Module 1 → Lesson 4 → Part 7 of 8
Безопасность банковской карты
Lesson contents
What you'll learn
Введение
Банковская карта делает оплату очень простой.
Достаточно:
- приложить карту к терминалу;
- вставить ее в устройство;
- подтвердить покупку в приложении;
- или использовать смартфон.
Но за этой простотой скрывается сложная система защиты.
Во время платежа необходимо решить сразу несколько задач.
Банк должен убедиться, что:
- используется настоящая карта или разрешенное платежное устройство;
- операцию совершает владелец карты или уполномоченный пользователь;
- передаваемые данные не были незаметно изменены;
- один и тот же платеж нельзя бесконтрольно повторять;
- подозрительные операции можно обнаружить и остановить.
Для этого используется не один механизм защиты, а сразу несколько.
Если один из них не сработал, следующий может остановить мошенническую операцию.
Именно поэтому безопасность банковской карты следует воспринимать не как один пароль или один PIN-код, а как несколько уровней защиты, работающих одновременно.
Какие данные есть у банковской карты
Начнем с самой карты.
На физической банковской карте могут находиться:
- имя владельца;
- номер карты;
- срок действия;
- защитный код;
- микрочип;
- магнитная полоса;
- знак поддержки бесконтактной оплаты;
- название или логотип банка;
- логотип платежной системы.
При этом не все эти данные имеют одинаковое назначение.
Некоторые нужны для идентификации карты.
Другие используются для подтверждения отдельных видов операций.
Третьи являются частью технической инфраструктуры платежа.
Поэтому важно понимать, какие данные можно показывать другим людям, а какие необходимо защищать.
Номер банковской карты
На большинстве карт присутствует длинный номер.
Обычно именно его пользователь вводит при оплате в интернет-магазине.
Важно понимать: номер карты — это не номер банковского счета.
Банковский счет и банковская карта — связанные, но разные сущности.
К одному счету могут быть привязаны несколько карт.
Например:
- физическая карта;
- виртуальная карта;
- дополнительная карта;
- карта другого владельца, если это разрешено банком.
Сам по себе номер карты обычно недостаточен для выполнения всех видов операций.
Для разных сценариев используются дополнительные способы проверки.
Срок действия карты
На карте также указывается срок действия.
Например: 08/29.
Это означает, что карта действует до определенного месяца и года в соответствии с правилами банка.
Срок действия используется:
- для управления жизненным циклом карты;
- как один из параметров интернет-платежа;
- для своевременной замены карты.
После окончания срока действия банк обычно выпускает новую карту или предлагает пользователю ее заменить.
Защитный код карты
На физической карте может находиться отдельный короткий код безопасности.
В зависимости от платежной системы он может называться по-разному.
Часто используются обозначения:
- CVV;
- CVC;
- CID.
Для простоты далее будем называть его защитным кодом карты.
Например, такой код может запрашиваться интернет-магазином.
Его не следует путать с PIN-кодом. Это разные данные с разным назначением.
Защитный код и PIN-код — не одно и то же
Это очень важное различие.
Защитный код карты может использоваться при некоторых интернет-платежах.
PIN-код используется для подтверждения определенных операций с картой, например при оплате через терминал или снятии наличных.
| Защитный код карты | PIN-код |
|---|---|
| Может использоваться при некоторых интернет-платежах | Используется для подтверждения операций с картой — например, при оплате через терминал или снятии наличных |
PIN-код не должен сообщаться:
- продавцу;
- сотруднику магазина;
- другому человеку;
- человеку, представившемуся сотрудником банка.
Настоящий сотрудник банка не должен просить клиента назвать PIN-код карты для «проверки личности» или «отмены операции».
Что такое PIN-код
PIN-код является одним из факторов аутентификации.
Он помогает подтвердить, что человек, использующий карту, знает секрет, который должен быть известен только законному пользователю.
Однако PIN-код не является единственной защитой карты.
Даже если злоумышленник каким-либо образом узнал PIN-код, банковская система продолжает использовать другие механизмы контроля:
- состояние карты;
- лимиты;
- характеристики операции;
- антифрод-анализ;
- правила платежной системы;
- дополнительные механизмы аутентификации.
Почему PIN-код нельзя хранить вместе с картой
Представим ситуацию.
Человек хранит банковскую карту в кошельке.
На бумажке рядом записан PIN-код.
Если кошелек будет потерян или украден, посторонний человек одновременно получает:
- физическую карту;
- PIN-код.
Таким образом один из важнейших защитных барьеров практически исчезает.
Поэтому PIN-код не следует хранить вместе с картой.
Еще хуже писать PIN-код непосредственно на карте.
Что делает микрочип
Современные банковские карты обычно оснащены микрочипом.
На первый взгляд это небольшой металлический элемент на поверхности карты.
На самом деле он является важной частью системы безопасности.
При операции микрочип участвует в формировании данных, которые помогают платежной инфраструктуре проверить подлинность операции.
То есть современная карта не просто передает терминалу один и тот же неизменный набор данных при каждой покупке.
В процессе операции создаются дополнительные криптографические данные.
Это существенно усложняет простое копирование карты.
Почему чип безопаснее простой магнитной полосы
Магнитная полоса хранит данные значительно более статичным способом.
Если такие данные удалось скопировать, злоумышленник потенциально может попытаться использовать их повторно там, где подобные операции разрешены.
Микрочип работает иначе.
При каждой операции формируются дополнительные данные, связанные с конкретным платежем.
Поэтому простого копирования информации становится недостаточно для полноценного воспроизведения работы настоящей карты.
Именно поэтому переход от магнитных полос к микрочипам стал важным этапом развития безопасности банковских карт.
Что такое EMV
Технологии работы современных банковских карт и терминалов во многом основаны на стандартах EMV.
Для обычного пользователя важен следующий принцип: EMV позволяет карте и терминалу выполнять более сложную проверку операции, чем простое чтение статических данных.
Что происходит при бесконтактной оплате
Когда пользователь прикладывает карту к терминалу, между ними начинается беспроводной обмен на очень небольшом расстоянии.
Для этого используется технология NFC.
Бесконтактная оплата не означает, что терминал просто «видит номер карты в воздухе» и автоматически списывает деньги.
Происходит полноценный платежный процесс.
В нем по-прежнему участвуют:
- карта;
- терминал;
- банк-эквайер;
- платежная система;
- банк-эмитент.
Банк по-прежнему решает, разрешать операцию или нет.
Можно ли случайно оплатить покупку чужим терминалом на расстоянии
Бесконтактная технология рассчитана на работу на очень небольшом расстоянии.
Обычно карту или устройство необходимо поднести непосредственно к области считывания терминала.
Кроме того, одного факта радиосвязи недостаточно для бесконтрольного списания произвольной суммы.
Платеж должен быть сформирован и обработан через платежную инфраструктуру.
Банк при этом применяет обычные механизмы контроля операции.
Поэтому представление о том, что деньги можно незаметно «снять с карты через всю комнату», не соответствует тому, как работает обычная бесконтактная оплата.
Почему при бесконтактной оплате иногда запрашивается PIN-код
Пользователь может много раз оплачивать небольшие покупки простым прикладыванием карты.
Но однажды терминал неожиданно требует PIN-код.
Это нормально.
Дополнительное подтверждение может потребоваться:
- при определенной сумме;
- после серии бесконтактных операций;
- в соответствии с правилами банка;
- при повышенной оценке риска;
- для периодической проверки пользователя.
Таким образом отсутствие запроса PIN-кода при каждой покупке не означает отсутствие контроля.
Что происходит при оплате смартфоном
Сегодня вместо физической карты часто используется смартфон или смарт-часы.
Пользователь может добавить карту в платежное приложение и оплачивать покупки устройством.
На первый взгляд кажется, что смартфон просто превращается в копию банковской карты.
Но современные мобильные платежи могут использовать дополнительный механизм — токенизацию.
Что такое токенизация
Проще говоря, устройство не обязательно должно передавать продавцу настоящий номер физической карты.
Вместо него может использоваться другой платежный идентификатор.
Это снижает необходимость передавать исходные карточные реквизиты во время каждой операции.
Зачем нужна токенизация
Представим два подхода.
Первый: при каждой покупке устройство передает один и тот же основной карточный идентификатор.
Второй: для мобильного платежного устройства используется специальный токен.
Во втором случае компрометация данных конкретного платежного сценария не обязательно раскрывает исходные реквизиты физической карты.
Таким образом токенизация уменьшает ценность перехваченных данных для злоумышленника.
Почему оплата смартфоном может быть безопаснее передачи реквизитов карты
При использовании современных мобильных платежных решений одновременно могут применяться:
- токенизация;
- биометрия;
- код разблокировки устройства;
- аппаратные средства защиты телефона;
- криптографические механизмы;
- антифрод-системы банка.
Поэтому смартфон не следует рассматривать просто как изображение банковской карты на экране.
Это отдельное платежное устройство со своими механизмами безопасности.
Отпечаток пальца и распознавание лица
Для подтверждения мобильного платежа смартфон может использовать биометрическую аутентификацию.
Например:
- отпечаток пальца;
- распознавание лица.
В контексте мобильного платежа биометрия помогает устройству определить, имеет ли пользователь право подтвердить операцию.
При этом конкретная реализация зависит от устройства и платежной платформы.
Что происходит при покупке в Интернете
Интернет-платеж отличается от покупки в обычном магазине.
Физическая карта может вообще не взаимодействовать с терминалом.
Пользователь вводит платежные данные на сайте или использует ранее сохраненную карту.
Такой сценарий называют операцией без физического предъявления карты.
При этом возникает дополнительная проблема.
Как банку понять, что данные карты действительно вводит ее владелец?
Для этого используются дополнительные механизмы аутентификации.
Почему одного номера карты недостаточно
Интернет-магазин может запросить:
- номер карты;
- срок действия;
- защитный код.
Но современные системы безопасности не обязательно ограничиваются этими данными.
Банк может дополнительно запросить подтверждение. Например:
- в банковском приложении;
- с помощью одноразового кода;
- с использованием биометрии;
- другим доступным способом.
Таким образом знание карточных реквизитов не всегда означает возможность беспрепятственно совершить покупку.
Что такое 3-D Secure
При интернет-покупках пользователь может столкнуться с дополнительным подтверждением операции.
Одной из технологий, применяемых для этого, является 3-D Secure.
Пользователь может увидеть:
- уведомление в банковском приложении;
- экран подтверждения;
- запрос дополнительной аутентификации.
Конкретный сценарий зависит от банка, платежной системы, магазина и параметров операции.
Почему подтверждение появляется не при каждой интернет-покупке
Это важный вопрос.
Некоторые интернет-покупки требуют дополнительного подтверждения.
Другие проходят без отдельного действия пользователя.
Это не обязательно означает, что во втором случае защита отсутствует.
Современные платежные системы и банки могут оценивать риск операции автоматически.
Учитываются различные параметры. Например:
- сумма;
- устройство;
- продавец;
- предыдущая история;
- особенности платежа;
- другие признаки риска.
В зависимости от результата банк может потребовать дополнительное подтверждение или разрешить операцию без дополнительного действия пользователя.
Что такое одноразовый код
Иногда банк отправляет пользователю код для подтверждения операции.
Ключевое слово здесь — одноразовый.
Такой код нельзя воспринимать как обычный пароль, который можно сообщить другому человеку.
Если код предназначен для подтверждения платежа, человек, получивший этот код, потенциально получает возможность подтвердить соответствующую операцию.
Почему нельзя сообщать коды подтверждения
Одна из наиболее распространенных схем мошенничества основана не на взломе банковской системы, а на убеждении самого пользователя добровольно сообщить код.
Например, злоумышленник может сказать:
«Я сотрудник службы безопасности. Назовите код, чтобы отменить подозрительную операцию.»
Но код может на самом деле подтверждать именно ту операцию, которую злоумышленник пытается совершить.
Пользователь думает, что отменяет платеж. Фактически он его подтверждает.
Поэтому необходимо внимательно читать текст уведомления и никогда не передавать коды подтверждения посторонним людям.
Что такое фишинг
Фишинговая страница может внешне быть очень похожа на:
- интернет-магазин;
- банковский сайт;
- платежный сервис;
- страницу доставки;
- страницу подтверждения аккаунта.
Пользователь вводит свои данные, думая, что общается с настоящим сервисом.
Но информация поступает злоумышленнику.
Почему фишинг опасен даже при защищенной банковской системе
Банк может использовать:
- шифрование;
- криптографию;
- защищенные серверы;
- антифрод-системы;
- многофакторную аутентификацию.
Но если сам пользователь добровольно передает злоумышленнику необходимые данные и подтверждает операцию, часть технических механизмов безопасности может быть обойдена.
Мошенник в этом случае не взламывает банк — он обходит защиту, обманывая самого пользователя.
Поэтому защита банковской карты зависит не только от технологий банка. Она также зависит от поведения владельца карты.
Можно ли фотографировать банковскую карту
Фотографировать карту без необходимости не рекомендуется.
Особенно опасно:
- отправлять фотографию карты в мессенджере;
- публиковать ее в социальных сетях;
- хранить снимки карты в общедоступных местах;
- отправлять изображение незнакомым людям.
Фотография может раскрыть часть платежных реквизитов.
Если на одном изображении видны обе стороны карты, потенциально может быть раскрыто еще больше информации.
Что делать, если нужно сообщить номер карты
В некоторых ситуациях человеку действительно может потребоваться передать реквизит для получения перевода или другой разрешенной операции.
Важно понимать, какие именно данные нужны для конкретной задачи.
Не следует передавать больше информации, чем необходимо.
Особенно нельзя передавать вместе:
- PIN-код;
- пароль от банковского приложения;
- коды подтверждения;
- данные для входа в интернет-банк.
Получателю платежа не требуется знать секретные данные, которыми подтверждаются ваши операции.
Может ли сотрудник банка попросить PIN-код
Нет необходимости сообщать сотруднику банка PIN-код карты.
Банку не нужно спрашивать у клиента секретный PIN-код для:
- проверки состояния карты;
- блокировки карты;
- расследования подозрительной операции;
- проверки баланса;
- отмены обращения.
То же самое относится к паролю от банковского приложения и одноразовым кодам подтверждения.
Если человек по телефону настойчиво требует такие данные, разговор следует прекратить и самостоятельно связаться с банком через официальный канал.
Что такое скимминг
Еще одна угроза связана с попыткой незаконно скопировать данные карты.
Исторически особую роль здесь играли данные магнитной полосы.
Злоумышленники могли устанавливать дополнительные устройства на:
- банкоматы;
- платежные терминалы;
- другие устройства чтения карт.
Одновременно могла предприниматься попытка узнать PIN-код. Например:
- скрытой камерой;
- поддельной клавиатурой;
- визуальным наблюдением.
Как снизить риск при использовании банкомата
Перед использованием банкомата полезно обратить внимание на его состояние.
Необычными могут быть:
- плохо закрепленные элементы;
- дополнительные накладки;
- поврежденный картоприемник;
- необычная клавиатура;
- подозрительные устройства рядом.
При вводе PIN-кода разумно закрывать клавиатуру другой рукой.
Если банкомат выглядит поврежденным или необычным, лучше использовать другое устройство.
Потеря карты
Если физическая карта потеряна, необходимо действовать быстро.
Современные банковские приложения часто позволяют временно заблокировать карту самостоятельно.
Это полезно, если человек не уверен: карта действительно украдена, или просто находится где-то среди вещей.
Если карта найдена, некоторые банки позволяют снять временную блокировку.
Если есть основания считать данные карты скомпрометированными, безопаснее обратиться в банк и заменить карту.
Что делать при неизвестной операции
Представим ситуацию.
Пользователь открывает банковское приложение и видит: Покупка: 74 €.
Он точно знает, что ее не совершал.
Не следует ждать появления следующей операции.
Необходимо как можно быстрее:
- проверить статус операции;
- заблокировать карту или ограничить ее использование;
- связаться с банком через официальный канал;
- выполнить дальнейшие инструкции банка.
Чем раньше банк узнает о возможной компрометации карты, тем быстрее можно ограничить дальнейшие операции.
Почему уведомления банка полезны
Уведомления о платежах являются важным элементом контроля.
Представим, что карта скомпрометирована.
Злоумышленник совершает небольшую тестовую покупку: 2 €.
Если владелец сразу видит неизвестную операцию, он может своевременно заблокировать карту.
Если уведомления отключены и история операций не проверяется, следующие платежи могут быть значительно крупнее.
Поэтому уведомления позволяют быстрее заметить необычную активность.
Зачем нужны лимиты
Лимиты мы уже рассматривали в предыдущей части.
Теперь посмотрим на них именно с позиции безопасности.
Представим, что на банковском счете находится: 12 000 €.
Но для интернет-покупок установлен дневной лимит: 500 €.
Даже если данные карты будут скомпрометированы, злоумышленник не сможет бесконтрольно потратить весь остаток через этот тип операций.
Лимит не предотвращает сам факт компрометации. Но он способен уменьшить потенциальный ущерб.
Виртуальные карты
Некоторые банки позволяют создавать отдельные виртуальные карты.
Она может использоваться, например:
- для интернет-покупок;
- для подписок;
- для мобильных платежей;
- для разделения разных типов расходов.
Виртуальная карта может иметь:
- отдельный номер;
- отдельный срок действия;
- отдельный защитный код;
- отдельные лимиты.
Почему отдельная виртуальная карта может быть полезна
Представим, что основной счет используется для хранения значительной суммы.
Пользователь создает отдельную виртуальную карту для интернет-покупок и устанавливает лимит: 300 € в месяц.
Теперь реквизиты основной физической карты не нужно вводить на каждом сайте.
Это не делает интернет-покупки абсолютно безопасными. Но помогает разделить платежные сценарии и ограничить потенциальный ущерб.
Одноразовые или динамические реквизиты
Некоторые банковские и платежные решения могут использовать реквизиты, которые изменяются или предназначены для ограниченного использования.
Смысл таких механизмов заключается в том, чтобы уменьшить ценность украденных платежных данных.
Если определенный реквизит работает только:
- ограниченное время;
- для конкретной операции;
- в определенном сценарии,
его повторное использование злоумышленником становится значительно сложнее.
Почему нельзя вводить данные карты на любом сайте
Красивый внешний вид сайта не является доказательством его надежности.
Современную веб-страницу можно скопировать достаточно точно.
Поэтому перед вводом платежных данных важно убедиться, что пользователь действительно находится на нужном сайте или в нужном приложении.
Особенно осторожно следует относиться к ссылкам, полученным через:
- неожиданные сообщения;
- электронную почту;
- социальные сети;
- мессенджеры;
- SMS.
Если сообщение вызывает сомнения, безопаснее самостоятельно открыть официальный сайт или приложение сервиса, не используя присланную ссылку.
Почему нельзя устанавливать приложения по просьбе незнакомого человека
Некоторые схемы мошенничества строятся следующим образом.
Человек представляется:
- сотрудником банка;
- специалистом службы безопасности;
- сотрудником технической поддержки.
После этого он просит установить приложение для «проверки телефона», «защиты счета» или «отмены подозрительной операции».
На самом деле это может быть программа удаленного управления устройством.
Если посторонний человек получает возможность видеть экран или управлять телефоном, он потенциально может наблюдать:
- банковские уведомления;
- коды подтверждения;
- действия пользователя.
Поэтому нельзя устанавливать программное обеспечение удаленного доступа только потому, что это попросил сделать неизвестный собеседник.
Безопасность строится на нескольких уровнях
Теперь объединим все рассмотренные механизмы.
Безопасность карточного платежа можно представить как несколько уровней.
Уровень 1. Физическая карта. Используются: микрочип; защищенные платежные данные; технические механизмы проверки карты.
Уровень 2. Подтверждение пользователя. Используются: PIN-код; биометрия; код устройства; дополнительная интернет-аутентификация.
Уровень 3. Контроль банка. Банк проверяет: баланс; лимиты; статус карты; характеристики операции; признаки мошенничества.
Уровень 4. Платежная инфраструктура. Используются: стандартизированные протоколы; криптографические механизмы; контроль корректности сообщений; правила платежных систем.
Уровень 5. Поведение пользователя. Пользователь должен: защищать PIN-код; не сообщать одноразовые коды; осторожно относиться к ссылкам; проверять операции; своевременно блокировать потерянную карту.
Если все уровни работают одновременно, вероятность успешного мошенничества значительно уменьшается.
- 1Карта или устройство. Механизмы: микрочип, EMV, токенизация. Пример угрозы: копирование данных карты (скимминг). Пример защиты: чип создаёт уникальные данные для каждой операции, а токен заменяет собой реальный номер карты.
- 2Аутентификация пользователя. Механизмы: PIN-код, биометрия, код устройства, дополнительная интернет-аутентификация. Пример угрозы: PIN-код или одноразовый код сообщён мошеннику. Пример защиты: аутентификация подтверждает, что операцию совершает именно владелец карты.
- 3Контроль банка. Механизмы: проверка баланса, лимитов, статуса карты, характеристик операции, антифрод-анализ. Пример угрозы: попытка потратить весь остаток счёта через скомпрометированную карту. Пример защиты: лимиты и антифрод-система ограничивают и останавливают подозрительные операции.
- 4Платёжная инфраструктура. Механизмы: стандартизированные протоколы, криптографические механизмы, контроль корректности сообщений, правила платёжных систем. Пример угрозы: подмена или искажение данных операции при передаче. Пример защиты: криптографические механизмы и правила платёжных систем защищают целостность данных операции.
- 5Безопасное поведение пользователя. Пользователь должен: защищать PIN-код, не сообщать одноразовые коды, осторожно относиться к ссылкам, проверять операции, своевременно блокировать потерянную карту. Пример угрозы: фишинговое сообщение или звонок «сотрудника банка», убеждающий сообщить код подтверждения. Пример защиты: внимательность и отказ передавать секретные данные посторонним останавливают мошенничество, даже если технические механизмы уже пройдены.
Какие данные необходимо защищать
- 1Номер карты — платежный реквизит. Не публиковать без необходимости.
- 2Срок действия — используется в некоторых платежных сценариях. Не следует без необходимости передавать вместе с другими реквизитами карты.
- 3Защитный код — чувствительный платежный реквизит. Не публиковать и не сообщать посторонним.
- 4PIN-код — секретный код пользователя. Никому не сообщать.
- 5Одноразовый код подтверждения — предназначен для подтверждения конкретного действия. Никому не сообщать.
- 6Пароль банковского приложения — предназначен только для владельца учетной записи. Никому не сообщать.
Что дальше
Теперь мы разобрали практически весь жизненный цикл обычного карточного платежа.
Вы уже знаете:
- что представляет собой банковская карта;
- из каких элементов она состоит;
- кто участвует в оплате;
- что происходит после прикладывания карты;
- почему деньги могут списываться не сразу;
- почему платеж иногда отклоняется;
- каким образом защищаются банковские карты и платежные операции.
Осталось соединить все эти знания в единую картину.
В следующей, заключительной части урока мы подведем итоги, проследим весь путь карточного платежа от начала до конца и проверим, насколько хорошо вы поняли материал.
- номер банковской карты и номер банковского счета — не одно и то же
- PIN-код и защитный код карты выполняют разные функции
- PIN-код нельзя сообщать другим людям
- одноразовые коды подтверждения также нельзя передавать посторонним
- микрочип делает современные карточные операции значительно сложнее для простого копирования
- EMV определяет важные правила взаимодействия современных карт и терминалов
- NFC используется для бесконтактного обмена данными на небольшом расстоянии
- при оплате смартфоном может использоваться токенизация, позволяющая не передавать основной карточный реквизит в обычном виде
- интернет-платежи могут требовать дополнительной аутентификации
- 3-D Secure является одним из механизмов дополнительной проверки дистанционных карточных операций
- фишинг заставляет пользователя самостоятельно передавать злоумышленнику ценные данные
- наличие защищенного соединения с сайтом само по себе не гарантирует, что сайт принадлежит честной организации
- скимминг связан с незаконным получением данных карты при помощи дополнительных или модифицированных устройств
- лимиты и уведомления помогают уменьшить ущерб и быстрее обнаружить подозрительную активность
- при потере карты или обнаружении неизвестной операции необходимо действовать как можно быстрее
- банковская безопасность состоит из нескольких уровней, а не из одного защитного механизма
Introduction
A bank card makes paying very simple.
It's enough to:
- tap the card on a terminal;
- insert it into a device;
- confirm the purchase in an app;
- or use a smartphone.
But behind this simplicity is a complex protection system.
During a payment, several tasks have to be solved at once.
The bank must make sure that:
- a genuine card or an authorized payment device is being used;
- the operation is being carried out by the cardholder or an authorized user;
- the transmitted data has not been quietly altered;
- the same payment cannot be repeated without control;
- suspicious operations can be detected and stopped.
For this, not one protection mechanism is used, but several at once.
If one of them fails, the next one can stop the fraudulent operation.
That is exactly why bank card security should be thought of not as a single password or a single PIN code, but as several levels of protection working at the same time.
What data a bank card holds
Let's start with the card itself.
A physical bank card may carry:
- the cardholder's name;
- the card number;
- the expiration date;
- the security code;
- a microchip;
- a magnetic stripe;
- a contactless payment symbol;
- the bank's name or logo;
- the payment system's logo.
At the same time, not all of this data serves the same purpose.
Some of it is needed to identify the card.
Other data is used to confirm particular kinds of operations.
Still other data is part of the payment's technical infrastructure.
That's why it's important to understand which data can be shown to other people and which must be protected.
The bank card number
Most cards carry a long number.
It's usually this number that the user enters when paying at an online store.
It's important to understand: the card number is not the bank account number.
A bank account and a bank card are related but distinct entities.
Several cards can be linked to the same account.
For example:
- a physical card;
- a virtual card;
- an additional card;
- another cardholder's card, if permitted by the bank.
The card number by itself is usually not enough to carry out every kind of operation.
Different scenarios require additional verification methods.
The card's expiration date
The card also shows an expiration date.
For example: 08/29.
This means the card is valid until a particular month and year, according to the bank's rules.
The expiration date is used:
- to manage the card's lifecycle;
- as one of the parameters of an online payment;
- for timely card replacement.
Once the expiration date passes, the bank usually issues a new card or offers the user a replacement.
The card's security code
A physical card may carry a separate short security code.
Depending on the payment system, it may be called different things.
Common labels include:
- CVV;
- CVC;
- CID.
For simplicity, from here on we'll call it the card security code.
For example, an online store may ask for this code.
It should not be confused with the PIN code. These are different pieces of data with different purposes.
The security code and the PIN code are not the same thing
This is a very important distinction.
The card security code may be used for some online payments.
The PIN code is used to confirm certain operations with the card, for example when paying via a terminal or withdrawing cash.
| Card security code | PIN code |
|---|---|
| May be used for some online payments | Used to confirm operations with the card — for example, when paying via a terminal or withdrawing cash |
The PIN code must not be told to:
- the seller;
- a store employee;
- another person;
- someone who claims to be a bank employee.
A genuine bank employee should never ask a customer to state their card's PIN code to "verify identity" or "cancel an operation."
What a PIN code is
The PIN code is one of the authentication factors.
It helps confirm that the person using the card knows a secret that should be known only to the legitimate user.
However, the PIN code is not the card's only protection.
Even if an attacker somehow learns the PIN code, the banking system continues to use other control mechanisms:
- the card's status;
- limits;
- the operation's characteristics;
- antifraud analysis;
- the payment system's rules;
- additional authentication mechanisms.
Why the PIN code should not be kept together with the card
Let's imagine a situation.
A person keeps their bank card in a wallet.
On a slip of paper nearby, the PIN code is written down.
If the wallet is lost or stolen, a stranger simultaneously obtains:
- the physical card;
- the PIN code.
In that case, one of the most important protective barriers essentially disappears.
That's why the PIN code should not be stored together with the card.
It's even worse to write the PIN code directly on the card.
What the microchip does
Modern bank cards are usually fitted with a microchip.
At first glance it's just a small metal element on the surface of the card.
In reality it's an important part of the security system.
During an operation, the microchip helps generate data that lets the payment infrastructure verify the operation's authenticity.
In other words, a modern card doesn't simply transmit the same unchanging set of data to the terminal at every purchase.
Additional cryptographic data is created during the course of the operation.
This makes simple copying of the card significantly harder.
Why a chip is safer than a plain magnetic stripe
A magnetic stripe stores data in a much more static way.
If such data is copied, an attacker can potentially try to reuse it wherever such operations are allowed.
A microchip works differently.
At every operation, additional data tied to that specific payment is generated.
So simply copying the information is no longer enough to fully reproduce how a genuine card behaves.
That's exactly why the shift from magnetic stripes to microchips became an important step in the development of bank card security.
What EMV is
The way modern bank cards and terminals work is largely based on EMV standards.
For an ordinary user, the key principle is this: EMV lets the card and terminal perform a more sophisticated check of the operation than simply reading static data.
What happens during a contactless payment
When a user taps a card against a terminal, a wireless exchange begins between them over a very short distance.
This uses NFC technology.
Contactless payment doesn't mean the terminal simply "sees the card number in the air" and automatically charges money.
A full payment process takes place.
The following still take part in it:
- the card;
- the terminal;
- the acquiring bank;
- the payment system;
- the issuing bank.
The bank still decides whether to authorize the operation or not.
Can you accidentally pay through someone else's terminal at a distance
Contactless technology is designed to work over a very short distance.
Usually the card or device has to be brought right up to the terminal's reading area.
Moreover, the mere fact of radio contact is not enough to charge an arbitrary amount without control.
The payment has to be formed and processed through the payment infrastructure.
The bank still applies its usual operation-control mechanisms.
So the idea that money can be quietly "taken from a card across the room" doesn't match how ordinary contactless payment actually works.
Why a contactless payment sometimes asks for the PIN code
A user might pay for small purchases many times in a row with a simple tap of the card.
But then one day the terminal unexpectedly asks for the PIN code.
This is normal.
Additional confirmation may be required:
- above a certain amount;
- after a series of contactless operations;
- in accordance with the bank's rules;
- when the risk assessment is elevated;
- for a periodic check of the user.
So the absence of a PIN code prompt at every purchase does not mean an absence of control.
What happens when paying with a smartphone
Today, a smartphone or smartwatch is often used instead of a physical card.
A user can add a card to a payment app and pay for purchases with the device.
At first glance it seems like the smartphone simply turns into a copy of the bank card.
But modern mobile payments can use an additional mechanism — tokenization.
What tokenization is
Put simply, the device doesn't necessarily have to transmit the real physical card number to the seller.
A different payment identifier can be used instead.
This reduces the need to transmit the original card details during every operation.
Why tokenization is needed
Let's imagine two approaches.
First: at every purchase, the device transmits the same underlying card identifier.
Second: a special token is used for the mobile payment device.
In the second case, a compromise of the data from a particular payment scenario does not necessarily reveal the original details of the physical card.
So tokenization reduces the value of intercepted data for an attacker.
Why paying with a smartphone can be safer than transmitting card details
Modern mobile payment solutions can use, at the same time:
- tokenization;
- biometrics;
- the device unlock code;
- the phone's hardware security features;
- cryptographic mechanisms;
- the bank's antifraud systems.
That's why a smartphone should not be treated simply as a picture of a bank card on a screen.
It's a separate payment device with its own security mechanisms.
Fingerprint and face recognition
To confirm a mobile payment, a smartphone can use biometric authentication.
For example:
- a fingerprint;
- face recognition.
In the context of a mobile payment, biometrics helps the device determine whether the user has the right to confirm the operation.
The specific implementation depends on the device and the payment platform.
What happens when shopping online
An online payment differs from a purchase at an ordinary store.
The physical card may not interact with a terminal at all.
The user enters payment data on a website or uses a previously saved card.
Such a scenario is called a card-not-present operation.
This raises an additional problem.
How can the bank know that the card data is really being entered by its owner?
For this, additional authentication mechanisms are used.
Why the card number alone is not enough
An online store may ask for:
- the card number;
- the expiration date;
- the security code.
But modern security systems are not necessarily limited to this data.
The bank may additionally request confirmation. For example:
- in the banking app;
- via a one-time code;
- using biometrics;
- in some other available way.
So knowing the card details doesn't always mean being able to make a purchase without obstruction.
What 3-D Secure is
During online purchases, a user may run into an additional confirmation step for the operation.
One of the technologies used for this is 3-D Secure.
The user may see:
- a notification in the banking app;
- a confirmation screen;
- a request for additional authentication.
The specific scenario depends on the bank, the payment system, the store, and the operation's parameters.
Why confirmation doesn't appear for every online purchase
This is an important question.
Some online purchases require additional confirmation.
Others go through without any separate action from the user.
This doesn't necessarily mean that protection is absent in the second case.
Modern payment systems and banks can assess the operation's risk automatically.
Various parameters are taken into account. For example:
- the amount;
- the device;
- the seller;
- prior history;
- the payment's particular features;
- other risk indicators.
Depending on the result, the bank may require additional confirmation or allow the operation without any extra action from the user.
What a one-time code is
Sometimes the bank sends the user a code to confirm an operation.
The key word here is one-time.
Such a code should not be treated like an ordinary password that can be told to someone else.
If the code is meant to confirm a payment, a person who receives that code potentially gains the ability to confirm the corresponding operation.
Why confirmation codes must not be shared
One of the most common fraud schemes is based not on breaking into the banking system, but on convincing the user to voluntarily share the code.
For example, an attacker might say:
"I'm a security officer. Tell me the code so we can cancel the suspicious operation."
But the code may in fact be confirming exactly the operation the attacker is trying to carry out.
The user thinks they're canceling a payment. In reality, they're confirming it.
That's why it's necessary to read the text of a notification carefully and never pass confirmation codes on to strangers.
What phishing is
A phishing page can look, on the surface, very much like:
- an online store;
- a bank website;
- a payment service;
- a delivery page;
- an account-confirmation page.
The user enters their data, thinking they're dealing with a genuine service.
But the information reaches the attacker.
Why phishing is dangerous even with a secure banking system
A bank can use:
- encryption;
- cryptography;
- secure servers;
- antifraud systems;
- multi-factor authentication.
But if the user themselves voluntarily hands the necessary data to an attacker and confirms the operation, part of the technical security mechanisms can be bypassed.
In this case the fraudster doesn't break into the bank — they bypass the protection by deceiving the user.
That's why protecting a bank card depends not only on the bank's technology. It also depends on the cardholder's own behavior.
Is it okay to photograph a bank card
Photographing a card without a real need is not recommended.
It's especially risky to:
- send a photo of the card in a messaging app;
- post it on social media;
- keep photos of the card in publicly accessible places;
- send the image to strangers.
A photo can reveal part of the payment details.
If both sides of the card are visible in one image, potentially even more information can be exposed.
What to do if you need to share your card number
In some situations, a person may genuinely need to pass on a detail in order to receive a transfer or carry out another permitted operation.
It's important to understand exactly which data is needed for the specific task.
You shouldn't pass on more information than necessary.
In particular, the following must never be shared together:
- the PIN code;
- the banking app password;
- confirmation codes;
- online banking login credentials.
The recipient of a payment doesn't need to know the secret data that confirms your operations.
Can a bank employee ask for the PIN code
There's no need to tell a bank employee your card's PIN code.
The bank doesn't need to ask a customer for their secret PIN code in order to:
- check the card's status;
- block the card;
- investigate a suspicious operation;
- check the balance;
- close a case.
The same applies to the banking app password and one-time confirmation codes.
If someone on the phone insistently demands such data, the conversation should be ended, and the bank should be contacted independently through an official channel.
What skimming is
Another threat involves an attempt to illegally copy card data.
Historically, magnetic stripe data played a special role here.
Attackers could install additional devices on:
- ATMs;
- payment terminals;
- other card-reading devices.
At the same time, an attempt could be made to learn the PIN code. For example, using:
- a hidden camera;
- a fake keypad;
- visual observation.
How to reduce risk when using an ATM
Before using an ATM, it's useful to pay attention to its condition.
Unusual signs might include:
- poorly attached parts;
- extra overlays;
- a damaged card slot;
- an unusual keypad;
- suspicious devices nearby.
When entering the PIN code, it's sensible to cover the keypad with your other hand.
If the ATM looks damaged or unusual, it's better to use a different one.
Losing a card
If a physical card is lost, you need to act quickly.
Modern banking apps often let you temporarily block the card yourself.
This is useful when a person isn't sure whether the card was actually stolen or is simply somewhere among their belongings.
If the card turns up, some banks let you lift the temporary block.
If there's reason to believe the card's data has been compromised, it's safer to contact the bank and get the card replaced.
What to do about an unknown operation
Let's imagine a situation.
A user opens the banking app and sees: Purchase: 74 €.
They know for certain they didn't make it.
You shouldn't wait for the next operation to appear.
As quickly as possible, you need to:
- check the status of the operation;
- block the card or restrict its use;
- contact the bank through an official channel;
- follow the bank's further instructions.
The sooner the bank learns of a possible card compromise, the sooner further operations can be restricted.
Why bank notifications are useful
Payment notifications are an important element of control.
Let's imagine the card has been compromised.
The attacker makes a small test purchase: 2 €.
If the owner spots the unknown operation right away, they can block the card in time.
If notifications are turned off and the transaction history isn't checked, the next payments could be significantly larger.
That's why notifications make it possible to notice unusual activity faster.
Why limits matter
We already looked at limits in the previous part.
Now let's look at them specifically from a security angle.
Let's imagine the bank account holds: 12 000 €.
But a daily limit is set for online purchases: 500 €.
Even if the card's data is compromised, an attacker won't be able to spend the entire balance without control through this type of operation.
A limit doesn't prevent the compromise itself. But it can reduce the potential damage.
Virtual cards
Some banks let you create separate virtual cards.
It can be used, for example:
- for online purchases;
- for subscriptions;
- for mobile payments;
- to separate different types of spending.
A virtual card can have:
- its own number;
- its own expiration date;
- its own security code;
- its own limits.
Why a separate virtual card can be useful
Let's imagine the main account is used to hold a significant sum.
The user creates a separate virtual card for online purchases and sets a limit: 300 € a month.
Now the main physical card's details don't have to be entered on every website.
This doesn't make online purchases completely safe. But it helps separate payment scenarios and limit the potential damage.
One-time or dynamic details
Some banking and payment solutions can use details that change or are intended for limited use.
The point of such mechanisms is to reduce the value of stolen payment data.
If a particular detail only works:
- for a limited time;
- for a specific operation;
- in a particular scenario,
then reusing it becomes significantly harder for an attacker.
Why you shouldn't enter card data on just any website
An attractive-looking website is not proof of its trustworthiness.
A modern web page can be copied quite accurately.
That's why, before entering payment data, it's important to make sure the user is really on the intended website or in the intended app.
You should be especially cautious with links received through:
- unexpected messages;
- email;
- social media;
- messaging apps;
- SMS.
If a message raises doubts, it's safer to open the service's official website or app yourself, rather than using the link that was sent.
Why you shouldn't install apps at the request of a stranger
Some fraud schemes are built as follows.
A person claims to be:
- a bank employee;
- a security specialist;
- a technical support employee.
They then ask you to install an app to "check the phone," "protect the account," or "cancel a suspicious operation."
In reality this may be a remote-control program.
If a stranger gains the ability to see the screen or control the phone, they can potentially observe:
- bank notifications;
- confirmation codes;
- the user's actions.
That's why you should never install remote-access software just because an unknown person on the other end of a call asked you to.
Security is built on several levels
Now let's bring together all the mechanisms we've covered.
The security of a card payment can be pictured as several levels.
Level 1. The physical card. These are used: the microchip; protected payment data; technical mechanisms for verifying the card.
Level 2. User confirmation. These are used: the PIN code; biometrics; the device code; additional online authentication.
Level 3. Bank control. The bank checks: the balance; limits; the card's status; the operation's characteristics; signs of fraud.
Level 4. Payment infrastructure. These are used: standardized protocols; cryptographic mechanisms; message-correctness checks; payment system rules.
Level 5. User behavior. The user must: protect the PIN code; never share one-time codes; be cautious with links; check operations; block a lost card promptly.
If all the levels work at the same time, the chance of successful fraud drops significantly.
- 1The card or device. Mechanisms: microchip, EMV, tokenization. Example threat: copying card data (skimming). Example protection: the chip creates unique data for each operation, and a token stands in for the real card number.
- 2User authentication. Mechanisms: PIN code, biometrics, device code, additional online authentication. Example threat: a PIN code or one-time code shared with a fraudster. Example protection: authentication confirms that the operation is really being carried out by the cardholder.
- 3Bank control. Mechanisms: checking the balance, limits, card status, operation characteristics, antifraud analysis. Example threat: an attempt to spend the entire account balance through a compromised card. Example protection: limits and the antifraud system restrict and stop suspicious operations.
- 4Payment infrastructure. Mechanisms: standardized protocols, cryptographic mechanisms, message-correctness checks, payment system rules. Example threat: substitution or distortion of operation data in transit. Example protection: cryptographic mechanisms and payment system rules protect the integrity of the operation's data.
- 5Safe user behavior. The user must: protect the PIN code, never share one-time codes, be cautious with links, check operations, block a lost card promptly. Example threat: a phishing message or a call from a "bank employee" persuading the user to share a confirmation code. Example protection: attentiveness and refusing to give secret data to strangers stops fraud even when the technical mechanisms have already been passed.
What data needs to be protected
- 1Card number — a payment detail. Don't post it without a real need.
- 2Expiration date — used in some payment scenarios. Shouldn't be passed on together with other card details without a real need.
- 3Security code — a sensitive payment detail. Don't post it and don't share it with strangers.
- 4PIN code — the user's secret code. Never share it with anyone.
- 5One-time confirmation code — intended to confirm a specific action. Never share it with anyone.
- 6Banking app password — intended only for the account owner. Never share it with anyone.
What's next
We've now covered nearly the entire lifecycle of an ordinary card payment.
You already know:
- what a bank card is;
- what elements make it up;
- who takes part in a payment;
- what happens after tapping the card;
- why the money might not be deducted right away;
- why a payment is sometimes declined;
- how bank cards and payment operations are protected.
All that's left is to bring all this knowledge together into a single picture.
In the next, final part of the lesson, we'll sum everything up, trace the whole journey of a card payment from start to finish, and check how well you've understood the material.
- a card number and a bank account number are not the same thing
- a PIN and a card's security code serve different functions
- a PIN must never be told to anyone else
- one-time confirmation codes also must never be given to anyone else
- a microchip makes modern card operations significantly harder to simply copy
- EMV defines important rules for how modern cards and terminals interact
- NFC is used for contactless data exchange over a very short distance
- paying by smartphone can use tokenization, which avoids transmitting the main card detail in plain form
- online payments can require additional authentication
- 3-D Secure is one of the mechanisms for additional verification of remote card operations
- phishing gets the user to hand valuable data to the fraudster themselves
- a secure connection to a site by itself doesn't guarantee the site belongs to a legitimate organization
- skimming involves illegally capturing card data using additional or modified devices
- limits and notifications help reduce damage and spot suspicious activity faster
- after losing a card or spotting an unknown operation, you need to act as quickly as possible
- card security is built from several layers, not a single protective mechanism
Εισαγωγή
Η τραπεζική κάρτα κάνει την πληρωμή πολύ απλή.
Αρκεί:
- να ακουμπήσετε την κάρτα στο τερματικό·
- να την εισαγάγετε στη συσκευή·
- να επιβεβαιώσετε την αγορά στην εφαρμογή·
- ή να χρησιμοποιήσετε το smartphone.
Όμως πίσω από αυτή την απλότητα κρύβεται ένα πολύπλοκο σύστημα προστασίας.
Κατά τη διάρκεια μιας πληρωμής πρέπει να λυθούν ταυτόχρονα αρκετά ζητήματα.
Η τράπεζα πρέπει να βεβαιωθεί ότι:
- χρησιμοποιείται μια γνήσια κάρτα ή μια εγκεκριμένη συσκευή πληρωμής·
- τη συναλλαγή την πραγματοποιεί ο κάτοχος της κάρτας ή εξουσιοδοτημένος χρήστης·
- τα δεδομένα που μεταδίδονται δεν έχουν αλλοιωθεί χωρίς να γίνει αντιληπτό·
- η ίδια πληρωμή δεν μπορεί να επαναλαμβάνεται ανεξέλεγκτα·
- ύποπτες συναλλαγές μπορούν να εντοπιστούν και να σταματήσουν.
Για αυτό χρησιμοποιείται όχι ένας μηχανισμός προστασίας, αλλά αρκετοί ταυτόχρονα.
Αν ένας από αυτούς αποτύχει, ο επόμενος μπορεί να σταματήσει την απατηλή συναλλαγή.
Γι' αυτό η ασφάλεια της τραπεζικής κάρτας πρέπει να γίνεται αντιληπτή όχι ως ένας κωδικός πρόσβασης ή ένα PIN, αλλά ως πολλά επίπεδα προστασίας που λειτουργούν ταυτόχρονα.
Ποια δεδομένα έχει μια τραπεζική κάρτα
Ας ξεκινήσουμε από την ίδια την κάρτα.
Στη φυσική τραπεζική κάρτα μπορούν να βρίσκονται:
- το όνομα του κατόχου·
- ο αριθμός της κάρτας·
- η ημερομηνία λήξης·
- ο κωδικός ασφαλείας·
- το μικροτσίπ·
- η μαγνητική λωρίδα·
- το σήμα υποστήριξης ανέπαφης πληρωμής·
- το όνομα ή το λογότυπο της τράπεζας·
- το λογότυπο του συστήματος πληρωμών.
Ωστόσο δεν έχουν όλα αυτά τα δεδομένα τον ίδιο σκοπό.
Ορισμένα χρειάζονται για την ταυτοποίηση της κάρτας.
Άλλα χρησιμοποιούνται για την επιβεβαίωση συγκεκριμένων τύπων συναλλαγών.
Τρίτα αποτελούν μέρος της τεχνικής υποδομής της πληρωμής.
Γι' αυτό είναι σημαντικό να καταλαβαίνετε ποια δεδομένα μπορούν να δείχνονται σε άλλους και ποια πρέπει να προστατεύονται.
Ο αριθμός της τραπεζικής κάρτας
Στις περισσότερες κάρτες υπάρχει ένας μακρύς αριθμός.
Συνήθως αυτόν ακριβώς τον εισάγει ο χρήστης όταν πληρώνει σε ηλεκτρονικό κατάστημα.
Είναι σημαντικό να καταλάβετε: ο αριθμός της κάρτας δεν είναι ο αριθμός του τραπεζικού λογαριασμού.
Ο τραπεζικός λογαριασμός και η τραπεζική κάρτα είναι συνδεδεμένες, αλλά διαφορετικές οντότητες.
Σε έναν λογαριασμό μπορούν να είναι συνδεδεμένες αρκετές κάρτες.
Για παράδειγμα:
- φυσική κάρτα·
- εικονική κάρτα·
- πρόσθετη κάρτα·
- κάρτα άλλου κατόχου, αν αυτό επιτρέπεται από την τράπεζα.
Ο ίδιος ο αριθμός της κάρτας συνήθως δεν αρκεί για την εκτέλεση όλων των τύπων συναλλαγών.
Για διαφορετικά σενάρια χρησιμοποιούνται πρόσθετοι τρόποι επαλήθευσης.
Η ημερομηνία λήξης της κάρτας
Στην κάρτα αναγράφεται επίσης η ημερομηνία λήξης.
Για παράδειγμα: 08/29.
Αυτό σημαίνει ότι η κάρτα ισχύει έως έναν συγκεκριμένο μήνα και έτος σύμφωνα με τους κανόνες της τράπεζας.
Η ημερομηνία λήξης χρησιμοποιείται:
- για τη διαχείριση του κύκλου ζωής της κάρτας·
- ως μία από τις παραμέτρους μιας διαδικτυακής πληρωμής·
- για την έγκαιρη αντικατάσταση της κάρτας.
Μετά τη λήξη της, η τράπεζα συνήθως εκδίδει νέα κάρτα ή προτείνει στον χρήστη να την αντικαταστήσει.
Ο κωδικός ασφαλείας της κάρτας
Στη φυσική κάρτα μπορεί να υπάρχει ξεχωριστός σύντομος κωδικός ασφαλείας.
Ανάλογα με το σύστημα πληρωμών, μπορεί να ονομάζεται διαφορετικά.
Συχνά χρησιμοποιούνται οι συμβολισμοί:
- CVV·
- CVC·
- CID.
Για απλότητα, στη συνέχεια θα τον ονομάζουμε κωδικό ασφαλείας της κάρτας.
Για παράδειγμα, ένας τέτοιος κωδικός μπορεί να ζητηθεί από ένα ηλεκτρονικό κατάστημα.
Δεν πρέπει να συγχέεται με το PIN. Πρόκειται για διαφορετικά δεδομένα με διαφορετικό σκοπό.
Ο κωδικός ασφαλείας και το PIN δεν είναι το ίδιο πράγμα
Αυτή είναι μια πολύ σημαντική διάκριση.
Ο κωδικός ασφαλείας της κάρτας μπορεί να χρησιμοποιηθεί σε ορισμένες διαδικτυακές πληρωμές.
Το PIN χρησιμοποιείται για την επιβεβαίωση συγκεκριμένων συναλλαγών με την κάρτα, για παράδειγμα κατά την πληρωμή μέσω τερματικού ή την ανάληψη μετρητών.
| Κωδικός ασφαλείας της κάρτας | PIN |
|---|---|
| Μπορεί να χρησιμοποιηθεί σε ορισμένες διαδικτυακές πληρωμές | Χρησιμοποιείται για την επιβεβαίωση συναλλαγών με την κάρτα — για παράδειγμα, κατά την πληρωμή μέσω τερματικού ή την ανάληψη μετρητών |
Το PIN δεν πρέπει να αποκαλύπτεται:
- στον πωλητή·
- στον υπάλληλο του καταστήματος·
- σε άλλο άτομο·
- σε άτομο που παρουσιάζεται ως υπάλληλος της τράπεζας.
Ένας πραγματικός υπάλληλος τράπεζας δεν πρέπει να ζητά από τον πελάτη να πει το PIN της κάρτας για «επαλήθευση ταυτότητας» ή «ακύρωση συναλλαγής».
Τι είναι το PIN
Το PIN είναι ένας από τους παράγοντες αυθεντικοποίησης.
Βοηθά να επιβεβαιωθεί ότι το άτομο που χρησιμοποιεί την κάρτα γνωρίζει ένα μυστικό που θα έπρεπε να γνωρίζει μόνο ο νόμιμος χρήστης.
Ωστόσο το PIN δεν είναι η μοναδική προστασία της κάρτας.
Ακόμη κι αν ο κακόβουλος χρήστης έμαθε με κάποιον τρόπο το PIN, το τραπεζικό σύστημα συνεχίζει να χρησιμοποιεί άλλους μηχανισμούς ελέγχου:
- την κατάσταση της κάρτας·
- τα όρια·
- τα χαρακτηριστικά της συναλλαγής·
- την ανάλυση αντι-απάτης·
- τους κανόνες του συστήματος πληρωμών·
- πρόσθετους μηχανισμούς αυθεντικοποίησης.
Γιατί δεν πρέπει να φυλάσσετε το PIN μαζί με την κάρτα
Ας φανταστούμε μια κατάσταση.
Ένα άτομο φυλάσσει την τραπεζική κάρτα στο πορτοφόλι.
Σε ένα χαρτάκι δίπλα είναι γραμμένο το PIN.
Αν το πορτοφόλι χαθεί ή κλαπεί, ένας ξένος αποκτά ταυτόχρονα:
- τη φυσική κάρτα·
- το PIN.
Έτσι, ένα από τα σημαντικότερα προστατευτικά εμπόδια πρακτικά εξαφανίζεται.
Γι' αυτό το PIN δεν πρέπει να φυλάσσεται μαζί με την κάρτα.
Ακόμη χειρότερα, είναι να γράφετε το PIN απευθείας πάνω στην κάρτα.
Τι κάνει το μικροτσίπ
Οι σύγχρονες τραπεζικές κάρτες συνήθως διαθέτουν μικροτσίπ.
Με την πρώτη ματιά, πρόκειται για ένα μικρό μεταλλικό στοιχείο στην επιφάνεια της κάρτας.
Στην πραγματικότητα αποτελεί σημαντικό μέρος του συστήματος ασφαλείας.
Κατά τη συναλλαγή, το μικροτσίπ συμμετέχει στη δημιουργία δεδομένων που βοηθούν την υποδομή πληρωμών να επαληθεύσει τη γνησιότητα της συναλλαγής.
Δηλαδή, η σύγχρονη κάρτα δεν μεταδίδει απλώς στο τερματικό το ίδιο αμετάβλητο σύνολο δεδομένων σε κάθε αγορά.
Κατά τη διαδικασία της συναλλαγής δημιουργούνται πρόσθετα κρυπτογραφικά δεδομένα.
Αυτό δυσκολεύει σημαντικά την απλή αντιγραφή της κάρτας.
Γιατί το τσιπ είναι πιο ασφαλές από την απλή μαγνητική λωρίδα
Η μαγνητική λωρίδα αποθηκεύει τα δεδομένα με πολύ πιο στατικό τρόπο.
Αν αυτά τα δεδομένα αντιγραφούν, ο κακόβουλος χρήστης ενδεχομένως μπορεί να προσπαθήσει να τα χρησιμοποιήσει ξανά εκεί όπου επιτρέπονται τέτοιες συναλλαγές.
Το μικροτσίπ λειτουργεί διαφορετικά.
Σε κάθε συναλλαγή δημιουργούνται πρόσθετα δεδομένα, συνδεδεμένα με τη συγκεκριμένη πληρωμή.
Γι' αυτό η απλή αντιγραφή πληροφοριών δεν αρκεί πια για την πλήρη αναπαραγωγή της λειτουργίας μιας γνήσιας κάρτας.
Γι' αυτόν τον λόγο η μετάβαση από τις μαγνητικές λωρίδες στα μικροτσίπ αποτέλεσε σημαντικό στάδιο στην ανάπτυξη της ασφάλειας των τραπεζικών καρτών.
Τι είναι το EMV
Οι τεχνολογίες λειτουργίας των σύγχρονων τραπεζικών καρτών και τερματικών βασίζονται σε μεγάλο βαθμό στα πρότυπα EMV.
Για τον απλό χρήστη σημαντική είναι η εξής αρχή: το EMV επιτρέπει στην κάρτα και στο τερματικό να εκτελούν πιο σύνθετο έλεγχο της συναλλαγής από την απλή ανάγνωση στατικών δεδομένων.
Τι συμβαίνει κατά την ανέπαφη πληρωμή
Όταν ο χρήστης ακουμπά την κάρτα στο τερματικό, μεταξύ τους ξεκινά μια ασύρματη ανταλλαγή σε πολύ μικρή απόσταση.
Για αυτό χρησιμοποιείται η τεχνολογία NFC.
Η ανέπαφη πληρωμή δεν σημαίνει ότι το τερματικό απλώς «βλέπει τον αριθμό της κάρτας στον αέρα» και χρεώνει αυτόματα το ποσό.
Πραγματοποιείται μια πλήρης διαδικασία πληρωμής.
Σε αυτήν συμμετέχουν και πάλι:
- η κάρτα·
- το τερματικό·
- η τράπεζα-αποδέκτης·
- το σύστημα πληρωμών·
- η τράπεζα-εκδότης.
Η τράπεζα εξακολουθεί να αποφασίζει αν θα επιτρέψει τη συναλλαγή ή όχι.
Μπορεί κάποιος να πληρώσει κατά λάθος μια αγορά με ξένο τερματικό από απόσταση
Η ανέπαφη τεχνολογία είναι σχεδιασμένη να λειτουργεί σε πολύ μικρή απόσταση.
Συνήθως η κάρτα ή η συσκευή πρέπει να πλησιάσει απευθείας στην περιοχή ανάγνωσης του τερματικού.
Επιπλέον, το γεγονός και μόνο της ραδιοεπικοινωνίας δεν αρκεί για ανεξέλεγκτη χρέωση οποιουδήποτε ποσού.
Η πληρωμή πρέπει να δημιουργηθεί και να επεξεργαστεί μέσω της υποδομής πληρωμών.
Η τράπεζα εφαρμόζει παράλληλα τους συνήθεις μηχανισμούς ελέγχου της συναλλαγής.
Γι' αυτό η αντίληψη ότι μπορούν να «αφαιρέσουν» χρήματα από την κάρτα απαρατήρητα «από την άλλη άκρη του δωματίου» δεν αντιστοιχεί στον τρόπο που λειτουργεί η συνηθισμένη ανέπαφη πληρωμή.
Γιατί κατά την ανέπαφη πληρωμή μερικές φορές ζητείται το PIN
Ο χρήστης μπορεί να πληρώνει πολλές φορές μικρές αγορές με ένα απλό άγγιγμα της κάρτας.
Όμως κάποια στιγμή το τερματικό ζητά ξαφνικά το PIN.
Αυτό είναι φυσιολογικό.
Πρόσθετη επιβεβαίωση μπορεί να απαιτηθεί:
- σε ένα συγκεκριμένο ποσό·
- μετά από μια σειρά ανέπαφων συναλλαγών·
- σύμφωνα με τους κανόνες της τράπεζας·
- σε περίπτωση αυξημένης εκτίμησης κινδύνου·
- για περιοδικό έλεγχο του χρήστη.
Έτσι, η απουσία αιτήματος για PIN σε κάθε αγορά δεν σημαίνει απουσία ελέγχου.
Τι συμβαίνει κατά την πληρωμή με smartphone
Σήμερα, αντί για τη φυσική κάρτα, χρησιμοποιείται συχνά ένα smartphone ή ένα smartwatch.
Ο χρήστης μπορεί να προσθέσει την κάρτα στην εφαρμογή πληρωμών και να πληρώνει με τη συσκευή.
Με την πρώτη ματιά φαίνεται ότι το smartphone απλώς μετατρέπεται σε αντίγραφο της τραπεζικής κάρτας.
Όμως οι σύγχρονες κινητές πληρωμές μπορούν να χρησιμοποιούν έναν πρόσθετο μηχανισμό — την τοκενοποίηση.
Τι είναι η τοκενοποίηση
Με απλά λόγια, η συσκευή δεν χρειάζεται απαραίτητα να μεταδώσει στον πωλητή τον πραγματικό αριθμό της φυσικής κάρτας.
Αντί για αυτόν μπορεί να χρησιμοποιηθεί ένα άλλο αναγνωριστικό πληρωμής.
Αυτό μειώνει την ανάγκη μετάδοσης των αρχικών στοιχείων της κάρτας σε κάθε συναλλαγή.
Γιατί χρειάζεται η τοκενοποίηση
Ας φανταστούμε δύο προσεγγίσεις.
Πρώτη: σε κάθε αγορά η συσκευή μεταδίδει το ίδιο κύριο αναγνωριστικό της κάρτας.
Δεύτερη: για τη συσκευή κινητής πληρωμής χρησιμοποιείται ένα ειδικό token.
Στη δεύτερη περίπτωση, η υποκλοπή δεδομένων ενός συγκεκριμένου σεναρίου πληρωμής δεν αποκαλύπτει απαραίτητα τα αρχικά στοιχεία της φυσικής κάρτας.
Έτσι η τοκενοποίηση μειώνει την αξία των υποκλαπέντων δεδομένων για τον κακόβουλο χρήστη.
Γιατί η πληρωμή με smartphone μπορεί να είναι ασφαλέστερη από τη μετάδοση των στοιχείων της κάρτας
Κατά τη χρήση σύγχρονων λύσεων κινητών πληρωμών μπορούν να εφαρμόζονται ταυτόχρονα:
- η τοκενοποίηση·
- η βιομετρία·
- ο κωδικός ξεκλειδώματος της συσκευής·
- τα υλικά μέσα προστασίας του τηλεφώνου·
- κρυπτογραφικοί μηχανισμοί·
- τα συστήματα αντι-απάτης της τράπεζας.
Γι' αυτό το smartphone δεν πρέπει να θεωρείται απλώς ως μια εικόνα τραπεζικής κάρτας στην οθόνη.
Πρόκειται για ξεχωριστή συσκευή πληρωμών με δικούς της μηχανισμούς ασφαλείας.
Δακτυλικό αποτύπωμα και αναγνώριση προσώπου
Για την επιβεβαίωση μιας κινητής πληρωμής, το smartphone μπορεί να χρησιμοποιήσει βιομετρική αυθεντικοποίηση.
Για παράδειγμα:
- δακτυλικό αποτύπωμα·
- αναγνώριση προσώπου.
Στο πλαίσιο μιας κινητής πληρωμής, η βιομετρία βοηθά τη συσκευή να καθορίσει αν ο χρήστης έχει το δικαίωμα να επιβεβαιώσει τη συναλλαγή.
Ταυτόχρονα, η συγκεκριμένη υλοποίηση εξαρτάται από τη συσκευή και την πλατφόρμα πληρωμών.
Τι συμβαίνει κατά την αγορά στο Διαδίκτυο
Η διαδικτυακή πληρωμή διαφέρει από την αγορά σε ένα συνηθισμένο κατάστημα.
Η φυσική κάρτα ενδέχεται να μην αλληλεπιδρά καθόλου με το τερματικό.
Ο χρήστης εισάγει τα στοιχεία πληρωμής στην ιστοσελίδα ή χρησιμοποιεί μια κάρτα που έχει ήδη αποθηκευτεί.
Ένα τέτοιο σενάριο ονομάζεται συναλλαγή χωρίς φυσική παρουσίαση της κάρτας.
Ταυτόχρονα προκύπτει ένα πρόσθετο πρόβλημα.
Πώς μπορεί η τράπεζα να καταλάβει ότι τα στοιχεία της κάρτας τα εισάγει πράγματι ο κάτοχός της;
Για αυτό χρησιμοποιούνται πρόσθετοι μηχανισμοί αυθεντικοποίησης.
Γιατί ο αριθμός της κάρτας από μόνος του δεν αρκεί
Το ηλεκτρονικό κατάστημα μπορεί να ζητήσει:
- τον αριθμό της κάρτας·
- την ημερομηνία λήξης·
- τον κωδικό ασφαλείας.
Όμως τα σύγχρονα συστήματα ασφαλείας δεν περιορίζονται απαραίτητα σε αυτά τα δεδομένα.
Η τράπεζα μπορεί να ζητήσει επιπλέον επιβεβαίωση. Για παράδειγμα:
- στην τραπεζική εφαρμογή·
- με έναν κωδικό μίας χρήσης·
- με χρήση βιομετρίας·
- με άλλον διαθέσιμο τρόπο.
Έτσι, η γνώση των στοιχείων της κάρτας δεν σημαίνει πάντα τη δυνατότητα ανεμπόδιστης ολοκλήρωσης μιας αγοράς.
Τι είναι το 3-D Secure
Κατά τις διαδικτυακές αγορές, ο χρήστης μπορεί να συναντήσει πρόσθετη επιβεβαίωση της συναλλαγής.
Μία από τις τεχνολογίες που χρησιμοποιούνται για αυτόν τον σκοπό είναι το 3-D Secure.
Ο χρήστης μπορεί να δει:
- ειδοποίηση στην τραπεζική εφαρμογή·
- οθόνη επιβεβαίωσης·
- αίτημα πρόσθετης αυθεντικοποίησης.
Το συγκεκριμένο σενάριο εξαρτάται από την τράπεζα, το σύστημα πληρωμών, το κατάστημα και τις παραμέτρους της συναλλαγής.
Γιατί η επιβεβαίωση δεν εμφανίζεται σε κάθε διαδικτυακή αγορά
Αυτό είναι ένα σημαντικό ερώτημα.
Ορισμένες διαδικτυακές αγορές απαιτούν πρόσθετη επιβεβαίωση.
Άλλες ολοκληρώνονται χωρίς ξεχωριστή ενέργεια από τον χρήστη.
Αυτό δεν σημαίνει απαραίτητα ότι στη δεύτερη περίπτωση δεν υπάρχει προστασία.
Τα σύγχρονα συστήματα πληρωμών και οι τράπεζες μπορούν να αξιολογούν τον κίνδυνο της συναλλαγής αυτόματα.
Λαμβάνονται υπόψη διάφορες παράμετροι. Για παράδειγμα:
- το ποσό·
- η συσκευή·
- ο πωλητής·
- το προηγούμενο ιστορικό·
- τα χαρακτηριστικά της πληρωμής·
- άλλα ενδεικτικά στοιχεία κινδύνου.
Ανάλογα με το αποτέλεσμα, η τράπεζα μπορεί να απαιτήσει πρόσθετη επιβεβαίωση ή να επιτρέψει τη συναλλαγή χωρίς πρόσθετη ενέργεια από τον χρήστη.
Τι είναι ο κωδικός μίας χρήσης
Μερικές φορές η τράπεζα στέλνει στον χρήστη έναν κωδικό για την επιβεβαίωση της συναλλαγής.
Η λέξη-κλειδί εδώ είναι μίας χρήσης.
Έναν τέτοιο κωδικό δεν πρέπει να τον αντιμετωπίζετε ως συνηθισμένο κωδικό πρόσβασης που μπορεί να πείτε σε άλλο άτομο.
Αν ο κωδικός προορίζεται για την επιβεβαίωση μιας πληρωμής, το άτομο που τον έλαβε αποκτά ενδεχομένως τη δυνατότητα να επιβεβαιώσει την αντίστοιχη συναλλαγή.
Γιατί δεν πρέπει να αποκαλύπτετε τους κωδικούς επιβεβαίωσης
Ένα από τα πιο διαδεδομένα σχήματα απάτης δεν βασίζεται στην παραβίαση του τραπεζικού συστήματος, αλλά στην πειθώ του ίδιου του χρήστη να αποκαλύψει οικειοθελώς τον κωδικό.
Για παράδειγμα, ο κακόβουλος χρήστης μπορεί να πει:
«Είμαι υπάλληλος της υπηρεσίας ασφαλείας. Πείτε μου τον κωδικό για να ακυρώσουμε την ύποπτη συναλλαγή.»
Όμως ο κωδικός μπορεί στην πραγματικότητα να επιβεβαιώνει ακριβώς εκείνη τη συναλλαγή που προσπαθεί να πραγματοποιήσει ο κακόβουλος χρήστης.
Ο χρήστης νομίζει ότι ακυρώνει την πληρωμή. Στην πραγματικότητα την επιβεβαιώνει.
Γι' αυτό είναι απαραίτητο να διαβάζετε προσεκτικά το κείμενο της ειδοποίησης και να μην αποκαλύπτετε ποτέ τους κωδικούς επιβεβαίωσης σε αγνώστους.
Τι είναι το phishing
Μια σελίδα phishing μπορεί εξωτερικά να μοιάζει πολύ με:
- ηλεκτρονικό κατάστημα·
- ιστοσελίδα τράπεζας·
- υπηρεσία πληρωμών·
- σελίδα παράδοσης·
- σελίδα επιβεβαίωσης λογαριασμού.
Ο χρήστης εισάγει τα στοιχεία του, πιστεύοντας ότι επικοινωνεί με μια γνήσια υπηρεσία.
Όμως οι πληροφορίες φτάνουν στον κακόβουλο χρήστη.
Γιατί το phishing είναι επικίνδυνο ακόμη και με ένα προστατευμένο τραπεζικό σύστημα
Η τράπεζα μπορεί να χρησιμοποιεί:
- κρυπτογράφηση·
- κρυπτογραφία·
- προστατευμένους διακομιστές·
- συστήματα αντι-απάτης·
- πολυπαραγοντική αυθεντικοποίηση.
Όμως αν ο ίδιος ο χρήστης μεταδίδει οικειοθελώς στον κακόβουλο χρήστη τα απαραίτητα δεδομένα και επιβεβαιώνει τη συναλλαγή, μέρος των τεχνικών μηχανισμών ασφαλείας μπορεί να παρακαμφθεί.
Ο απατεώνας σε αυτή την περίπτωση δεν παραβιάζει την τράπεζα — παρακάμπτει την προστασία εξαπατώντας τον ίδιο τον χρήστη.
Γι' αυτό η προστασία της τραπεζικής κάρτας δεν εξαρτάται μόνο από τις τεχνολογίες της τράπεζας. Εξαρτάται επίσης από τη συμπεριφορά του κατόχου της κάρτας.
Μπορεί κανείς να φωτογραφίζει την τραπεζική κάρτα
Το να φωτογραφίζετε την κάρτα χωρίς λόγο δεν συνιστάται.
Ιδιαίτερα επικίνδυνο είναι:
- να στέλνετε φωτογραφία της κάρτας σε messenger·
- να τη δημοσιεύετε σε κοινωνικά δίκτυα·
- να αποθηκεύετε φωτογραφίες της κάρτας σε δημόσια προσβάσιμα μέρη·
- να στέλνετε την εικόνα σε αγνώστους.
Η φωτογραφία μπορεί να αποκαλύψει μέρος των στοιχείων πληρωμής.
Αν σε μία εικόνα φαίνονται και οι δύο πλευρές της κάρτας, ενδεχομένως να αποκαλυφθούν ακόμη περισσότερες πληροφορίες.
Τι να κάνετε αν χρειαστεί να δώσετε τον αριθμό της κάρτας
Σε ορισμένες περιπτώσεις ένα άτομο μπορεί πράγματι να χρειαστεί να δώσει ένα στοιχείο για τη λήψη μεταφοράς ή άλλης επιτρεπόμενης συναλλαγής.
Είναι σημαντικό να καταλαβαίνετε ποια ακριβώς δεδομένα χρειάζονται για τη συγκεκριμένη εργασία.
Δεν πρέπει να δίνετε περισσότερες πληροφορίες από όσες χρειάζονται.
Ιδιαίτερα δεν πρέπει να δίνετε μαζί:
- το PIN·
- τον κωδικό πρόσβασης της τραπεζικής εφαρμογής·
- τους κωδικούς επιβεβαίωσης·
- τα στοιχεία σύνδεσης στην ηλεκτρονική τράπεζα.
Ο παραλήπτης της πληρωμής δεν χρειάζεται να γνωρίζει τα μυστικά δεδομένα με τα οποία επιβεβαιώνονται οι συναλλαγές σας.
Μπορεί ένας υπάλληλος τράπεζας να ζητήσει το PIN
Δεν χρειάζεται να πείτε το PIN της κάρτας σε υπάλληλο τράπεζας.
Η τράπεζα δεν χρειάζεται να ζητήσει από τον πελάτη το μυστικό PIN για:
- τον έλεγχο της κατάστασης της κάρτας·
- το κλείδωμα της κάρτας·
- τη διερεύνηση ύποπτης συναλλαγής·
- τον έλεγχο του υπολοίπου·
- την ακύρωση ενός αιτήματος.
Το ίδιο ισχύει και για τον κωδικό πρόσβασης της τραπεζικής εφαρμογής και τους κωδικούς επιβεβαίωσης μίας χρήσης.
Αν κάποιος στο τηλέφωνο απαιτεί επίμονα τέτοια δεδομένα, η συνομιλία πρέπει να διακόπτεται και να επικοινωνείτε μόνοι σας με την τράπεζα μέσω επίσημου καναλιού.
Τι είναι το skimming
Μια ακόμη απειλή σχετίζεται με την προσπάθεια παράνομης αντιγραφής των δεδομένων της κάρτας.
Ιστορικά, ιδιαίτερο ρόλο εδώ έπαιζαν τα δεδομένα της μαγνητικής λωρίδας.
Οι κακόβουλοι χρήστες μπορούσαν να εγκαθιστούν πρόσθετες συσκευές σε:
- ATM·
- τερματικά πληρωμών·
- άλλες συσκευές ανάγνωσης καρτών.
Ταυτόχρονα μπορεί να επιχειρούνταν να μάθουν το PIN. Για παράδειγμα:
- με κρυφή κάμερα·
- με πλαστό πληκτρολόγιο·
- με οπτική παρακολούθηση.
Πώς να μειώσετε τον κίνδυνο κατά τη χρήση ATM
Πριν από τη χρήση ενός ATM είναι χρήσιμο να προσέξετε την κατάστασή του.
Ασυνήθιστα μπορεί να είναι:
- κακά στερεωμένα στοιχεία·
- πρόσθετα καλύμματα·
- κατεστραμμένη υποδοχή κάρτας·
- ασυνήθιστο πληκτρολόγιο·
- ύποπτες συσκευές δίπλα.
Κατά την εισαγωγή του PIN είναι λογικό να καλύπτετε το πληκτρολόγιο με το άλλο χέρι.
Αν το ATM φαίνεται κατεστραμμένο ή ασυνήθιστο, καλύτερα να χρησιμοποιήσετε άλλη συσκευή.
Απώλεια κάρτας
Αν η φυσική κάρτα χαθεί, πρέπει να ενεργήσετε γρήγορα.
Οι σύγχρονες τραπεζικές εφαρμογές συχνά επιτρέπουν το προσωρινό κλείδωμα της κάρτας μόνοι σας.
Αυτό είναι χρήσιμο αν το άτομο δεν είναι σίγουρο: η κάρτα έχει πράγματι κλαπεί, ή απλώς βρίσκεται κάπου ανάμεσα στα πράγματά του.
Αν η κάρτα βρεθεί, ορισμένες τράπεζες επιτρέπουν την άρση του προσωρινού κλειδώματος.
Αν υπάρχουν λόγοι να θεωρείτε ότι τα δεδομένα της κάρτας έχουν διαρρεύσει, είναι ασφαλέστερο να απευθυνθείτε στην τράπεζα και να αντικαταστήσετε την κάρτα.
Τι να κάνετε σε περίπτωση άγνωστης συναλλαγής
Ας φανταστούμε μια κατάσταση.
Ο χρήστης ανοίγει την τραπεζική εφαρμογή και βλέπει: Αγορά: 74 €.
Ξέρει σίγουρα ότι δεν την πραγματοποίησε.
Δεν πρέπει να περιμένετε να εμφανιστεί η επόμενη συναλλαγή.
Πρέπει όσο το δυνατόν πιο γρήγορα:
- να ελέγξετε την κατάσταση της συναλλαγής·
- να κλειδώσετε την κάρτα ή να περιορίσετε τη χρήση της·
- να επικοινωνήσετε με την τράπεζα μέσω επίσημου καναλιού·
- να ακολουθήσετε τις περαιτέρω οδηγίες της τράπεζας.
Όσο πιο γρήγορα μάθει η τράπεζα για την πιθανή διαρροή της κάρτας, τόσο πιο γρήγορα μπορούν να περιοριστούν οι επόμενες συναλλαγές.
Γιατί οι ειδοποιήσεις της τράπεζας είναι χρήσιμες
Οι ειδοποιήσεις πληρωμών αποτελούν σημαντικό στοιχείο ελέγχου.
Ας φανταστούμε ότι η κάρτα έχει διαρρεύσει.
Ο κακόβουλος χρήστης πραγματοποιεί μια μικρή δοκιμαστική αγορά: 2 €.
Αν ο κάτοχος βλέπει αμέσως την άγνωστη συναλλαγή, μπορεί να κλειδώσει έγκαιρα την κάρτα.
Αν οι ειδοποιήσεις είναι απενεργοποιημένες και το ιστορικό συναλλαγών δεν ελέγχεται, οι επόμενες πληρωμές μπορεί να είναι σημαντικά μεγαλύτερες.
Γι' αυτό οι ειδοποιήσεις επιτρέπουν να παρατηρήσετε πιο γρήγορα μια ασυνήθιστη δραστηριότητα.
Γιατί χρειάζονται τα όρια
Τα όρια τα έχουμε ήδη εξετάσει στο προηγούμενο μέρος.
Τώρα ας τα δούμε ακριβώς από την οπτική της ασφάλειας.
Ας φανταστούμε ότι στον τραπεζικό λογαριασμό υπάρχουν: 12 000 €.
Όμως για τις διαδικτυακές αγορές έχει οριστεί ημερήσιο όριο: 500 €.
Ακόμη κι αν τα δεδομένα της κάρτας διαρρεύσουν, ο κακόβουλος χρήστης δεν θα μπορέσει να ξοδέψει ανεξέλεγκτα όλο το υπόλοιπο μέσω αυτού του τύπου συναλλαγών.
Το όριο δεν αποτρέπει το ίδιο το γεγονός της διαρροής. Όμως μπορεί να μειώσει την πιθανή ζημιά.
Εικονικές κάρτες
Ορισμένες τράπεζες επιτρέπουν τη δημιουργία ξεχωριστών εικονικών καρτών.
Μπορεί να χρησιμοποιηθεί, για παράδειγμα:
- για διαδικτυακές αγορές·
- για συνδρομές·
- για κινητές πληρωμές·
- για τον διαχωρισμό διαφορετικών τύπων εξόδων.
Η εικονική κάρτα μπορεί να έχει:
- ξεχωριστό αριθμό·
- ξεχωριστή ημερομηνία λήξης·
- ξεχωριστό κωδικό ασφαλείας·
- ξεχωριστά όρια.
Γιατί μια ξεχωριστή εικονική κάρτα μπορεί να είναι χρήσιμη
Ας φανταστούμε ότι ο κύριος λογαριασμός χρησιμοποιείται για τη διατήρηση σημαντικού ποσού.
Ο χρήστης δημιουργεί μια ξεχωριστή εικονική κάρτα για διαδικτυακές αγορές και ορίζει όριο: 300 € τον μήνα.
Τώρα δεν χρειάζεται να εισάγει τα στοιχεία της κύριας φυσικής κάρτας σε κάθε ιστοσελίδα.
Αυτό δεν κάνει τις διαδικτυακές αγορές απολύτως ασφαλείς. Όμως βοηθά να διαχωριστούν τα σενάρια πληρωμών και να περιοριστεί η πιθανή ζημιά.
Στοιχεία μίας χρήσης ή δυναμικά στοιχεία
Ορισμένες τραπεζικές και λύσεις πληρωμών μπορούν να χρησιμοποιούν στοιχεία που αλλάζουν ή προορίζονται για περιορισμένη χρήση.
Το νόημα τέτοιων μηχανισμών είναι να μειώσουν την αξία των κλεμμένων δεδομένων πληρωμής.
Αν ένα συγκεκριμένο στοιχείο λειτουργεί μόνο:
- για περιορισμένο χρόνο·
- για συγκεκριμένη συναλλαγή·
- σε συγκεκριμένο σενάριο,
η επαναχρησιμοποίησή του από τον κακόβουλο χρήστη γίνεται σημαντικά πιο δύσκολη.
Γιατί δεν πρέπει να εισάγετε τα στοιχεία της κάρτας σε οποιαδήποτε ιστοσελίδα
Η όμορφη εμφάνιση μιας ιστοσελίδας δεν αποτελεί απόδειξη της αξιοπιστίας της.
Μια σύγχρονη ιστοσελίδα μπορεί να αντιγραφεί με αρκετή ακρίβεια.
Γι' αυτό, πριν από την εισαγωγή στοιχείων πληρωμής, είναι σημαντικό να βεβαιωθείτε ότι ο χρήστης βρίσκεται πράγματι στη σωστή ιστοσελίδα ή στη σωστή εφαρμογή.
Ιδιαίτερη προσοχή πρέπει να δίνεται σε συνδέσμους που λαμβάνονται μέσω:
- απρόσμενων μηνυμάτων·
- ηλεκτρονικού ταχυδρομείου·
- κοινωνικών δικτύων·
- messenger·
- SMS.
Αν ένα μήνυμα προκαλεί αμφιβολίες, είναι ασφαλέστερο να ανοίξετε μόνοι σας την επίσημη ιστοσελίδα ή εφαρμογή της υπηρεσίας, χωρίς να χρησιμοποιήσετε τον σύνδεσμο που στάλθηκε.
Γιατί δεν πρέπει να εγκαθιστάτε εφαρμογές μετά από αίτημα αγνώστου
Ορισμένα σχήματα απάτης δομούνται ως εξής.
Ένα άτομο παρουσιάζεται ως:
- υπάλληλος τράπεζας·
- ειδικός της υπηρεσίας ασφαλείας·
- υπάλληλος τεχνικής υποστήριξης.
Στη συνέχεια ζητά να εγκατασταθεί μια εφαρμογή για «έλεγχο του τηλεφώνου», «προστασία του λογαριασμού» ή «ακύρωση ύποπτης συναλλαγής».
Στην πραγματικότητα αυτό μπορεί να είναι ένα πρόγραμμα απομακρυσμένης διαχείρισης της συσκευής.
Αν ένας ξένος αποκτήσει τη δυνατότητα να βλέπει την οθόνη ή να ελέγχει το τηλέφωνο, ενδεχομένως να μπορεί να παρακολουθεί:
- τραπεζικές ειδοποιήσεις·
- κωδικούς επιβεβαίωσης·
- ενέργειες του χρήστη.
Γι' αυτό δεν πρέπει να εγκαθιστάτε λογισμικό απομακρυσμένης πρόσβασης μόνο επειδή το ζήτησε ένας άγνωστος συνομιλητής.
Η ασφάλεια βασίζεται σε πολλά επίπεδα
Τώρα ας συνδυάσουμε όλους τους μηχανισμούς που εξετάσαμε.
Η ασφάλεια μιας πληρωμής με κάρτα μπορεί να παρασταθεί ως αρκετά επίπεδα.
Επίπεδο 1. Φυσική κάρτα. Χρησιμοποιούνται: μικροτσίπ· προστατευμένα δεδομένα πληρωμής· τεχνικοί μηχανισμοί ελέγχου της κάρτας.
Επίπεδο 2. Επιβεβαίωση του χρήστη. Χρησιμοποιούνται: PIN· βιομετρία· κωδικός συσκευής· πρόσθετη διαδικτυακή αυθεντικοποίηση.
Επίπεδο 3. Έλεγχος της τράπεζας. Η τράπεζα ελέγχει: το υπόλοιπο· τα όρια· την κατάσταση της κάρτας· τα χαρακτηριστικά της συναλλαγής· τα ενδεικτικά στοιχεία απάτης.
Επίπεδο 4. Υποδομή πληρωμών. Χρησιμοποιούνται: τυποποιημένα πρωτόκολλα· κρυπτογραφικοί μηχανισμοί· έλεγχος ορθότητας των μηνυμάτων· κανόνες των συστημάτων πληρωμών.
Επίπεδο 5. Συμπεριφορά του χρήστη. Ο χρήστης πρέπει: να προστατεύει το PIN· να μην αποκαλύπτει κωδικούς μίας χρήσης· να είναι προσεκτικός με τους συνδέσμους· να ελέγχει τις συναλλαγές· να κλειδώνει έγκαιρα μια χαμένη κάρτα.
Αν όλα τα επίπεδα λειτουργούν ταυτόχρονα, η πιθανότητα επιτυχούς απάτης μειώνεται σημαντικά.
- 1Κάρτα ή συσκευή. Μηχανισμοί: μικροτσίπ, EMV, τοκενοποίηση. Παράδειγμα απειλής: αντιγραφή δεδομένων της κάρτας (skimming). Παράδειγμα προστασίας: το τσιπ δημιουργεί μοναδικά δεδομένα για κάθε συναλλαγή, ενώ το token αντικαθιστά τον πραγματικό αριθμό της κάρτας.
- 2Αυθεντικοποίηση του χρήστη. Μηχανισμοί: PIN, βιομετρία, κωδικός συσκευής, πρόσθετη διαδικτυακή αυθεντικοποίηση. Παράδειγμα απειλής: το PIN ή ο κωδικός μίας χρήσης αποκαλύφθηκε σε απατεώνα. Παράδειγμα προστασίας: η αυθεντικοποίηση επιβεβαιώνει ότι τη συναλλαγή την πραγματοποιεί πράγματι ο κάτοχος της κάρτας.
- 3Έλεγχος της τράπεζας. Μηχανισμοί: έλεγχος υπολοίπου, ορίων, κατάστασης της κάρτας, χαρακτηριστικών της συναλλαγής, ανάλυση αντι-απάτης. Παράδειγμα απειλής: προσπάθεια να ξοδευτεί όλο το υπόλοιπο του λογαριασμού μέσω διαρρεύσασας κάρτας. Παράδειγμα προστασίας: τα όρια και το σύστημα αντι-απάτης περιορίζουν και σταματούν τις ύποπτες συναλλαγές.
- 4Υποδομή πληρωμών. Μηχανισμοί: τυποποιημένα πρωτόκολλα, κρυπτογραφικοί μηχανισμοί, έλεγχος ορθότητας μηνυμάτων, κανόνες συστημάτων πληρωμών. Παράδειγμα απειλής: αλλοίωση ή παραποίηση δεδομένων της συναλλαγής κατά τη μετάδοση. Παράδειγμα προστασίας: οι κρυπτογραφικοί μηχανισμοί και οι κανόνες των συστημάτων πληρωμών προστατεύουν την ακεραιότητα των δεδομένων της συναλλαγής.
- 5Ασφαλής συμπεριφορά του χρήστη. Ο χρήστης πρέπει: να προστατεύει το PIN, να μην αποκαλύπτει κωδικούς μίας χρήσης, να είναι προσεκτικός με τους συνδέσμους, να ελέγχει τις συναλλαγές, να κλειδώνει έγκαιρα μια χαμένη κάρτα. Παράδειγμα απειλής: μήνυμα phishing ή κλήση από «υπάλληλο τράπεζας» που πείθει να αποκαλυφθεί κωδικός επιβεβαίωσης. Παράδειγμα προστασίας: η προσοχή και η άρνηση να δοθούν μυστικά δεδομένα σε αγνώστους σταματούν την απάτη, ακόμη κι αν οι τεχνικοί μηχανισμοί έχουν ήδη παρακαμφθεί.
Ποια δεδομένα πρέπει να προστατεύονται
- 1Ο αριθμός της κάρτας — στοιχείο πληρωμής. Να μην δημοσιεύεται χωρίς λόγο.
- 2Η ημερομηνία λήξης — χρησιμοποιείται σε ορισμένα σενάρια πληρωμών. Δεν πρέπει να δίνεται χωρίς λόγο μαζί με άλλα στοιχεία της κάρτας.
- 3Ο κωδικός ασφαλείας — ευαίσθητο στοιχείο πληρωμής. Να μην δημοσιεύεται και να μην αποκαλύπτεται σε αγνώστους.
- 4Το PIN — μυστικός κωδικός του χρήστη. Να μην αποκαλύπτεται σε κανέναν.
- 5Ο κωδικός επιβεβαίωσης μίας χρήσης — προορίζεται για την επιβεβαίωση συγκεκριμένης ενέργειας. Να μην αποκαλύπτεται σε κανέναν.
- 6Ο κωδικός πρόσβασης της τραπεζικής εφαρμογής — προορίζεται μόνο για τον κάτοχο του λογαριασμού. Να μην αποκαλύπτεται σε κανέναν.
Τι ακολουθεί
Τώρα έχουμε αναλύσει σχεδόν ολόκληρο τον κύκλο ζωής μιας συνηθισμένης πληρωμής με κάρτα.
Ήδη γνωρίζετε:
- τι είναι μια τραπεζική κάρτα·
- από ποια στοιχεία αποτελείται·
- ποιος συμμετέχει στην πληρωμή·
- τι συμβαίνει μετά το άγγιγμα της κάρτας·
- γιατί τα χρήματα μπορεί να μην χρεώνονται αμέσως·
- γιατί η πληρωμή μερικές φορές απορρίπτεται·
- με ποιον τρόπο προστατεύονται οι τραπεζικές κάρτες και οι συναλλαγές πληρωμών.
Απομένει να συνδέσουμε όλες αυτές τις γνώσεις σε μία ενιαία εικόνα.
Στο επόμενο, τελευταίο μέρος του μαθήματος θα συνοψίσουμε, θα ακολουθήσουμε ολόκληρη τη διαδρομή μιας πληρωμής με κάρτα από την αρχή έως το τέλος και θα ελέγξουμε πόσο καλά κατανοήσατε το υλικό.
- ο αριθμός κάρτας και ο αριθμός τραπεζικού λογαριασμού δεν είναι το ίδιο πράγμα
- το PIN και ο κωδικός ασφαλείας της κάρτας εξυπηρετούν διαφορετικές λειτουργίες
- το PIN δεν πρέπει ποτέ να λέγεται σε άλλους
- οι κωδικοί επιβεβαίωσης μιας χρήσης επίσης δεν πρέπει να δίνονται σε τρίτους
- το μικροτσίπ κάνει τις σύγχρονες συναλλαγές με κάρτα σημαντικά πιο δύσκολες στην απλή αντιγραφή
- το EMV καθορίζει σημαντικούς κανόνες αλληλεπίδρασης σύγχρονων καρτών και τερματικών
- το NFC χρησιμοποιείται για ανταλλαγή δεδομένων χωρίς επαφή σε πολύ μικρή απόσταση
- η πληρωμή με smartphone μπορεί να χρησιμοποιεί τοκενοποίηση, ώστε να μην μεταδίδεται το βασικό στοιχείο της κάρτας σε απλή μορφή
- οι πληρωμές μέσω διαδικτύου μπορεί να απαιτούν πρόσθετη ταυτοποίηση
- το 3-D Secure είναι ένας από τους μηχανισμούς πρόσθετου ελέγχου εξ αποστάσεως συναλλαγών με κάρτα
- το phishing κάνει τον χρήστη να παραδώσει μόνος του πολύτιμα δεδομένα στον απατεώνα
- η ύπαρξη ασφαλούς σύνδεσης με έναν ιστότοπο από μόνη της δεν εγγυάται ότι ο ιστότοπος ανήκει σε αξιόπιστο οργανισμό
- το skimming σχετίζεται με την παράνομη απόκτηση δεδομένων κάρτας μέσω πρόσθετων ή τροποποιημένων συσκευών
- τα όρια και οι ειδοποιήσεις βοηθούν να μειωθεί η ζημιά και να εντοπιστεί ταχύτερα ύποπτη δραστηριότητα
- σε περίπτωση απώλειας κάρτας ή εντοπισμού άγνωστης συναλλαγής, πρέπει να ενεργήσετε όσο το δυνατόν πιο γρήγορα
- η ασφάλεια της κάρτας βασίζεται σε πολλαπλά επίπεδα, όχι σε έναν μόνο μηχανισμό προστασίας