร้านค้าต้องตรวจสอบให้แน่ใจว่าเครื่องรับชำระเงินของตนมีความปลอดภัย และบทลงโทษสำหรับร้านค้าอาจรุนแรงหากเครื่องรับชำระเงินของตนถูกบุกรุก ตั้งแต่ค่าปรับจำนวนมากจากผู้ออกบัตรไปจนถึงการถูกตัดออกจากระบบโดยสิ้นเชิง ซึ่งอาจเป็นหายนะสำหรับธุรกิจ เช่น ร้านอาหารที่การทำธุรกรรมด้วยบัตรเครดิตเป็นเรื่องปกติ

มีรายงานกรณีการขโมยข้อมูลบัตรโดยผู้กระทำผิดได้วางอุปกรณ์ที่อ่านแถบแม่เหล็ก ไว้เหนือช่องเสียบบัตรของ เครื่องเอทีเอ็ม ในขณะที่ผู้ใช้เสียบบัตรเข้าไปโดยไม่รู้ตัว ^{[ 26 ]}อุปกรณ์เหล่านี้มักใช้ร่วมกับกล้องขนาดเล็กเพื่ออ่านหมายเลขประจำตัวประชาชน ของผู้ใช้ ในเวลาเดียวกัน^{[ 27 ]}วิธีนี้ถูกนำมาใช้ในหลายส่วนของโลก รวมถึงอเมริกาใต้^{[ 28 ]}และยุโรป^{[ 29 ]}

การชำระบิลออนไลน์และการซื้อสินค้าทางอินเทอร์เน็ตโดยใช้บัญชีธนาคารเป็นแหล่งที่มาของการเรียกเก็บเงินซ้ำที่เรียกว่า "ค่าธรรมเนียมธนาคารที่เกิดขึ้นซ้ำ" เหล่านี้คือคำสั่งยืนหรือคำสั่งของธนาคารจากลูกค้าให้ปฏิบัติตามและชำระเงินจำนวนหนึ่งทุกเดือนให้กับผู้รับเงิน ด้วยอีคอมเมิร์ซโดยเฉพาะในสหรัฐอเมริกาผู้ขายหรือผู้รับเงินสามารถรับชำระเงินผ่านการหักบัญชีโดยตรงผ่านเครือข่าย ACHได้ แม้ว่าการชำระเงินหรือการซื้อจำนวนมากจะถูกต้อง และลูกค้ามีเจตนาที่จะชำระบิลรายเดือน แต่บางรายการก็เรียกว่าการชำระเงินอัตโนมัติที่ผิดปกติ^{[ 30 ]}

การฉ้อโกงบัตรเครดิตอีกประเภทหนึ่งมุ่งเป้าไปที่ลูกค้าผู้ใช้บริการสาธารณูปโภค ลูกค้าจะได้รับการติดต่อโดยไม่ได้รับอนุญาต ไม่ว่าจะเป็นทางตรง ทางโทรศัพท์ หรือทางอีเมล จากบุคคลที่อ้างว่าเป็นตัวแทนของบริษัทสาธารณูปโภคมิจฉาชีพจะแจ้งเตือนลูกค้าว่าบริการสาธารณูปโภคจะถูกตัดหากไม่ชำระเงินทันที ซึ่งมักจะเกี่ยวข้องกับการใช้บัตรเดบิตแบบเติมเงินเพื่อรับชำระเงิน บางครั้งมิจฉาชีพจะใช้หมายเลขโทรศัพท์และภาพกราฟิกที่ดูเหมือนจริงเพื่อหลอกลวงเหยื่อ

การฟิชชิงเป็นหนึ่งในวิธีการที่ใช้กันมากที่สุดในการขโมยข้อมูลส่วนบุคคล เป็นการโจมตีทางไซเบอร์ประเภทหนึ่งที่ผู้โจมตีแสร้งทำเป็นบุคคล สถาบัน หรือหน่วยงานที่น่าเชื่อถือ และพยายามล่อลวงเหยื่อให้ยอมรับข้อความหรือดำเนินการตามคำขอเฉพาะเจาะจง บ่อยครั้งที่เป้าหมายของการโจมตีจะได้รับอีเมลหรือข้อความเกี่ยวกับสิ่งที่พวกเขาอาจต้องการหรือจำเป็น โดยหวังว่าจะหลอกให้พวกเขาเปิดหรือดาวน์โหลดข้อความนั้น การฟิชชิงเพิ่มขึ้นในช่วงการระบาดของ COVID-19เนื่องจากทั่วโลกพึ่งพาการสื่อสารทางอิเล็กทรอนิกส์มากขึ้น โดยนักวิจัยตั้งข้อสังเกตว่า "มีการเพิ่มขึ้นอย่างมากถึง 667%" ในการโจมตีแบบฟิชชิงในช่วงไม่กี่เดือนแรกของการระบาดของ COVID-19 เพียงอย่างเดียว^{[ 31 ]}ยิ่งไปกว่านั้น ด้วยความสำคัญของระบบการดูแลสุขภาพในช่วงไม่กี่ปีที่ผ่านมา บริษัทด้านการดูแลสุขภาพจึงเป็นเป้าหมายหลักของการโจมตีแบบฟิชชิง บริษัทเหล่านี้มีข้อมูลส่วนบุคคลของผู้ป่วยจำนวนมหาศาลซึ่งอาจมีค่าอย่างมากสำหรับผู้โจมตี

การแบ่งปันข้อมูลคือการถ่ายโอนหรือแลกเปลี่ยนข้อมูลระหว่างบุคคล บริษัท องค์กร และเทคโนโลยี ความก้าวหน้าทางเทคโนโลยี อินเทอร์เน็ต และเครือข่ายได้เร่งการเติบโตของการแบ่งปันข้อมูล ข้อมูลสามารถส่งและประมวลผลได้ด้วยความเร็วที่มากกว่าที่เคยเป็นมา

บุคคลอาจขาดความเข้าใจว่าตนเองอาจแบ่งปันข้อมูลส่วนบุคคลที่ละเอียดอ่อนมากน้อยเพียงใดในแต่ละวัน ตัวอย่างเช่น เมื่อซื้อสินค้าออนไลน์ บุคคลจะให้ชื่อ ที่อยู่อีเมล ที่อยู่บ้าน และข้อมูลบัตรเครดิต ซึ่งทั้งหมดนี้อาจถูกจัดเก็บและแบ่งปันกับบุคคลที่สามเพื่อวัตถุประสงค์ในการติดตามการซื้อในอนาคตของบุคคลนั้น องค์กรอาจพยายามอย่างเต็มที่เพื่อรักษาความปลอดภัยของข้อมูลส่วนบุคคลในฐานข้อมูล แต่ในอดีต แฮกเกอร์มักจะสามารถเจาะระบบรักษาความปลอดภัยขององค์กรและเข้าถึงข้อมูลจำนวนมหาศาลได้ การละเมิดข้อมูลครั้งใหญ่ที่สุดครั้งหนึ่งเกิดขึ้นในปี 2013 เมื่อแฮกเกอร์โจมตีระบบจุดขายของร้านค้าปลีกราคาประหยัดของอเมริกาอย่าง Targetทำให้ข้อมูลส่วนบุคคลของ ผู้ซื้อประมาณ 40 ล้านคน ถูกละเมิด CNN Businessรายงานว่า "พวกเขาอาจแทรกมัลแวร์เข้าไปในเครื่องที่ลูกค้ารูดบัตรเครดิต หรือพวกเขารวบรวมข้อมูลลูกค้าในขณะที่ข้อมูลกำลังเดินทางจาก Target ไปยังผู้ประมวลผลบัตรเครดิต" ^{[ 32 ]}ในการซื้อเพียงครั้งเดียวที่เคาน์เตอร์ชำระเงิน ข้อมูลส่วนบุคคลจำนวนมากจะถูกรวบรวม ซึ่งหากถูกขโมยจะมีผลกระทบอย่างใหญ่หลวง โครงสร้างพื้นฐาน ของตลาดการเงินและระบบการชำระเงินจะยังคงอยู่ในระหว่างการพัฒนาอย่างต่อเนื่อง เนื่องจากต้องต่อสู้กับการโจมตีจากแฮกเกอร์ด้านความปลอดภัยอยู่ตลอดเวลา

แม้ว่ามาตรฐาน PCI DSSจะไม่ได้กำหนดไว้ในกฎหมายของรัฐบาลกลางสหรัฐอเมริกา แต่ก็เป็นมาตรฐานที่กำหนดโดยสภามาตรฐานความปลอดภัยอุตสาหกรรมบัตรชำระเงิน (Payment Card Industry Security Standard Council) ซึ่งประกอบด้วยแบรนด์บัตรเครดิตรายใหญ่ และถือครองมาตรฐานนี้ไว้เป็นมาตรฐานอุตสาหกรรม บางรัฐได้นำมาตรฐานนี้ไปบัญญัติไว้ในกฎหมายของตนแล้ว

กฎระเบียบและการกำกับดูแล

ในประเทศแคนาดา บัตรเครดิตอยู่ภายใต้พระราชบัญญัติธนาคาร และอยู่ภายใต้การกำกับดูแลของสำนักงานคุ้มครองผู้บริโภคทางการเงินแห่งแคนาดา (FCAC) ประมวลจริยธรรมสำหรับอุตสาหกรรมบัตรเครดิตและบัตรเดบิตยังใช้กับเครือข่ายการชำระเงินด้วย เพื่อให้มั่นใจถึงความโปร่งใสและการปฏิบัติต่อกันอย่างเป็นธรรมในการจัดการบัญชีผู้ค้าและผู้บริโภค ในประเทศแคนาดาสำนักงานผู้กำกับดูแลสถาบันการเงิน (OSFI) กำกับดูแลสถาบันการเงินที่อยู่ภายใต้การกำกับดูแลของรัฐบาลกลาง

ความรับผิดชอบของผู้ถือบัตร

กฎหมายแคนาดาจำกัดความรับผิดของผู้ถือบัตรสำหรับธุรกรรมฉ้อโกงไว้ที่สูงสุด 50 ดอลลาร์ หากมีการแจ้งความทันที อย่างไรก็ตาม บัตรเครดิตส่วนใหญ่มีการคุ้มครองความรับผิดเป็นศูนย์ ซึ่งหมายความว่าโดยทั่วไปแล้วผู้บริโภคจะไม่ต้องรับผิดชอบต่อธุรกรรมที่ไม่ได้รับอนุญาต

การฉ้อโกงและความเสียหาย

ในแคนาดา การฉ้อโกงบัตรเครดิตถือเป็นการขโมยข้อมูลส่วนบุคคลประเภทหนึ่ง และอยู่ภายใต้ประมวลกฎหมายอาญาของแคนาดา ศูนย์ต่อต้านการ ฉ้อโกงแห่งแคนาดา (Canadian Anti-Fraud Centre - CAFC) ระบุว่า ในปี 2022 มีการสูญเสียเงินจากการฉ้อโกงการชำระเงินมากกว่าห้าแสนล้านดอลลาร์ ทำให้การฉ้อโกง โดยเฉพาะอย่างยิ่งที่เกี่ยวข้องกับบัตรเครดิต เป็นอาชญากรรมทางการเงินอันดับหนึ่งในประเทศของเราCAFC ติดตามและวิเคราะห์แนวโน้มการฉ้อโกง

ในสหราชอาณาจักร บัตรเครดิตอยู่ภายใต้การกำกับดูแลของพระราชบัญญัติสินเชื่อผู้บริโภคปี 1974 (แก้ไขเพิ่มเติมปี 2006 ) ซึ่งให้การคุ้มครองและข้อกำหนดหลายประการ การใช้บัตรในทางที่ผิด เว้นแต่เป็นการกระทำโดยเจตนาเพื่อก่ออาชญากรรมของผู้ถือบัตร จะต้องได้รับการคืนเงินจากร้านค้าหรือผู้ออกบัตร

การกำกับดูแลธนาคารในสหราชอาณาจักรดำเนินการโดย: ธนาคารแห่งประเทศอังกฤษ (Bank of England หรือ BoE); หน่วยงาน กำกับดูแลด้านการเงิน ( Prudential Regulation Authorityหรือ PRA) ซึ่งเป็นหน่วยงานย่อยของ BoE; และ หน่วยงานกำกับดูแลด้านการเงิน (Financial Conduct Authority หรือ FCA) ซึ่งดูแลการกำกับดูแลในแต่ละวัน ไม่มีกฎหมายหรือข้อบังคับเฉพาะที่ควบคุมอุตสาหกรรมบัตรเครดิต อย่างไรก็ตาม สมาคมบริการการชำระเงิน (Association for Payment Clearing Servicesหรือ APACS) เป็นสถาบันที่สมาชิกผู้ให้บริการชำระเงินทั้งหมดเป็นสมาชิกอยู่ องค์กรนี้ทำงานภายใต้คำสั่งการรวมกิจการธนาคาร (Banking Consolidation Directive) เพื่อให้มีวิธีการในการตรวจสอบและควบคุมธุรกรรมUK Financeเป็นสมาคมสำหรับภาคการธนาคารและบริการทางการเงินของสหราชอาณาจักร ซึ่งเป็นตัวแทนของบริษัทมากกว่า 250 แห่งที่ให้บริการด้านสินเชื่อ การธนาคาร และบริการที่เกี่ยวข้องกับการชำระเงิน

ในประเทศออสเตรเลียการฉ้อโกงบัตรเครดิตถือเป็นอาชญากรรมทางด้านข้อมูลส่วนบุคคล รูปแบบ หนึ่ง ศูนย์รายงานและวิเคราะห์ธุรกรรมแห่งออสเตรเลียได้กำหนดคำจำกัดความมาตรฐานเกี่ยวกับอาชญากรรมทางด้านข้อมูลส่วนบุคคลเพื่อให้หน่วยงานบังคับใช้กฎหมายทั่วประเทศออสเตรเลียนำไปใช้:

• คำว่า"อัตลักษณ์"หมายความถึงอัตลักษณ์ของบุคคลธรรมดา (ทั้งที่ยังมีชีวิตอยู่และเสียชีวิตแล้ว) และอัตลักษณ์ของนิติบุคคล
• การสร้างอัตลักษณ์ปลอมหมายถึง การสร้างอัตลักษณ์ที่ไม่เป็นความจริงขึ้นมา
• การบิดเบือนอัตลักษณ์หมายถึง การเปลี่ยนแปลงอัตลักษณ์ของตนเอง
• การขโมยเอกลักษณ์หมายถึง การขโมยหรือการสวมรอยเป็นเอกลักษณ์ที่มีอยู่แล้ว (หรือส่วนสำคัญของเอกลักษณ์นั้น) ไม่ว่าจะได้รับความยินยอมหรือไม่ก็ตาม และไม่ว่าในกรณีของบุคคลนั้น บุคคลนั้นยังมีชีวิตอยู่หรือเสียชีวิตไปแล้วก็ตาม
• อาชญากรรมที่เกี่ยวข้องกับอัตลักษณ์เป็นคำทั่วไปที่ใช้อธิบายกิจกรรม/ความผิดที่ผู้กระทำความผิดใช้อัตลักษณ์ปลอม อัตลักษณ์ที่ถูกบิดเบือน หรืออัตลักษณ์ที่ถูกขโมย/แอบอ้างเพื่ออำนวยความสะดวกในการก่ออาชญากรรม^{[ 36 ]}

เนื่องจากจำนวนธุรกรรมบัตรชำระเงินที่ไม่ได้รับอนุญาตซึ่งเกี่ยวข้องกับการฉ้อโกงและการหลอกลวงเพิ่มมากขึ้น หน่วยงานกำกับดูแลทางการเงินของฮ่องกงจึงออกหนังสือเวียนสองฉบับเมื่อวันที่ 25 เมษายน 2566 ^{[ 38 ]}

• การตัดทอนหมายเลข PAN – ไม่แสดงหมายเลขบัญชีหลักแบบเต็มบนใบเสร็จรับเงิน
• การแปลงข้อมูลเป็นโทเค็น (เพื่อความปลอดภัยของข้อมูล) – การใช้รหัสอ้างอิง (โทเค็น) กับหมายเลขบัตรแทนที่จะใช้หมายเลขบัตรจริง
• การขอข้อมูลเพิ่มเติม เช่น รหัส PIN รหัสไปรษณีย์ หรือรหัสความปลอดภัยของบัตร
• ทำการตรวจสอบความถูกต้องของตำแหน่งทางภูมิศาสตร์ เช่น ที่อยู่ IP
• การใช้การยืนยันตัวตนแบบ Relianceทั้งทางอ้อมผ่าน PayPal หรือโดยตรงผ่าน iSignthis หรือmiiCard

• ซอฟต์แวร์ตรวจจับและป้องกันการฉ้อโกง^{[ 52 ] [ 53 ] [ 54 ] [ 55 ]}ที่วิเคราะห์รูปแบบพฤติกรรมปกติและผิดปกติ รวมถึงธุรกรรมแต่ละรายการ เพื่อระบุการฉ้อโกงที่อาจเกิดขึ้น โปรไฟล์ประกอบด้วยข้อมูลเช่น ที่อยู่ IP ^{[ 56 ]}เทคโนโลยีเหล่านี้มีมาตั้งแต่ช่วงต้นทศวรรษ 1990 เพื่อตรวจจับการฉ้อโกงที่อาจเกิดขึ้น ผู้เข้าสู่ตลาดรายแรกๆ รายหนึ่งคือ Falcon ^{[ 53 ]}โซลูชันซอฟต์แวร์ชั้นนำอื่นๆ สำหรับการฉ้อโกงบัตร ได้แก่ Actimize, SAS, BAE Systems Detica และ IBM
• กระบวนการทางธุรกิจด้านการตรวจจับและตอบสนองต่อการฉ้อโกง เช่น:
  • ติดต่อผู้ถือบัตรเพื่อขอการยืนยัน
  • การวางมาตรการควบคุม/ระงับชั่วคราวสำหรับบัญชีที่อาจตกเป็นเหยื่อของการโจรกรรม
  • ระงับการใช้งานบัตรจนกว่าเจ้าของบัตรจะตรวจสอบธุรกรรมเสร็จสิ้น
  • การตรวจสอบกิจกรรมฉ้อโกง
• มาตรการยืนยันตัวตนที่เข้มงวด เช่น:
  • การตรวจสอบสิทธิ์แบบหลายปัจจัยคือการตรวจสอบว่าบัญชีนั้นกำลังถูกเข้าถึงโดยผู้ถือบัตรโดยต้องใช้ข้อมูลเพิ่มเติม เช่น หมายเลขบัญชี รหัส PIN รหัสไปรษณีย์ และคำถามท้าทายการตรวจสอบสิทธิ์แบบหลายปัจจัยมีปัจจัยหลัก 5 ประการ ได้แก่^{[ 57 ]}
    1. ความรู้ - สิ่งที่ผู้ใช้รู้ เช่น รหัสผ่าน หรือคำตอบของคำถามลับ
    2. การครอบครอง - วัตถุที่ผู้ใช้ควรมีไว้ในครอบครอง เช่น บัตรเครดิตจริง
    3. ลักษณะเฉพาะตัว - คุณสมบัติทางชีวภาพของผู้ใช้ เช่น ลายนิ้วมือหรือการจดจำใบหน้า
    4. ตำแหน่งที่ตั้ง - สถานที่ที่ผู้ใช้อยู่ขณะทำการยืนยันตัวตน - เพื่อตรวจสอบว่าผู้ใช้รายนั้นเป็นผู้ใช้บัตรจริง
    5. เวลา - ในขณะที่ทำการตรวจสอบสิทธิ์ - เป็นเวลาแปลกๆ หรือเกิดขึ้นหลายครั้ง?
  • การตรวจสอบสิทธิ์ด้วยปัจจัยการครอบครองหลายปัจจัย ตรวจสอบว่าบัญชีนั้นถูกเข้าถึงโดยผู้ถือบัตรโดยการใช้อุปกรณ์ส่วนบุคคลเพิ่มเติม เช่น นาฬิกาอัจฉริยะ สมาร์ทโฟนการตรวจสอบสิทธิ์แบบท้าทาย-ตอบสนอง^{[ 58 ]}
  • การตรวจสอบความถูกต้องนอกแบนด์^{[ 59 ]}ตรวจสอบว่าธุรกรรมนั้นดำเนินการโดยผู้ถือบัตรผ่านช่องทางการสื่อสารที่ "รู้จัก" หรือ "เชื่อถือได้" เช่น ข้อความ โทรศัพท์ หรืออุปกรณ์โทเค็นความปลอดภัย
• ความร่วมมือในอุตสาหกรรมและการแบ่งปันข้อมูลเกี่ยวกับผู้ฉ้อโกงที่รู้จักและเวกเตอร์ภัยคุกคามที่เกิดขึ้นใหม่^{[ 60 ] [ 61 ]}
• การควบคุมข้อมูลอัตโนมัติ:
  1. การใช้การควบคุมข้อมูลอัตโนมัติซึ่งใช้ในการตรวจจับเมื่อมีกิจกรรมหรือการใช้จ่ายที่ผิดปกติเกิดขึ้นกับบัตรเครดิต การควบคุมเหล่านี้สามารถใช้ได้แบบเรียลไทม์เพื่อตอบสนองต่อ "...สิ่งใดก็ตามที่น่าสงสัยที่พวกเขาพบ เพื่อหยุดการไหลของกิจกรรมฉ้อโกงโดยเร็วที่สุด..." (Johnston) ^{[ 62 ]}วิธีการหลักสามประการที่การควบคุมข้อมูลอัตโนมัติใช้ในการปกป้องข้อมูล ได้แก่:
     1. การตรวจสอบและยืนยันเพื่อให้แน่ใจว่าระบบควบคุมทำงานได้อย่างถูกต้อง
     2. ระบบตรวจสอบและแจ้งเตือนอย่างต่อเนื่อง ซึ่งจะแจ้งเตือนผู้ถือบัตร/ธนาคารเมื่อเกิดกิจกรรมที่ผิดปกติขึ้น
     3. การรายงานที่ช่วยให้มั่นใจได้ว่าองค์กรมีการควบคุมที่เหมาะสมเพื่อป้องกันการฉ้อโกง

• พื้นที่บริการตนเองภายในอาคารสำหรับลูกค้าเพื่อทำธุรกรรมโดยไม่คำนึงถึงสภาพอากาศ ประตูทางเข้า:
  • ระบุตัวตนผู้ถือบัตรทุกคนที่ได้รับอนุญาตให้เข้าถึงพื้นที่ที่กำหนด
  • เพิ่มความปลอดภัยให้แก่ลูกค้าในระหว่างขั้นตอนการบริการตนเอง
  • ปกป้องตู้เอทีเอ็มและทรัพย์สินของธนาคารจากการใช้งานโดยไม่ได้รับอนุญาต
  • พื้นที่ที่ได้รับการคุ้มครองยังสามารถตรวจสอบได้ด้วยระบบกล้องวงจรปิดของธนาคาร
  • บัตรใช้การระบุชิป (เช่น PASSCHIP ^{[ 63 ]} ) เพื่อลดโอกาสในการขโมยข้อมูลบัตร

• การออกกฎหมายคุ้มครองผู้บริโภค ที่เกี่ยวข้องกับการฉ้อโกงบัตรเครดิต
• ดำเนินการตรวจสอบและประเมินความเสี่ยงของผู้ออกบัตรเครดิตเป็นประจำ^{[ 64 ]}
• การเผยแพร่มาตรฐาน คำแนะนำ และแนวทางปฏิบัติสำหรับการปกป้องข้อมูลผู้ถือบัตรและการตรวจสอบกิจกรรมฉ้อโกง^{[ 65 ]}
• กฎระเบียบ เช่น กฎระเบียบที่นำมาใช้ในSEPA และ EU28 โดยข้อกำหนด 'SecuRe Pay' ^{[ 66 ]}ของธนาคารกลางยุโรป และ กฎหมายPayment Services Directive 2 ^{[ 67 ]}

• การแจ้งบัตรสูญหายหรือถูกขโมย
• ตรวจสอบค่าใช้จ่ายอย่างสม่ำเสมอและรายงานธุรกรรมที่ไม่ได้รับอนุญาตทันที
• ควรเก็บบัตรเครดิตไว้ในสายตาของผู้ถือบัตรตลอดเวลา เช่น ในร้านอาหารและรถแท็กซี่
• การติดตั้งโปรแกรมป้องกันไวรัสบนคอมพิวเตอร์ส่วนบุคคล
• ควรใช้ความระมัดระวังเมื่อใช้บัตรเครดิตในการซื้อสินค้าออนไลน์ โดยเฉพาะอย่างยิ่งในเว็บไซต์ที่ไม่น่าเชื่อถือ ตรวจสอบให้แน่ใจว่าเว็บไซต์นั้นมีชื่อเสียงที่ดี
• การเก็บรักษาบันทึกหมายเลขบัญชี วันหมดอายุ หมายเลขโทรศัพท์ และที่อยู่ของแต่ละบริษัทไว้ในที่ปลอดภัย^{[ 68 ]}
• ไม่ส่งข้อมูลบัตรเครดิตผ่านอีเมลที่ไม่เข้ารหัส
• ไม่เก็บหมายเลข PIN ที่เขียนไว้กับบัตรเครดิต
• ไม่ให้หมายเลขบัตรเครดิตและข้อมูลอื่นๆ ทางออนไลน์
• ลงทะเบียนเพื่อรับการแจ้งเตือนเมื่อมีการใช้บัตร
• โปรดระวังกลโกงหลอกลวง (phishing)