Głupia sytuacja? Gdy ktoś chce ukraść ci pieniądze z karty, a bank ci o tym nie powie. Po co miałby mówić? Bo w końcu złodziejowi się uda

Gdy ktoś chce ukraść Ci pieniądze, a bank o tym nie powie. Sytuacja, która może zdarzyć się każdemu – nagle na karcie płatniczej pojawiają się transakcje, których nie dokonywaliśmy. Co wówczas robić? Pierwszy odruch jest taki – dzwonić do banku. A drugi? Zgłaszać sprawę na policję. I mieć nadzieję, że w banku potraktują sprawę poważnie. Ale pan Piotr dowiedział się, że to nie pierwszy raz chciano go okraść, poprzednie próby były nieudane. Dlaczego bank go nie ostrzegł, że jest „na celowniku” złodziei?

Tuż przed początkiem jednego z letnich weekendów, w piątek ok. godz. 15.00, pan Piotr zauważył – zupełnym przypadkiem, logując się na swoje konto w bankowości elektronicznej Banku Pekao, żeby zapłacić jakiś rachunek – trzy transakcje opisane jako „PlayStation Network Hilversum”. Każda była zrealizowana w walucie euro. A kwoty? Niemałe. Odpowiednio: 119,99 euro, 23,09 euro i 136,98 euro. Ktoś nieźle poszalał.

Ciekawe? Po przeczytaniu wróć tutaj, kliknij i odkryj sprawdzone patenty Samcika na ochronę przed inflacją

Nie był to mój czytelnik. Pan Piotr zeznaje, że nie ma konta w uniwersum Playstation, nie ma także takiej konsoli, nie kupował nigdy żadnych usług na tej platformie gamingowej, ani nikt z jego bliskich także ich nie kupował. To są rzeczy łatwo sprawdzalne, więc wiem, że pan Piotr w tej sprawie prawdę prawi. Jasne więc jest, że te zakupy zostały zrealizowane przez kogoś innego, kto ukradł dane pozwalające na ich dokonanie.

„Pierwsze moje podejrzenie było takie, że zgubiłem kartę, ktoś wszedł w jej posiadanie i zrealizował te transakcje, posługując się danymi z karty. Ale fizyczną kartą posługuję się niezwykle rzadko, najczęściej płacę zbliżeniowo telefonem. Karty fizycznej używam do opłacania subskrypcji za serwisy streamingowe, względnie za rezerwacje pobytów w hotelach, zakupy w Allegro lub na Amazon.pl. Zadzwoniłem zatem do banku i poprosiłem o zastrzeżenie karty, żeby zablokować kolejne transakcje.”

Po powrocie do domu pan Piotr sprawdził, że karta jest tam, gdzie zwykle, czyli w szufladzie biurka. Nie ma więc fizycznie możliwości, żeby ktokolwiek posłużył się tą kartą. Choć oczywiście nadal jest prawdopodobne, że jej dane wyciekły z któregoś z serwisów streamingowych, gdzie karta była używana jako źródło płatności. W dużej części e-sklepów działa już mechanizm tokenizacji, a więc do sklepów jest dostarczany token, a nie dane karty (złodziejowi taki token nic nie da). Ale w tym przypadku e-sklep (serwis streamingowy) mógł takiej tokenizacji nie stosować.

Od pracownika infolinii – i tu zaczyna się główny problem – pan Piotr dowiedział się, że próby realizowania zakupów z użyciem danych jego karty miały miejsce już kilka dni wcześniej. Próbowano m.in. zarezerwować pobyt w hotelu w Antwerpii. Te próby się nie powiodły, ponieważ przestępca podawał tylko część danych karty.

„Prób transakcji było kilka, przy żadnej z nich bank ani nie sprawdził, czy to faktycznie ja próbuję realizować te zakupy, ani nie wysłał żadnego monitu w żadnym z dostępnych kanałów kontaktu (mam odblokowane dla kontaktów z bankiem możliwości komunikacji SMS-em, e-mailem i aplikacją PeoPay, a bank obficie z tego korzysta w celach marketingowych). Także podczas sfinalizowanych z sukcesem transakcji w Playstation Network nie pojawiło się żadne powiadomienie, ostrzeżenie ani żądanie autoryzacji.”

W tym czasie mój czytelnik fizycznie przebywał w Bieszczadach, realizując tam systematycznie płatności z tego samego rachunku, z którego zniknęła kasa w złodziejskiej transakcji kartowej. Nie zwróciło to uwagi banku, podobnie jak seria nieudanych prób zakupu kosztownych usług i kilkukrotne posłużenie się częściowo błędnymi danymi autoryzacyjnymi w celu ich zakupu. Bank nie uznał reklamacji, stwierdzając:

„Pana reklamację uznaliśmy za niezasadną. Usługę wykonaliśmy prawidłowo. Konto obciążyliśmy, ponieważ otrzymaliśmy wszystkie wymagane dane autoryzacyjne, czyli dane określone w Regulaminie konta. Transakcja została zatwierdzona poprzez wpisanie prawidłowych danych autoryzacyjnych, tj. numeru karty, daty ważności i kodu CVC2, który jest znany tylko posiadaczowi karty. W działaniu systemu banku nie zostały stwierdzone żadne błędy lub awarie, nie stwierdzono przechwycenia danych karty lub jej sfałszowania.”

Z perspektywy czytelnika sytuacja wygląda zgoła inaczej, złożył więc reklamację w banku oraz zawiadomienie o popełnieniu przestępstwa na jego szkodę na posterunku Policji. Potwierdzenie tego zawiadomienia załączył do złożonej reklamacji. Pan Piotr pracuje w branży związanej z technologiami i bezpieczeństwem, jest więc świadomym użytkownikiem kart płatniczych, ma wszystkie zabezpieczenia, na bieżąco kontroluje sytuację finansową i historię transakcji w aplikacjach mobilnych. Na bieżącym rachunku nie przechowuje znacznych kwot.

„Jest to bulwersujące. Bank, w którym mam konto i wszystkie potrzebne mi produkty finansowe od 13 lat, który wie o mnie wszystko, w żaden sposób nie alarmuje mnie, że mogę stać się ofiarą oszustwa, ani nie poczuwa się do żadnej odpowiedzialności w sytuacji, gdy tą ofiarą się staję”

– pisze rozczarowany pan Piotr. Tyle jego historii. Czas na kilka hipotez. Oczywiście nie możemy mieć pewności, że złodziej – w ramach celowanego ataku – najpierw próbował wykorzystać niekompletne dane, a potem stopniowo je uzupełniać. Znam przypadki ataków, które trwają miesiącami. Złodzieje zbierają dane, próbują różnymi sposobami dostać się do e-maila klienta, poznać algorytmy, jakimi kieruje się przy ustawianiu haseł, kolekcjonują wiedzę socjotechniczną, żeby ostatecznie podszyć się pod bank albo pod sklep.

Takie celowane ataki są jednak kosztowne i zwykle dotyczą bardzo zamożnych osób, gdy można ukraść setki tysięcy złotych albo miliony euro. Tutaj raczej szans na złoty strzał nie było, bo pan Piotr na koncie powiązanym z kartą trzymał niewielkie kwoty pieniędzy. Gdyby atak był celowany, dotyczyłby wszystkich jego rachunków.

Bank powinien jednak dołożyć starań, by zbadać sytuację i jej okoliczności. Nawet nie w interesie tego kolejnego klienta, lecz w interesie wszystkich innych, którzy też mogliby stać się ofiarami podobnego schematu ataku. Kto usiłował dokonać wcześniej nieudanych transakcji? Z jakich urządzeń miały miejsce te próby? Czy udane transakcje fraudowe miały cokolwiek wspólnego z tymi wcześniejszymi, nieudanymi?

Drugi wniosek też dotyczy banku. Nie będę go rozwijał, bo sam pan Piotr już go wyraził. Otóż nie ma wątpliwości, że bank powinien skorzystać z danych kontaktowych klienta i ostrzec go, że miały miejsce próby transakcji w oparciu o niekompletne dane. Być może pan Piotr zwiększyłby ostrożność, wykazałby czujność, podwoił zapory albo po prostu wymienił kartę. Nawet zakładając, że to z winy pana Piotra ktoś w końcu poznał pełne dane karty – mogłoby do tego nie dojść, gdyby bank go uprzedził, że „coś” się dzieje.

Pan Piotr deklaruje, że stosuje wszystkie możliwe zabezpieczenia. Wśród tych zabezpieczeń powinno być dwufaktorowe uwierzytelnianie – powinien więc dostać SMS lub powiadomienie push w aplikacji PeoPay (w zależności od tego, co w jego przypadku jest tym „drugim faktorem” uwierzytelnienia). W odpowiedzi na reklamację bank nie wspomina o tej procedurze, co oznacza, że w przypadku tej transakcji nie została zastosowana.

Prawdopodobnie został wykorzystany mechanizm automatycznej płatności (na zasadzie przedłużenia subskrypcji, takie autopłatności przebiegają w tle). Ale jak to możliwe, że ktoś przypiął kartę pana Piotra w sklepie internetowym i nie wymagało to potwierdzenia SMS-em albo aplikacją PeoPay? To już oczywiście nie jest problem leżący po stronie ani pana Piotra, ani Banku Pekao, tylko sklepu. Ale w takiej sytuacji to sklep – na wniosek banku – powinien szybciutko oddać pieniądze, bo to on „nie dowiózł” bezpieczeństwa.

Trzeci wniosek dotyczy konieczności obowiązkowego wdrożenia w transakcjach e-commerce tokenizacji. Jest bowiem dość prawdopodobne, że dane karty wyciekły z jakiegoś miejsca w sieci. Nie wiemy, czy pan Piotr miał w tym swój nieświadomy udział. Ale gdyby w e-sklepach (np. w usługach streamingowych) były przechowywane jedynie tokeny kart, zamiast ich prawdziwych danych, ich przejęcie nikomu by nie posłużyło. Dziś tokenizacja działa w niektórych miejscach w internecie, ale nie we wszystkich.

Którykolwiek ze scenariuszy miał miejsce, bank powinien każdy taki przypadek wyjaśnić i te wyjaśnienia przedstawić klientowi. Jeśli klient uważa, że nie ujawnił nikomu danych karty, zaś bank twierdzi, że kwestionowana przez klienta transakcja została dokonana dzięki danym tej karty – to bank powinien ustalić, co się stało i tę wiedzę udostępnić klientowi. Tego wymaga elementarna uczciwość wobec długoletniego klienta. Tym bardziej że bank niewiele zrobił, by tego klienta ochronić.

Bank ostatecznie reklamację przyjął, ale bez entuzjazmu. Napisał klientowi, że „podjął próbę odzyskania kwoty transakcji od podmiotu zewnętrznego”. Nie wiemy, na czym polegała ta próba ani jakie są lub będą jej efekty, natomiast domyślamy się, że „podmiot zewnętrzny” może nie być chętny po dobroci zwrócić pieniądze, nawet jeśli z wykorzystaniem jego infrastruktury zostały ukradzione. Choć być może istnieją procedury, które go do tego zmuszą (gdyby klient zastosował chargeback…).

„Nie przyjmuję do wiadomości faktu odmowy uznania reklamacji i uzależnienia zwrotu utraconych środków od decyzji podmiotu trzeciego. Głównym powodem zdarzenia jest rażące niedbalstwo banku i brak procedur kontrolnych i ostrzegawczych”

– odpisał pan Piotr. I poprosił o niezwłoczne przekazanie mu pełnej historii transakcji z ostatnich kilku miesięcy, uwzględniające transakcje internetowe niezrealizowane z uwagi na podanie błędnych lub niekompletnych danych. Nie wiem, co pan Piotr z tą wiedzą zrobi, ale…

Już kiedyś opisywałem historię jednej z czytelniczek, która tak się wkurzyła niegramotnością bankowców, że sama namierzyła i podała im na tacy dane złodziei pieniędzy. Może więc i panu Piotrowi to się uda? Tyle że to nie klienci są od takich śledztw, najwięcej narzędzi ma bank i ewentualnie organy ścigania.

Ważne, by banki były czujne i w takich przypadkach przekazywały klientom informacje. W Banku Pekao można wykupić usługę powiadomienia o każdym przelewie, ale dotyczy to tylko tych przelewów z rachunku, które doszły do skutku. Natomiast próby okradania klienta, które miały miejsce wcześniej, nie były skutecznymi transakcjami, więc klient się o nich nie dowiedział. A mógłby i powinien. Może banki mogłoby

Przeczytaj też mrożącą krew historię o tym, jak przez telefon ukradli starszej pani 120 000 zł. To nie był przypadek. Skąd wiedzieli do kogo zadzwonić? Jak się przed tym bronić? Ostrzeżcie swoich rodziców!

I jeszcze jedna historia. To się nazywa mieć pecha. Złodzieje trzy razy próbowali okraść panią Annę. Dwa cyberataki im się udały. Zawiniła tylko klientka czy trochę też jej bank?

————

RANKING LOKAT – GDZIE DOSTANIESZ NAJLEPSZY PROCENT? 

Obawiasz się inflacji? Zastanawiasz się, co zrobić z pieniędzmi? Sprawdź „Okazjomat Samcikowy” – to aktualizowane na bieżąco rankingi lokat, kont oszczędnościowych, a także kont osobistych, rachunków firmowych i kart kredytowych. Wszystkie tabele znajdziesz w zakładce „Rankingi” na stronie głównej www.subiektywnieofinansach.pl. Zacznij zarabiać w bankach!:

>>> Tutaj ranking najwyżej oprocentowanych depozytów

>>> Tutaj ranking najlepszych kont oszczędnościowych

>>> Tutaj ranking najlepszych kart kredytowych dla konsumentów

>>> Tutaj ranking najlepszych bankowych kont osobistych

>>> Tutaj ranking najlepszych kont dla małej firmy

ZAPISZ SIĘ NA NASZE NEWSLETTERY:

>>> Nie przegap nowych tekstów z „Subiektywnie o Finansach” i korzystaj ze specjalnych porad Macieja Samcika na kryzysowe czasy – zapisz się na weekendowy newsletter Maćka Samcika i bądźmy w kontakcie! W każdą sobotę lub niedzielę dostaniesz e-mailem najnowsze porady dla Twojego portfela.

>>> Zapisz się też na nasz „powszedni”, poranny newsletter „Subiektywnie o świ(e)cie i technologii” – przy porannej kawie przeczytasz wszystkie najważniejsze wieści dla Twojego portfela, starannie wyselekcjonowane i luksusowo podane przez Macieja Danielewicza i ekipę „Subiektywnie o Finansach”.

————

ZNAJDŹ NAS W MEDIACH SPOŁECZNOŚCIOWYCH

Jesteśmy także w mediach społecznościowych, będzie nam bardzo miło, jeśli zaczniesz nas subskrybować i śledzić: na Facebooku (tu profil „Subiektywnie o Finansach”), na YouTube (tutaj kanał „Subiektywnie o Finansach”) oraz na Instagramie (tu profil „Subiektywnie o Finansach”) i na Twitterze (tutaj profil Maćka Samcika i „Subiektywnie o Finansach”)

————

POSŁUCHAJ NASZYCH PODCASTÓW:

Ekipa „Subiektywnie o Finansach” co środę publikuje nowy odcinek podcastu „Finansowe Sensacje Tygodnia” (w skrócie: FST). Rozmawiamy o tym, co nas zbulwersowało albo zaintrygowało w minionym tygodniu, i zapowiadamy przyszłe sensacje wokół naszych portfeli. Do tej pory ukazało się 150 odcinków podcastu, zaprosiliśmy też kilkudziesięciu gości.

Poza cotygodniowym podcastem możesz też posłuchać tekstów z „Subiektywnie o Finansach” czytanych przez ich autorów – w każdy piątek nowy odcinek. Ten cykl podcastowy nazywa się „Subiektywnie o Finansach do słuchania” (w skrócie: SDS). Wszystkie podcasty znajdziesz pod tym linkiem, a także na wszystkich popularnych platformach podcastowych w tym Spotify, Google Podcast, Apple Podcast, Overcast, Amazon Music, Castbox, Stitcher)

————

ZOBACZ NASZE NAJNOWSZE WIDEO:

———————

zdjęcie tytułowe: Unsplash