BEZPIECZEŃSTWO KART PŁATNICZYCH Warszawa, sierpień 2013 str. 1
Spis treści Wstęp... 3 I. Podstawowe zasady bezpieczeństwa... 3 II. Bezpieczne korzystanie z bankomatu 5 III. Bezpieczne płatności kartą w Internecie. 6 IV. Praktyczne rady 7 V. Czynniki wpływające na bezpieczeństwo przy posługiwaniu się kartą płatniczą 8 str. 2
Wstęp Celem poradnika jest zapoznanie Klientów Banku Pekao SA (Bank) z praktycznymi zasadami, tzw. dobrymi praktykami, dotyczącymi bezpiecznego posługiwania się kartami płatniczymi, a zarazem przypomnienie o obowiązkach ciążących na Posiadaczach kart, wynikających z obowiązujących przepisów prawa Ustawy z dnia 12 września 2002r. o Elektronicznych Instrumentach Płatniczych (Dz. U. Nr 169, poz. 1385 z późn. zm.) oraz Ustawy o Usługach Płatniczych z dnia 19 sierpnia 2011 r. (Dz. U. Nr 199, poz. 1175). I. Podstawowe zasady bezpieczeństwa 1. Ochrona poufnego numeru PIN PIN do Twojej karty, to numer poufny, znany tylko Tobie! Najlepiej zapamiętaj go i nigdzie nie zapisuj. Ponadto nigdy i nikomu (nawet pracownikowi Banku) nie ujawniaj tego numeru. Dobrą praktyką jest zniszczenie przesyłki z numerem PIN w sposób uniemożliwiający jego poznanie przez osoby nieuprawnione. Jeśli koniecznie chcesz zapisać numer PIN, to zrób to w bezpiecznym miejscu, nie przechowuj go w postaci możliwej do odczytania przez osoby nieuprawnione, nie przechowuj go razem z kartą, ani nie zapisuj go na karcie! Wskazane jest noszenie kart poza portfelem, najlepiej w oddzielnej przegródce bądź etui. Ustalając swój numer PIN lub zmieniając numer uprzednio otrzymany unikaj łatwych (oczywistych) kombinacji, takich jak np. Twoja data urodzin lub data urodzin Twoich bliskich. W razie ujawnienia bądź utraty numeru PIN należy go jak najszybciej zmienić albo zastrzec kartę. Zmiany numeru PIN można dokonać w dowolnym bankomacie Banku Pekao SA, dowolną ilość razy bez ponoszenia żadnych kosztów. 2. Nieudostępnianie karty osobom nieuprawnionym Nie udostępniaj swoich kart płatniczych innym osobom, w tym np. członkom rodziny lub znajomym. Jest to niezgodne z obowiązującymi przepisami prawa, a także regulaminami kart płatniczych Banku Pekao. Operacje dokonane przy użyciu karty, którą udostępniłbyś innej osobie obciążyłyby Posiadacza karty. Zamiast tego skorzystaj z możliwości oferowanej przez Bank i złóż wniosek o wydanie dla takiej osoby dodatkowej karty (np. karty dla Pełnomocnika do rachunku). 3. Ochrona danych karty Nie ujawniaj osobom nieuprawnionym poufnych danych karty takich, jak: numer karty, data ważności, trzycyfrowy kod CVV2/CVC2, znajdujący się na rewersie karty. Bank Pekao nigdy nie prosi o podanie tych danych za pośrednictwem poczty elektronicznej, serwisów internetowych, a także rozmów telefonicznych inicjowanych przez Bank. Każdy taki przypadek traktuj jako próbę wyłudzenia poufnych informacji o karcie (tzw. phishing) oraz bezzwłocznie poinformuj o nim Bank. Zaleca się nie zapisywać wymienionych wyżej danych karty na komputerach domowych i biurowych oraz w telefonach komórkowych, gdyż mogą one paść ofiarą złośliwego oprogramowania takiego, jak np. spyware (program szpiegujący). str. 3
4. Wnikliwe oględziny przesyłek pocztowych z kartą oraz numerem PIN Karta spersonalizowana tzn. taka, gdzie na awersie widnieje imię i nazwisko Posiadacza/Użytkownika oraz numer PIN do karty wysyłane są odrębnymi przesyłkami pocztowymi na adres korespondencyjny Klienta. Po otrzymaniu tych przesyłek dokonaj wnikliwych oględzin, w celu upewnienia się, iż nie zostały one naruszone przez osoby nieuprawnione. Jeśli znajdują się na nich jakiekolwiek ślady, które mogłyby sugerować, iż zostały one otwarte, bezzwłocznie skontaktuj się z Bankiem w celu wydania nowej karty oraz numeru PIN. 5. Podpisanie karty Niezwłocznie po otrzymaniu karty podpisz ją! Podpis powinien być zgodny z podpisem złożonym w dokumentach bankowych podczas zakładania rachunku. Nigdy nie podpisuj się drukowanymi literami bądź samymi inicjałami. 6. Środki ostrożności podczas płatności bezgotówkowych Dokonując płatności w punktach handlowo-usługowych (sklepy, restauracje itp.) ani na chwilę nie trać karty z pola widzenia i kieruj się zasadą ograniczonego zaufania. Nigdy nie pozwalaj personelowi punktu na zabieranie karty na zaplecze w celu dokonania płatności. Przed zatwierdzeniem transakcji podpisem lub przez wprowadzenie kodu PIN sprawdź kwotę na wydruku lub na ekranie czytnika kart. Upewnij się, że sprzedawca zwraca kartę wraz z kopią dowodu kasowego. Pilnuj karty, pamiętając o kieszonkowcach. Nigdy nie zostawiaj karty ani pokwitowań transakcji bez nadzoru. Dokonuj transakcji samodzielnie, wszędzie tam gdzie terminal jest dostępny dla klienta. Korzystaj z możliwości zapłaty zbliżeniowo przy każdej kwocie transakcji. Pozwoli Ci to zachować kontrolę nad kartą. Sam decyduj o sposobie realizacji transakcji jeśli jest taka możliwość. 7. Wnikliwa weryfikacja transakcji Kontroluj na bieżąco stan rachunku karty kredytowej i rachunku osobistego, do którego została wydana karta debetowa, a także sprawdzaj wnikliwie wyciągi bankowe dotyczące tych rachunków. W przypadku pojawienia się jakichkolwiek nieprawidłowości powiadom bezzwłocznie Bank. Wszystkie transakcje na Twoim rachunku czy karcie kredytowej dostępne są w serwisie Pekao24. Możesz także skorzystać z alertów SMS, które powiadomią Cię w sytuacji zmiany salda na rachunku czy obciążenia kartą. Szczegółowe informacje znajdziesz na http://www.pekao.com.pl/indywidualni/bankowosc_elektroniczna/ 8. Utrata karty Noś ze sobą tylko te karty, których potrzebujesz. Nie zabieraj karty ze sobą, jeżeli jej użycie jest mało prawdopodobne, a można narazić się na jej utratę (np. zakupy na bazarach i w miejscach, gdzie można być narażonym na kradzież kieszonkową). W przypadku utraty karty wskutek kradzieży, zgubienia lub w sytuacji uzasadnionego podejrzenia, iż poufny numer PIN bądź dane karty zostały poznane przez osoby nieuprawnione, powiadom bezzwłocznie Bank oraz zastrzeż kartę. W celu zastrzeżenia karty płatniczej wydanej przez Banku Pekao skontaktuj się z czynnym 24 godziny na dobę Centrum Obsługi Klienta pod numerem: 801 324 324, +48 42 683 83 24 bądź skorzystaj z serwisu Pekao24. str. 4
Nawet jeśli osoba niepowołana dokonałaby transakcji skradzioną Tobie czy utraconą przez Ciebie kartą pamiętaj, że zgodnie z polskim prawem nie odpowiadasz za takie transakcje powyżej równowartości 150 euro jeśli do tej sytuacji nie doprowadziłeś umyślnie lub w wyniku rażącego niedbalstwa. W przypadku klientów którzy posiadają Eurokonto i wydaną do niego kartę, również do kwoty 150 euro Bank przejmuje odpowiedzialność jeżeli nie doszło do nich umyślnie bądź w wyniku rażącego niedbalstwa. 9. Aktualizacja telefonu kontaktowego Informuj na bieżąco Bank o zmianach Twojego kontaktowego numeru telefonu. Bank Pekao prowadzi monitoring transakcji kartowych i może podjąć próbę kontaktu telefonicznego z Tobą w celu weryfikacji nietypowych lub podejrzanych transakcji dokonanych z użyciem Twojej karty. 10. Powiadomienia SMS-owe Skorzystaj z usługi powiadomień sms-owych obejmujących m.in. powiadomienia o każdej operacji dokonanej kartą płatniczą. Usługę tę aktywować można w serwisie Pekao24. II. Bezpieczne korzystanie z bankomatu 1. Oględziny bankomatu Bankomaty mogą być wykorzystane do dokonania przestępstwa związanego z nielegalnym kopiowaniu zawartości pasków magnetycznych kart płatniczych i przechwytywaniu numerów PIN, a następnie wykorzystaniu kart do przestępstw. Dlatego przed skorzystaniem z bankomatu zwróć szczególną uwagę na te elementy, które są najczęściej wykorzystywane przez oszustów tj.: czytnik kart w tym miejscu może być umieszczony miniaturowy skaner kopiujący zawartość paska magnetycznego karty wkładanej do bankomatu; klawiatura pogrubiona i wystająca ponad powierzchnię blatu bankomatu klawiatura może świadczyć o instalacji specjalnej nakładki umożliwiającej przechwycenie i zarejestrowanie wprowadzanych przez klientów numerów PIN; górna ścianka bankomatu tzw. listwa w której np. w fałszywym panelu (z logotypami organizacji płatniczych) może być zainstalowana przez oszustów kamera rejestrująca wprowadzane przez klientów numery PIN; dyspenser gotówki przestępcy umieszczają urządzenia które służą do przechwytywania banknotów które wydawane są przez Bankomat. W przypadku stwierdzenia obecności podejrzanych elementów na bankomacie lub jakichkolwiek śladów uszkodzeń, zabrudzeń czy substancji klejących w okolicy wyżej wymienionych wrażliwych miejsc bankomatu, bezwzględnie zrezygnuj z jego użycia oraz powiadom o tym niezwłocznie właściciela bankomatu (numer telefonu powinien być umieszczony na bankomacie), Banku Pekao (pod numerem: +48 (42) 68 38 324) lub Policję (pod numerem 112 lub 997). str. 5
2. Ochrona wprowadzanego numeru PIN Dobrą praktyką podczas wprowadzania numeru PIN jest zasłonięcie klawiatury drugą ręką bądź portfelem tak, by uniemożliwić jego podejrzenie osobom nieuprawnionym bądź zarejestrowanie przez mini kamerę oszusta. Nie korzystaj z pomocy oferowanej przez osoby postronne. 3. Korzystanie z tych samych bankomatów Korzystaj w miarę możliwości z tych samych bankomatów zdecydowanie łatwiej będziesz mógł wtedy zauważyć ewentualne różnice w ich wyglądzie. III. Bezpieczne płatności kartą płatniczą w Internecie 1. Weryfikacja sklepów internetowych Korzystaj z renomowanych, wiarygodnych i rekomendowanych sklepów internetowych. Kieruj się zdrowym rozsądkiem, a także opiniami internautów zamieszczanymi na forach internetowych oraz grupach dyskusyjnych. Przed dokonaniem płatności koniecznie przeczytaj regulamin sklepu internetowego oraz informacje dotyczące bezpieczeństwa transakcji. Najlepiej, gdy sklep korzysta z bezpiecznej technologi 3D-secure, o czym informują stosowne oznaczenia i logo na stronie sklepu: Dla pewności powinno się sprawdzić certyfikat serwera witryny internetowej sklepu czy serwisu internetowego w celu weryfikacji tożsamości serwera. Certyfikat serwera to rodzaj dokumentu tożsamości dla serwera WWW, wydanego przez niezależną firmę tzw. Certification Authority (CA). Certyfikat zawiera m.in.: nazwę właściciela certyfikatu, nazwę wydawcy certyfikatu, publiczny klucz właściciela, okres ważności, nazwę serwera, dla którego certyfikat jest wystawiany. Dane o certyfikacie SSL dostępne są w oknie przeglądarki po dwukrotnym kliknięciu ikony kłódki. Takie postępowanie pozwoli nam upewnić się, iż faktycznie połączyliśmy się z serwerem firmy, o którą nam chodziło. 2. Zachowanie szczególnej ostrożności podczas przekazywania poufnych danych karty Bank Pekao zaleca, aby nie podawać poufnych danych kart płatniczych tj. numeru, daty ważności, trzycyfrowego kodu CVV2/CVC2 na stronach sklepu internetowego, lecz wyłącznie na zabezpieczonych stronach centrów autoryzacyjnych (np. DotPay, BlueMedia, ecard, First str. 6
Data, PayU), na które Posiadacz powinien zostać przekierowany w trakcie dokonywania płatności internetowej. Tylko wtedy można mieć gwarancję zapewnienia poufności tych danych. Przesłanie ww. danych karty oraz Twoich danych jako Posiadacza karty, powinno odbywać się zawsze w sposób bezpieczny, tzn. z wykorzystaniem 128 bitowego protokołu SSL (Secure Sockets Layer), dzięki któremu przekazywane dane są w bezpieczny sposób szyfrowane i uwierzytelniane. Adres URL serwisu internetowego powinien rozpoczynać się od przedrostka https (zamiast standardowego http), a ponadto u dołu ekranu przeglądarki lub na pasku adresowym (w zależności od przeglądarki) powinien znajdować się symbol zamkniętej kłódki. W przypadku jakichkolwiek wątpliwości w trakcie procesu autoryzacji płatności internetowej zrezygnuj z jej przeprowadzenia i poinformuj o nich Bank. Alternatywnie Bank rekomenduje korzystanie z innych instrumentów umożliwiających płatności internetowe takich jak karty prepaid, płatności mobilne PeoPay oraz Przelew z Pekao24, które stanowią bezpieczną i wygodną formę płatności w sieci. 3. Bezpieczeństwo miejsca dokonywania płatności internetowych Nie dokonuj płatności internetowych z komputerów znajdujących się w miejscach publicznych i ogólnie dostępnych takich, jak np. kafejki internetowe czy biblioteki. Zadbaj o bezpieczeństwo swojego komputera, za pośrednictwem którego dokonujesz płatności internetowe. Powinien on posiadać: aktualizowany na bieżąco system operacyjny, najnowszą wersję przeglądarki internetowej, program antywirusowy z aktualnymi sygnaturami wirusów, osobistą zaporę (tzw. personal firewall) z aktualnymi polisami i regułami bezpieczeństwa, aktualne oprogramowanie wykrywające złośliwe oprogramowanie typu spyware. 4. Wyłudzanie poufnych danych od użytkowników (Phishing) Jest to rodzaj zagrożenia bezpieczeństwa informacji, stosowanym głównie na szeroką skalę w Internecie. Polega na wyłudzaniu poufnych danych od użytkowników Internetu, w tym danych dotyczących systemów bankowości internetowej. Metoda ta polega najczęściej na podszywaniu się pod instytucję, z której usług korzysta dany użytkownik. W takim przypadku otrzymuje on e-mail z fałszywą prośbą o wysłanie danych w celu weryfikacji swojego konta w systemie lub zalogowanie się na odpowiednio spreparowanej, fałszywej - aczkolwiek wyglądającej jak prawdziwa - stronie internetowej. Prośba ta często poparta jest argumentami mówiącymi o względach bezpieczeństwa, niezbędnej weryfikacji transakcji itp. Nieświadomy niebezpieczeństwa użytkownik podaje w ten sposób poufne informacje takie, jak: identyfikator, hasło, pin, numer karty płatniczej czy numer seryjny tokena, które przechwytuje intruz. W ten sposób uzyskuje dane klienta umożliwiające mu kontrolę nad kontem bankowym i dokonanie kradzieży środków pieniężnych, czy też innych oszustw. IV. Praktyczne rady: str. 7
Jeśli chcemy sprawdzić/przeliczyć czy w bankomacie została wypłacona żądana kwota zróbmy to dyskretnie. Wskazane jest zachowywanie pokwitowań transakcji, które nie doszły do skutku. Nie należy zostawiać karty ani pokwitowań transakcji bez nadzoru. Przed ewentualnym wyrzuceniem należy dokładnie niszczyć wszystkie wnioski o karty płatnicze, dokumenty zawierające numer karty płatniczej itp. Zachowujmy rozwagę przy przekazywaniu numeru karty. Nie należy udostępniać numeru nikomu, kto do nas dzwoni a zwłaszcza w sytuacji, gdy osoba dzwoniąca informuje, że są problemy techniczne i prosi o weryfikację informacji. Wydawcy kart nigdy nie weryfikują danych posiadaczy bądź kart przez telefon. Ignorujmy pocztę elektroniczną, z której wynika konieczność podania informacji o karcie płatniczej bądź zachęca do odwiedzenia stron internetowych na których można zweryfikować dane karty, limity transakcyjne lub inne parametry nawet gdy korespondencja nosi cechy podobne jak korespondencji wydawcy (logo, kolorystyka). O otrzymaniu tego typu korespondencji należy niezwłocznie poinformować wydawcę karty. W bezpiecznym miejscu powinniśmy przechowywać aktualną listę numerów kart oraz adresów i telefonów do każdego z wydawców posiadanych kart. Nigdy nie należy podawać informacji o karcie na stronach, które nie są bezpieczne (np. strony z treściami przeznaczonymi wyłącznie dla osób pełnoletnich, strony nieznanych szerzej firm oferujące markowy towar po rewelacyjnych cenach). Nigdy nie należy podpisywać pokwitowania transakcji in blanco (tzn. pokwitowania transakcji nie zawierającego jej kwoty). W przypadku transakcji w imprinterze (tzw. żelazku - czyli urządzeniu służącemu do ręcznej akceptacji kart tłoczonych) zawsze konieczne jest nakreślenie linii w czystej części blankietu, tak by nie było możliwe oszukańcze dodanie dodatkowych opłat Kalka jest bardzo rzadko wykorzystywana, ale jeśli została użyta do transakcji kartą, należy ją zniszczyć. W restauracjach, w przypadku otrzymania wydruku z terminala z miejscem na wpisanie napiwku w zależności od uznania należy wpisać kwotę napiwku, lub przekreślić to miejsce poziomą kreską. Jeżeli wystąpiła sytuacja, która sprzyja kradzieży, sprawdź czy nadal masz przy sobie karty (np. po wejściu do pociągu, w przedziale) Gdy chcesz płacić kartą w nieznanych, niesprawdzonych witrynach w sieci lub wyjeżdżasz w nieznane, odlegle miejsca, korzystaj także alternatywnie z kart prepaid Banku, które możesz zamówić w serwisie Pekao 24 lub nabyć w dowolnym oddziale Banku. Stosowanie w praktyce powyżej przedstawionych zasad umożliwi znaczące ograniczenie możliwości wystąpienia transakcji nieuprawnionych. V. Czynniki wpływające na bezpieczeństwo przy posługiwaniu się kartą płatniczą Pojęcie bezpiecznego posługiwania się kartą płatniczą może być rozumiane wieloaspektowo i uzależnione jest od wielu czynników. wieloaspektowo i uzależnione jest od wielu czynników. str. 8
Po pierwsze zależy od technicznego zabezpieczenia samej karty i stopnia ochrony danych transakcyjnych. Po drugie od technicznego przystosowania punktu akceptującego kartę do obsługi określonych typów technologii kartowej. Po trzecie od bezpieczeństwa przekazywania danych pomiędzy akceptantem, agentem rozliczeniowym oraz wydawcą karty. Powyższe trzy kategorie czynników określić można jako czynniki techniczno - technologiczne. Ich istnienie i wykorzystanie warunkowane jest przez uczestników obrotu kartowego, którzy prowadzą tę działalność jako podmioty profesjonalne. Oznacza to, iż w stosunku do tych podmiotów stawiane są podwyższone wymagania w zakresie zapewnienia bezpieczeństwa i bezproblemowości dokonywania transakcji. Obecnie stosowane w Polsce rozwiązania, jak również wdrażane nowe (standard EMV odnoszący się zarówno do technologii wykonania karty jak również do jej obsługi w terminalach elektronicznych i bankomatach, standard 3D Secure w świecie e-commerce) zapewniają osobom dokonującym transakcji kartami płatniczymi wysoki poziom bezpieczeństwa. Drugim aspektem bezpieczeństwa dokonywania transakcji kartami płatniczymi jest funkcjonowanie w Polsce regulacji prawnych dotyczących praw i obowiązków stron umowy o kartę płatniczą, wskazują podstawowe zasady postępowania z kartą i dokonywania transakcji, jak również rozstrzygają kwestie związane z zasadami i zakresem odpowiedzialności stron umowy w przypadku wystąpienia transakcji przestępczych. Trzecim aspektem bezpieczeństwa transakcji dokonywanych kartami płatniczymi jest zachowanie i postępowanie posiadacza karty, a więc coś, co nie jest zależne od wydawcy karty płatniczej. Również posiadacz czy użytkownik karty jest zobowiązany do stosowania reguł zapewniających zachowanie właściwego poziomu bezpieczeństwa karty i transakcji wykonywanych za jej pomocą. Odpowiednie zachowanie posiadacza/użytkownika karty płatniczej jest bardzo ważnym elementem decydującym o tym, czy dokonywanie przez niego płatności kartami będzie charakteryzowało się wysokim, czy niskim poziomem bezpieczeństwa. str. 9