Bezpieczeństwo kart bankowych – czyli fakty i mity na temat tego, co naprawdę nam grozi

Czy karty zbliżeniowe są bezpieczne? Czy można w ten sposób opróżnić nasze konta? Jak można się zabezpieczyć i ograniczyć zakres odpowiedzialności? – dzisiaj omawiam zagrożenia i obawy związane z korzystaniem z kart.

Strach ma wielkie oczy – to najlepsze podsumowanie moich przemyśleń na temat bezpieczeństwa kart płatniczych. I chociaż fraudy (oszukańcze transakcje) się zdarzają, to faktem jest, że stanowią one margines całkowitej liczby transakcji wykonywanych z użyciem kart (w Polsce zaledwie 0,003%). Media oczywiście chętnie nagłaśniają każdą sensacyjną informację dotyczącą realnego lub choćby ewentualnego zniknięcia naszych pieniędzy z konta, ale obiektywnie rzecz biorąc zagrożenia znajdują się w zupełnie innych miejscach niż te, które się nam pokazuje. Szczególnie jaskrawo widać to właśnie na przykładzie płatności zbliżeniowych, które często wskazuje się jako “najważniejszą dziurę w bezpieczeństwie” – chociaż wcale tak nie jest.

W tym materiale spróbuję pokazać Wam nieco inne spojrzenie na karcianą rzeczywistość. Przedstawię zagrożenia, ale od praktycznej strony. Nie będę omawiał technicznych możliwości dokonywania fraudowych transakcji, ale zastanowię się nad tym, jakie mogą być ich praktyczne konsekwencje dla nas. W praktyce bowiem, przy znajomości prawa, zachowaniu podstawowych zasad bezpieczeństwa oraz szybkiej reakcji, trzeba się naprawdę bardzo mocno postarać, aby stracić pieniądze. To, że teoretycznie jakaś forma ataku na Wasze karty jest możliwa, nie oznacza jeszcze, że stracicie chociażby złotówkę.

Dodam także, że akurat w przypadku transakcji zbliżeniowych, polskie prawo daje nam bardzo skuteczne metody obrony nawet w sytuacji, gdy bank próbuje nas obciążać kosztami cudzych transakcji. Jak się do tego przygotować? Zapraszam do lektury 🙂

Zobacz również jak korzystać z karty kredytowej

Dla uściślenia uwagi

Na początek warto ustalić co należy potraktować jako duży, a co jako mały problem związany z bezpieczeństwem kart bankowych. Tu oczywiście punkt widzenia zależy od tego kogo o to zapytamy.

W skali makro organizacje takie jak MasterCard dzielą fraudy – czyli nadużycia dotyczące kart – na dwie grupy: groźne i niegroźne.

Groźne to takie, w których organizacja obsługująca płatności ma styczność z masowym zagrożeniem, np. dla milionów kart. Takim zdarzeniem było np. włamanie hackerów do firmy Sony, gdzie weszli oni w posiadanie danych klientów korzystających z PlayStation Network. Za takie zdarzenie można byłoby uznać także złamanie zabezpieczeń Amazona lub systemów płatności takich jak Apple Pay. Serwisy te przechowują informacje o milionach ich klientów oraz posiadają wszystkie informacje o ich kartach niezbędne do realizacji transakcji. Co ciekawsze firmy takie stanowią dużo bardziej atrakcyjny “kąsek” dla potencjalnych włamywaczy niż systemy banków. I to właśnie one częściej stają się celem ataków. Ale z drugiej strony są one także najlepiej chronione a nad bezpieczeństwem ich systemów czuwają także organizacje płatnicze, organizowane są regularne audyty i testy bezpieczeństwa.

A jakie zdarzenia można zaliczyć do grona niegroźnych? Te o których najczęściej przeczytacie w mediach. 😉 Przykładowo: kradzież pieniędzy z konta po zeskanowaniu karty oraz podejrzeniu PIN-u, transakcje zbliżeniowe dokonane “w autobusie” (bardzo wdzięczny ostatnio temat nie mający wiele wspólnego z rzeczywistością), nieautoryzowane transakcje dokonywane przez Internet, np. po powrocie z zagranicznych wakacji. Krótko mówiąc wszystkie te zdarzenia, które mają charakter zdarzeń jednostkowych i cechują się małą skalą.

Oczywiście optyka zmienia się nam, gdy problem dotyczy naszej karty. Niemniej jednak od razu podkreślę, że mamy oręż, by w każdej takiej “niegroźnej” sytuacji skutecznie bronić się przed jej skutkami. Szczególnie w przypadku transakcji dokonywanych zbliżeniowo.

Sprawdź również jak spłacić kartę kredytową

Zbliżeniowy zawrót głowy

To właśnie “zbliżeniówki” wywołują obecnie największe emocje. Z kilku powodów:

1) Banki wydają karty zbliżeniowe bez względu na to czy chcemy korzystać z tej funkcjonalności czy nie. Nawet, jeśli posiadaliśmy kartę bez obsługi płatności zbliżeniowych (technologia MasterCard nazywa się PayPass, a w przypadku Visa jest to payWave), to istnieje duża szansa, że przy najbliższej wymianie karty na nową, bank prześle nam już kartę zbliżeniową.

2) Wyobrażamy sobie, że każdy może podejść do nas z tyłu z czytnikiem, np. w komunikacji miejskiej i obciążyć naszą kartę na maksymalną kwotę (aktualnie jest to limit 50 zł na pojedynczą transakcję) – poniżej opisuję dlaczego takie zdarzenie jest mało prawdopodobne.

3) Obawiamy się, że po ewentualnej kradzieży takiej karty, złodziej będzie mógł jej wielokrotnie używać bez podawania PIN-u – i chociaż może to być prawda, to nie oznacza to wcale, że będziemy musieli ponieść koszty takich operacji.

Naszego zaufania do zbliżeniówek na pewno nie zwiększa fakt, że praktycznie każdy kto posiada telefon z obsługą NFC może sobie sam przeczytać z karty (przy użyciu specjalnej aplikacji) historię ostatnich transakcji. Tak się składa, że jest to standardowa funkcjonalność tych kart. Po prostu trzeba mieć świadomość, że takie dane są na nich przechowywane – za chwilę wytłumaczę w jakim celu.

Warto przeanalizować zbliżeniówki w nieco szerszym kontekście – porównując je z innymi formami płatności (o tym pisałem już w pierwszym artykule cyklu) oraz ryzykami związanymi z ich zastosowaniem.

Zakres odpowiedzialności w przypadku kart bankowych

Niektórzy twierdzą, że bardziej bezpieczne od zbliżeniowego jest płacenie kartą z wykorzystaniem PIN-u – właśnie dlatego, że przy płatnościach zbliżeniowych kartą może posłużyć się każdy. Stawiając takie twierdzenie zapomina się jednak o prawnych konsekwencjach wykonania obu typów transakcji.

W przypadku transakcji wykonywanej zbliżeniowo obowiązek potwierdzenia tożsamości osoby wykonującej taką transakcję spoczywa na banku. W praktyce – jeśli w punkcie, w którym dokonywaliśmy płatności nie ma kamery i brakuje świadków – bank nie jest w stanie udowodnić, że to my dokonaliśmy płatności. Skutek? Mało kto go zna – w zasadzie możemy się wyprzeć dowolnej z takich transakcji i to bank będzie musiał wykazać, że to my posłużyliśmy się kartą lub… zwrócić nam pieniądze.

Sytuacja wygląda inaczej w przypadku transakcji potwierdzanych PIN-em. Zgodnie z ustawą o usługach płatniczych (UPP) z dnia 19 sierpnia 2011 r. (Dziennik Ustaw z 2011 r., Nr 199, poz. 1175 z późniejszymi zmianami) uznaje się, że wpisanie PIN-u jest wystarczającym dowodem na to, że to my dokonywaliśmy transakcji. To my zobowiązani jesteśmy pilnować swojego PIN-u i upewnić się, że nie wpadnie w niepowołane ręce. No i teraz tak z ręką na sercu powiedzcie – czy zawsze płacąc kartą wpisujecie swój PIN w taki sposób, aby nikt go nie mógł podejrzeć?

Zaryzykuję stwierdzenie, że płatności zbliżeniowe podnoszą nasze bezpieczeństwo – im rzadziej wpisujemy PIN, tym mniejsze szanse, że uda się go podejrzeć. A sam fakt zapłaty zbliżeniowej stawia nas w dużo dogodniejszej pozycji negocjacyjnej w stosunku do banku, niż w przypadku transakcji potwierdzonej PIN-em.

Płatności zbliżeniowe – w porównaniu z tradycyjnymi – mają jeszcze jedną zaletę: karta praktycznie nie opuszcza naszych rąk. Nie wkładamy jej także do żadnych urządzeń, które mogłyby, np. skanować jej pasek magnetyczny. Nie podajemy jej także osobie trzeciej i nie opuszcza ona naszego pola widzenia.

Słyszałem, że w niektórych bankach obowiązuje uproszczona procedura reklamacyjna w przypadku transakcji zbliżeniowych. Podobno BZ WBK i Millennium honorują pierwszą reklamację dotyczącą płatności zbliżeniowej do 50 zł od ręki – bez stawiania dodatkowych wymogów i jej dalszego rozpatrywania. Bankom po prostu nie opłaca się wszczynać złożonej procedury (przypominam, że to bank musi udowodnić wykonanie przez nas transakcji) dla tak małych kwot, które mają charakter jednorazowy. Oczywiście jeśli u tego samego klienta sytuacja się powtarza, to bank na pewno uważniej się temu przyjrzy.

Czy musimy odpowiadać za cudze transakcje?

Jeśli ktoś nam ukradnie kartę, a my się nie zorientujemy odpowiednio szybko i złodziej dokona transakcji przed momentem zastrzeżenia przez nas karty, to w przypadku braku dodatkowego ubezpieczenia, bank może nas obciążyć równowartością maksymalnie 150 EUR, czyli ok. 600 zł. Oczywiście od momentu zastrzeżenia karty nie grożą nam już żadne konsekwencje finansowe.

Podany wyżej limit dotyczy transakcji dokonanych, np. w Internecie. Inaczej jest jednak w przypadku transakcji zbliżeniowych. Tu obowiązuje już rekomendacja Rady ds. Systemu Płatniczego działającej przy NBP z dnia 30 września 2013 r.. Wprowadziła ona kilka nowości bardzo korzystnych dla klientów banków.

Przede wszystkich górna kwota naszej odpowiedzialności dla transakcji zbliżeniowych ograniczona jest do 50 EUR, czyli ok. 200 zł. Jeśli jednak trochę się postaramy, to w ogóle nie musimy odpowiadać za takie nielegalnie dokonane transakcje.

Dodatkowo – zgodnie z tą rekomendacją – mamy prawo żądać od banku zablokowania możliwości zbliżeniowego płacenia kartą. Bank ma obowiązek nasze życzenie spełnić… ale mało który bank jest do tego technicznie przygotowany – większość odpowiada, że wyłączenie tej funkcji jest niemożliwe. Jeśli jednak się tego domagaliśmy, a bank nie zrealizował naszej dyspozycji, to ma to swój skutek prawny – od tego momentu bank ponosi pełną odpowiedzialność za wszystkie “nie nasze” płatności zbliżeniowe kartą. Nawet, jeśli po jej kradzieży spóźnimy się z jej zastrzeżeniem, to nasza odpowiedzialność – w przypadku transakcji zbliżeniowych – wyniesie 0 zł.

A jak zabezpieczyć się przed odpowiedzialnością za transakcje dokonane skradzioną kartą w Internecie (przed zastrzeżeniem karty)? Formalnie się nie da, ale można złodziejowi utrudnić “pracę” zdrapując z karty kodu CVC/CVV (3-cyfrowy kod znajdującego się na odwrocie kart MasterCard i Visa). Większość sklepów internetowych wymaga podania tego kodu przy dokonywaniu zakupów. A z kolei w przypadku tych, które tego nie wymagają, w 100% można się wybronić po znalezieniu takiej transakcji na wyciągu. Tu zacytuję też jeden z wniosków z analizy KNF:

Wiemy już co robić, by zminimalizować skutki kradzieży karty. Teraz przedstawię różne operacje, których dokonujemy kartami oraz “dobre praktyki” w zakresie minimalizacji zagrożeń.

Scenariusz 1: Bankomat

Zagrożenia:

• Zeskanowanie karty.
• Podejrzenie PIN-u.
• Fizyczna kradzież karty przy bankomacie.
• Fizyczna kradzież gotówki po jej wyjęciu.

Dobre praktyki:

• Sprawdzić, czy na bankomacie nie ma żadnych nakładek – złodzieje potrafią zamontować dodatkową mikrokamerę nad bankomatem, dodatkowy skaner do paska i nakładkę na klawiaturę. Jeśli mamy jakiekolwiek wątpliwości co do legalności poszczególnych elementów bankomatu – to nie powinniśmy z niego korzystać. Kilka przykładów na filmie poniżej.
• Wybierać bankomaty w miejscach wyposażonych w monitoring, np. kamery bankowe.
• Wybierać bankomaty w miejscach zamkniętych – np. przedsionki placówek bankowych.
• Zasłaniać dłoń przy wpisywaniu PIN-u – nawet jeśli na bankomacie jest kamera, to proste zasłonięcie może utrudnić “pracę” złodziejom.
• Korzystać z bankomatu w czyimś towarzystwie – jeśli jest z nami ktoś znajomy, to taka “grupa” jest mniej narażona na atak niż pojedyncza osoba. Poza tym to zawsze dodatkowy świadek.
• Przerywać transakcję, jeśli w trakcie niej poczujemy się zagrożeni.

 

Scenariusz 2: Transakcja w sklepie z PINem

Zagrożenia:

• Zeskanowanie karty przez obsługę sklepu lub restauracji.
• Podejrzenie PIN-u.
• Fizyczna kradzież karty.

Dobre praktyki:

• Nie spuszczać karty z oka – nigdy!
• Jeśli jest to terminal czytujący dane z mikrochipa na karcie – to sami wkładajmy i wyciągajmy z niego kartę.
• Zwracać uwagę, czy sprzedawca przeciąga kartę jednokrotnie i czy na pewno przez terminal.
• Zasłaniać dłoń przy wpisywaniu PIN-u.
• Ostrożność wskazana przede wszystkim za granicą – przykładowo krążą historie, że na południu Włoch mafia wyposażała sklepy i restauracje we własne, odpowiednio spreparowane terminale.

Zobacz także jak płacić kartą za granicą

Scenariusz 3: Używanie karty zbliżeniowej

W tym przypadku warto od razu zaznaczyć, że skala zagrożeń jest wyolbrzymiona. Chociaż technicznie możliwe jest obciążenie karty bez naszej wiedzy, to w praktyce wymaga to nie lada wysiłku, co powoduje, że w rzeczywistości trudno spotkać się z tego typu przestępstwami. Po szczegóły odsyłam do analizy KNF.

Zagrożenia:

• Szansa przypadkowej zapłaty bez naszej świadomości – w praktyce mit. Demonizuje się następujący przykład: ktoś z terminalem do kart mógłby się przejść po autobusie i próbować obciążyć karty pasażerów. Jest to trudne do zrealizowania. Nawet gdyby technicznie się udało, to taki feralny merchant, czyli sklep będący użytkownikiem terminala służącego do “przekrętów”, szybko zostałby wyłączony z systemu płatniczego a sam merchant pociągnięty do odpowiedzialności.
• Możliwość wykonania transakcji zbliżeniowych offline i bez PIN-u – np. po kradzieży karty. To całkiem realne zagrożenie, przy czym to nie złodziej decyduje czy transakcja zbliżeniowa zostanie wykonana w trybie online czy offline (no chyba, że założymy, że ma także dostęp do terminala, ale w takim przypadku na jednym terminalu wielu takich transakcji nie obsłuży). Różnice między online i offline opisuję w dalszej części artykułu.
• Możliwość zbliżeniowego odczytania z chipa karty danych karty (ale bez kodu CVC) oraz historii ostatnio wykonanych transakcji offline – dla jasności: samo odczytanie tych transakcji nie przybliża jeszcze złodzieja / hackera do wykonania transakcji.

Dobre praktyki:

• Nosić w portfelu dwie karty zbliżeniowe zetknięte ze sobą – to stanowi stuprocentowe zabezpieczenie przed ewentualnym obciążeniem karty. Takie karty skutecznie zakłócają swoje radio 🙂 Jeśli zastanawiacie się czy kupić specjalne etui na kartę tłumiące jej sygnał radiowy, to zdecydowanie taniej będzie po prostu trzymać w portfelu dwie karty tuż obok siebie.
• Zbliżać kartę do terminala płatniczego wyłącznie po zobaczeniu ile mamy zapłacić 🙂

Dla jasności: zasięg radiowy karty wynosi ok. 5 cm. Nie da się jej przeczytać / aktywować z większej odległości.

Scenariusz 4: Płatność w Internecie

Zagrożenia:

• Dane karty zostaną “podsłuchane” przez Internet – pomiędzy stroną sklepu a nami.
• Dane karty zostaną wykorzystane przez sklep internetowy w innym celu niż obsługa transakcji.
• Dane karty zostaną wykradzione ze sklepu.
• Zapłacimy, a towar do nas nie dotrze – tu przyda się znajomość procedury chargeback, którą już szczegółowo opisywałem.

Dobre praktyki:

• Strona sklepu powinna obsługiwać szyfrowanie SSL.
• Warto sprawdzać poprawność certyfikatu SSL sklepu internetowego – czy na pewno wydany jest dla tej strony, która go używa. Mówiąc w dużym uproszczeniu “kłódka” w pasku przeglądarki internetowej powinna być zielona 🙂
• Sprawdzać czy podajemy dane karty sklepowi, czy firmie pośredniczącej w obsłudze płatności (acquirer) – w Polsce mamy często do czynienia z tym drugim scenariuszem. Sklep wcale nie musi znać i przechowywać danych naszej karty a zapłata odbywa się, np. przez wyspecjalizowane serwisy takie jak eCard, Polcard, PayU, Transferuj.pl itp.
• Nie zapisywać danych karty kredytowej w sklepie internetowym – jeśli mamy wybór czy zapisywać dane karty (by ułatwić sobie kolejne zakupy) czy nie, to z perspektywy bezpieczeństwa lepiej wybrać tę drugą opcję. Oczywiście jeśli często robimy zakupy w jakimś sklepie, np. Amazon, to
• Korzystać z tzw. eWalletów, czyli elektronicznych portfeli – takim portfelem jest np. MasterPass. Dokonując transakcji za jego pośrednictwem na żadnym etapie transakcji nie przekazujemy sprzedawcy danych karty.

Inne generalne zasady dotyczące bezpieczeństwa

Jakie jeszcze dobre praktyki możemy stosować, aby zminimalizować ryzyko wykorzystania naszej karty w niecnych celach? Wiele z nich wymieniałem już w pierwszym artykule cyklu “Savoir-vivre kart bankowych”, ale tego nigdy za wiele:

• PIN do karty i kod CVC/CVV musimy chronić jak oka w głowie – to one właśnie służą do potwierdzania, że to my wykonaliśmy transakcję. Praktycznie w każdym przypadku, w którym PIN i CVC/CVV nie zostały użyte, da się “wymigać”.
• Pod żadnym pozorem PINu nie wolno przechowywać razem z kartą, np. zapisanego na karcie albo w portfelu. Jeśli już – ukryjcie go w ciągu jakichś przypadkowych liczb w notesie itp.
• Wszystkie karty powinniśmy trzymać przy sobie – gdziekolwiek byśmy ich nie zabrali.
• Warto systematycznie sprawdzać wyciągi z kont bankowych i kart – jeśli spisujemy wydatki, to szybko wyłowimy te transakcje, których sami nie dokonywaliśmy.

No i ostatnią regułą byłoby zastąpienie jak największej ilości transakcji autoryzowanych PIN-em – transakcjami zbliżeniowymi. Chyba udało mi się już Was przekonać, że ma to sens.

Co to są transakcje “offline”?

No to jeszcze kilka słów o tym, w jaki sposób złodziej może “nabić” transakcje na naszej karcie, nawet po jej zastrzeżeniu.

Generalnie transakcje kartą mogą być wykonywane w jednym z dwóch trybów:

• Online – wtedy, gdy terminal przyjmujący płatność nawiązuje połączenie z bankiem (telefoniczne lub przez Internet) w celu autoryzacji naszej karty i dokonania płatności.
• Offline – wtedy, gdy transakcja przyjmowana jest bez nawiązywania połączenia z bankiem. W takim przypadku informacja o tej transakcji zostanie przesłana później. Dostępność tego trybu ma znaczenie tam, gdzie z różnych powodów nie można zrealizować transakcji online.

Tu kilka informacji doprecyzowujących:

• Płatności w trybie offline wykonywane mogą być zarówno zbliżeniowo, jak i poprzez włożenie karty do terminala (z użyciem PIN-u).
• To bank wydający kartę decyduje, czy umożliwiać ona będzie wykonywanie transakcji offline – bez połączenia z systemem banku.

Możliwość wykonywania transakcji w trybie offline, to ułatwienie dla klienta, ale utrudnienie dla banku. O ile bowiem w przypadku karty kredytowej wykonanie iluś transakcji offline nie niesie ze sobą poważniejszych skutków dla banku (klient po prostu zwiększa swoje zadłużenie na karcie włącznie z możliwością przekroczenia limitu kredytowego – za co bank obciąży go dodatkowymi opłatami), o tyle w przypadku kart debetowych może się okazać, że klientowi uda się w trybie offline wykonać więcej transakcji, niż ma środków na koncie, np. gdy stan jego ROR oscyluje w okolicach 0 zł. Jeśli klient taki nie ma możliwości debetowania konta, to dla banku takie wejście w ewentualny debet oznacza problem – bo w gruncie rzeczy nie ma on relacji kredytowej z klientem. Dlatego zdarza się, że karty debetowe nie dają możliwości wykonywania płatności offline, ale kredytowe – już tak. Niemniej jednak reguły nie ma i warto to samodzielnie sprawdzić w swoim banku (informacyjnie: z tego co udało mi się dowiedzieć, to mniej więcej połowa kart debetowych w Polsce może wykonywać transakcje w trybie offline).

Co się dzieje w przypadku, gdy karta zostanie przez nas zablokowana a złodziej spróbuje się nią posłużyć? W przypadku komunikacji online wygląda to tak:

• Złodziej próbuje zapłacić skradzioną kartą.
• Terminal płatniczy łączy się z bankiem i otrzymuje informację o tym, że karta jest zablokowana.
• Terminal przesyła taką informację do chipa w karcie (o ile jest to karta z chipem) i nie da się jej już użyć w innym miejscu – nawet gdyby działał tam tylko tryb offline.

A jak to wygląda w przypadku transakcji offline?

• Złodziej próbuje zapłacić skradzioną kartą.
• Terminal pracujący w trybie offline próbuje obciążyć kartę na konkretną kwotę, np. 50 zł.
• Chip w karcie sprawdza, czy transakcja taka mieści się w limicie transakcji offline zapisanym w chipie (o limitach piszę niżej) i jeśli tak, to akceptuje taką transakcję zapisując ją jednocześnie w historii transakcji offline na samej karcie.
• Złodziej odbiera towar, za który zapłacił skradzioną kartą.

Ile takich transakcji w trybie offline może wykonać? To zależy od limitów ustawionych na karcie. Limitami tymi zarządza bank wydający kartę i co więcej – może je dynamicznie zmieniać przy każdej transakcji dokonywanej w trybie online.

Standardowo dla transakcji krajowych jest to limit kwotowy – zazwyczaj wynosi on od 200 zł do 500 zł. W przypadku transakcji zagranicznych – ze względu na to, że karta nie umie sama z siebie przeliczać kursów walut – obowiązuje limit liczby transakcji w trybie offline.

Tu warto wiedzieć, że dla danej karty obowiązuje jeden limit kwotowy i ilościowy. Nie ma więc znaczenia czy transakcji offline dokonujemy zbliżeniowo, czy poprzez włożenie karty do terminala. Oczywiście w tym drugim przypadku dodatkowym zabezpieczeniem jest PIN.

Tutaj od razu możecie się zastanawiać, czy banki pozwalają nam samodzielnie określić wysokość limitów offline lub np. wyłączyć możliwość regulowania płatności offline. Niestety ja nie spotkałem się z taką możliwością. Jeśli ktoś z Was wie, że w którymś z banków jest to możliwe, to proszę o informację w komentarzu.

Inne sposoby zwiększania bezpieczeństwa

Banki oraz organizacje płatnicze wprowadzają także dodatkowe zabezpieczenia transakcji dokonywanych w Internecie, np. 3D Secure (oznaczany także nazwami “MasterCard SecureCode” oraz “Verified by Visa”).

3D Secure to rozwiązanie, w którym – po wprowadzeniu danych karty bankowej – przekierowywani jesteśmy na stronę banku w celu podania dodatkowego kodu zabezpieczającego. Zazwyczaj jest on przesyłany na nasz telefon komórkowy jako SMS.

Chociaż w swoim zamyśle jest to dobre rozwiązanie, to jednak jego zasięg jest ograniczony. Dostępne jest ono tylko w niektórych bankach i do tego tylko niektóre sklepy internetowe wymuszają obsługę transakcji w trybie 3D Secure. W praktyce, jeśli złodziej ukradnie nam kartę, to bez trudności znajdzie e-sklep, który nie wymusza autoryzacji poprzez SMS-y. Być może rozwiązanie to miałoby sens, gdyby było stosowane we wszystkich sklepach internetowych. Tak jednak nie jest.

W praktyce więc technologia, która miała zwiększać bezpieczeństwo w żaden sposób go nie gwarantuje i jednocześnie komplikuje proces zakupu internetowego prawowitym użytkownikom kart. Zdarza się, że przekierowanie na stronę banku nie działa (miałem ten problem czasami w BZ WBK). Zdarzały mi się także problemy z dostarczaniem SMS-ów autoryzacyjnych, co uniemożliwiało dokonanie płatności wybraną metodą. Szczerze mówiąc nie wróżę przyszłości temu rozwiązaniu…

Banki eksperymentują także z dodatkowymi zabezpieczeniami samych kart. Karty z przyciskami pozwalającymi wpisać kod odblokowujący kartę lub z czytnikami linii papilarnych itp. Te ostatnie traktowane są jako ciekawostka. Raczej nie ma szansy na ich upowszechnienie – przede wszystkim ze względu na wysoki koszt samych takich kart. O ile zwykła karta obsługująca technologię PayPass kosztuje bank ok. 1,3–1,4 EUR, to karta z klawiaturką umożliwiającą wprowadzenie kodu lub wyświetlaczem podającym saldo kosztuje już 6–10 EUR. W przypadku, gdy bank wymienia setki tysięcy kart swoim klientom, to trudno może być znaleźć uzasadnienie dla takiego zakupu. 😉

Płatność kartą bez karty

Kolejnym etapem rozwoju systemów płatności kartami jest tzw. eWallet – czyli elektroniczne portfele, które pozwalają ukryć w nich dane wszystkich posiadany kart bankowych i regulować płatności bez podawania danych karty. Rozwiązaniem takim jest np. MasterPass, któremu poświęcę oddzielny artykuł. Funkcję takich wirtualnych portfeli pełnią np. rozwiązania uPaid i SkyCash, które pozwalają dokonywać transakcji mobilnych (z telefonów) bez konieczności wyciągania karty z portfela.

Jeszcze innym rozwiązaniem, w którym w ogóle nie musi być tradycyjnej, fizycznej karty, są płatności z wykorzystaniem telefonów komórkowych obsługujących NFC – to ta sama technologia, w której komunikują się karty zbliżeniowe. Tutaj najszerszą ofertę ma operator T-Mobile, który oferuje aplikację MyWallet pozwalającą “wcisnąć” na specjalną kartę SIM (tzw. uSIM lub SIM NFC) karty bankowe Eurobanku, mBanku, Getin Bank, Noble Bank, Raiffeisen Polbank, Alior Banku, BPH oraz oczywiście T-Mobile Usługi Bankowe. Z kolei w Orange dostępne jest rozwiązanie OrangeCash oferowane we współpracy z mBank oraz BPH.

I nawet jeśli myślicie, że jest to niszowe rozwiązanie, to według informacji MasterCard adoptowane jest ono dużo szybciej niż to miało miejsce w przypadku technologii zbliżeniowe PayPass.

Kluczową przeszkodą w rozwoju tego sposobu płacenia jest siła naszych nawyków i przyzwyczajenie do tradycyjnych, fizycznych kart. Nie da się również ukryć, że konfiguracja eWalletu jest trudniejsza niż posługiwanie się zwykłą kartą.

Podsumowanie

Wypakowałem ten wpis konkretami, ale chciałbym żebyście zapamiętali przede wszystkim jeden wniosek – najsłabszym ogniwem w całym systemie płatności z wykorzystaniem kart jesteśmy my sami. Często ułatwiamy pracę złodziejom nie kryjąc się z wpisywanym na terminalach lub przy bankomacie kodem PIN, spuszczając naszą kartę z pola widzenia lub wręcz – przechowując PIN-y razem z kartami w naszych portfelach.

Ja miałem w swoim życiu tylko jeden przypadek kradzieży karty – w wyjątkowo bezczelny sposób. Zdarzyło się to we francuskim hipermarkecie. Podałem kartę kasjerce… i już jej nie otrzymałem. Ona twierdziła, że mi ją oddała. Przeszukaliśmy kasę – karty tam oczywiście nie było. W międzyczasie podana została innej osobie, która opuściła sklep. Szybkie zastrzeżenie telefoniczne i zero konsekwencji, ale kosztowało to nieco nerwów. Na taki przypadek bezczelnej kradzieży trudno cokolwiek poradzić poza wzmożoną czujnością.

I w tym sensie możliwość zbliżeniowego płacenia uważam za świetne rozwiązanie, które eliminuje większość zagrożeń. A wszystkie opowieści o konsekwencjach rzekomej łatwości nabicia cudzych transakcji na zbliżeniówkach – możecie włożyć między bajki. Nawet jeśli technicznie jest to możliwe, to aktualne prawo oraz rekomendacja NBP dają nam jako klientom świetną podstawę do reklamowania wszelkich nieautoryzowanych transakcji. Ale jak wynika z analiz KNF prawdziwych nadużyć jest co kot napłakał… i oby tak pozostało. 🙂

Moja serdeczna prośba – jeśli ten materiał uzupełnił Waszą wiedzę i uważacie, że może przydać się także Waszym znajomym, to podzielcie się nim na Facebooku, Twitterze, e-mailem czy w dowolny inny sposób. Moim celem jest zwiększanie świadomości finansowej, ale sam nie jestem w stanie dotrzeć do wszystkich zainteresowanych. Wasza pomoc jest nieoceniona. A akurat w przypadku tego artykułu wiem, że zawarta tu wiedza przydać się może zdecydowanej większości rodaków.

Miłego dnia!

Zdjęcie na początku: Fotolia.