無効なクレジットカード番号を受け入れることはセキュリティ上の問題ですか？
予約に無効なクレジットカード番号を受け入れるWebサイトをテストしています。興味深いのは、通貨がUSDの場合にCC検証を行うが、他の通貨では行わないことです。これをセキュリティ問題として報告する必要がありますか、それとも詐欺の管理下に置かれますか？
これをセキュリティ問題として報告する必要がありますか、それとも詐欺の管理下に置かれますか？
セキュリティの下で文書化できるビジネスリスクの問題があるかもしれませんが、それがどれほど重要かはビジネスに依存します。
あなたはウェブサイトを言う
予約にクレジットカード番号を受け付けます。
それらの予約は何のためですか？
ホテルの部屋の場合、チェックイン時に実際のカードが必要となるため、詐欺の可能性は限られています。攻撃者は、偽のカードで部屋を遮断することでサービスに影響を与え、正当な訪問者が予約できるプールを減らす可能性がありますが、スケーラビリティと持続可能性の問題に基づく軽微な懸念だと思います。
それが予約注文に基づいて株を購入しているゲームストアである場合、ストアは実際の資本を買い手なしで行き詰まる可能性がある株ゲームに拡張しています。この種のビジネスは、無効なカード予約によってさらに脅かされています。なぜなら、予約が示す予想売上高に実際のドルを支払っているからです。
「予約」がほとんど無意味である他のビジネスがあり、実際のコストなしで顧客によるエンゲージメントを促進する方法です。これらの場合、ビジネスへの影響はごくわずかです。
興味深いのは、通貨がUSDの場合にCC検証を行うが、他の通貨では行わないことです。
そして、それはビジネスリスクの受け入れを反映している可能性があります。予約の99％が米ドルである場合、米ドル以外の無効なカード予約を受け入れるリスクはごくわずかです。 USD以外の検証の実装に特定のコストがかかる場合（プロセッサからの料金？if-then-else分岐を処理するためのコーディング時間？）、1％のカバレッジで除外することは正当なオプションです。
別のプロセッサを介してクレジットカードを確認したり、カード所有者に電話したりするなど、リスクを軽減することに気付いていない他のコントロールやビジネスプロセスがある場合があります。
私が関わってきたすべてのテストで、興味深い結果をリストするレポートのセクションが常にありましたが、それは必ずしもセキュリティの問題ではありません。この調査結果がそのセクションに記載されていると思います。
なぜ無効なクレジットカードがセキュリティ上の問題または詐欺であると思いますか？ユーザーがカード番号を誤って入力する場合があることが予想されます。私はそれをやった。ほとんどの人がそれを行っています。
エントリー時にカードを検証しない場合、次の2つが失われます。
- 間違ったエントリをすぐに修正する機能
- セキュリティ/詐欺の問題かどうかを判断する機能
検証しないカードでの詐欺を心配するよりも、すべてのカードを検証するほうがよいでしょう。