信用卡审批并不完全安全，因为其依赖的持卡人姓名、卡号和有效期等信息是静态且相对容易获取的。相比要求消费者、处理机构或商户管理机密的静态信息，专注于降低支付审批流程本身的脆弱性可能更为有效。
问题在于静态信息
美联储堪萨斯城分行的理查德·J·沙利文（Richard J. Sullivan）在2010年哈佛大学信息安全经济研讨会上指出：“银行卡支付安全的主要目标是确保只有经账户持有人授权的支付才能被允许。”然而，当前支付审批流程存在漏洞，使犯罪分子能够进行欺诈性支付。这些漏洞的根本原因在于审批流程高度依赖静态信息，而犯罪分子已开始有组织地收集并利用这些信息，特别是针对电子记录。
目前，银行卡行业依赖静态不变的信息来做出支付审批决定，包括验证卡号、持卡人身份及购买意图。审批-认证环节通常涉及安全码、PIN码、邮政编码或账单地址等附加信息。不幸的是，即使是不太聪明的窃贼也可能通过偷窃钱包获得所有相关信息。从这个意义上说，银行卡行业（PCI）实际上将电子支付的安全责任转嫁给了每位消费者：一旦丢失钱包，账户被盗用便被视为消费者的过错。
同样，若支付处理机构或商户网络遭入侵导致数千个卡号泄露，犯罪分子只需结合Facebook个人资料数据与卡号，即可绕过现代PCI安全措施。此外，根据开放安全基金会（Open Security Foundation）的数据，在处理机构或商户处丢失的约27%的银行卡数据是由于计算机被盗所致，相比之下，仅有16%是由于网络入侵所致。
在上述情况下，PCI安全标准委员会通常会追究处理方或商户对丢失易受攻击数据的责任，而非解决数据本身的脆弱性问题。
沙利文表示：“这些漏洞的共同根本原因是高度依赖信息的支付审批流程，且这种依赖正在加剧。”例如，在线支付审批允许自动检查更广泛的信息集（如邮政编码或交易历史）。更多信息虽能提高审批准确性，但也给发卡行和商户提供了持续扩大数据依赖的动力。与此同时，犯罪分子也有强烈动机收集相同信息进行欺诈。双方的激励措施导致了不断升级的资源投入循环，用于保护或破坏数据。
归根结底，这是一场罪犯必将获胜的竞赛。只要审批过程中使用的信息是静态且被存储的，它就有可能甚至必然会被攻破。
支付卡安全需要根本性变革
支付卡行业及其支持的商户需将注意力重新聚焦于降低审批流程的脆弱性，而非试图保护信用卡号本身。保护卡片信息不应是商户或消费者的责任，而应确保所使用的信息本身具备安全性。
理想情况下，支付卡号码应能公开披露，即使消费者将信用卡号张贴在广告牌上，窃贼也无法利用这些数据进行未经授权的交易。
不断变化的卡号
一种解决方案是使用不断变化的一次性卡号。部分银行已为在线购物提供此类服务，其理念是卡号仅在较短时间窗口内（如一小时）有效。即使卡号泄露，由于时间限制也很难被滥用。
结合Dynamics Inc.的动态卡技术与安全远程密码协议等技术，将动态卡号嵌入实体信用卡或借记卡中是非常可行的方案。这无需重大技术突破，且据估计投资相对较少，低于Sullivan所描述的静态信息军备竞赛成本。
动态密码或安全码
鉴于问题核心在于审批信息的静态性与易获取性，另一种方法是使用动态密码或安全码。这些代码会不断变化且有效期有限。
可通过算法在销售点同时向持卡人生成密码并进行比对。例如，密码可能在30秒后失效并需要更换新密码。
摒弃实体卡片
结合动态密码生成系统，利用移动设备或生物特征（如面部特征、语音或视网膜扫描等物理属性），完全从交易环节中移除实体卡片和信用卡号，也是一种合理的做法。
总结
本文旨在：(1) 说明只要审批流程依赖静态信息，支付卡就永远无法真正安全；(2) 强调需要从“信息安全”转向“安全的资讯”这一根本性的关注点转移；(3) 指出目前已有技术可以将动态信息引入支付审批流程。
值得注意的是，PCI安全标准委员会（PCI Security Standards Council）可能面临压力，迫使其彻底改变关注重点。因为当它只需迫使消费者或商户去保护信息时，几乎没有动力去承担使卡片本身安全的责任。
Sullivan表示：“PCI DSS设计进展缓慢且存在争议，表明该标准的制定过程存在片面性，偏向发卡行而非商户。”他指出，这是政策制定者所关切的问题，因为发卡行的片面做法削弱了最终的支付卡安全性。