Czy nasze pieniądze w banku są rzeczywiście bezpieczne?

19.07.2022 roku złodziej kilkukrotnie próbował wykonać przelew kartą debetową pana Marcina (imię fikcyjne) do konta w banku internetowym. Najpierw otrzymał SMS z hasłem 3-D Secure do autoryzowania transakcji na kwotę 9,99 USD. Minutę później przyszedł drugi SMS na tą samą kwotę. Ponieważ na noc wycisza telefon, nie usłyszał SMS oraz oczywiście nie podał żadnego kodu potwierdzającego transakcję.

— Operację na koncie — mówi pan Marcin — zauważyłem mniej więcej po godzinie, kiedy odblokowałem ekran telefonu. Zauważyłem SMS i informację z aplikacji, że moje konto obciążono kwotą równowartości 9,99 USD, na rzecz DISCORD* GIFT-NITRO. Sprawdziłem odbiorcę w internecie. Za pomocą tego serwisu można opłacić roczną subskrypcję czatu w grach sieciowych. Zadzwoniłem do banku i usłyszałem, że odbiorca płatności może zrezygnować z autoryzacji przelewu. Brzmi groźnie: ktoś nie pytając mnie o autoryzację może zapłacić za coś w internecie.

Drugą informacja otrzymana od konsultanta banku naszego czytelnika: do czasu rozliczenia transakcji nie można nic zrobić. Dopiero potem można złożyć reklamację. Tymczasowa blokada karty lub jej zastrzeżenie nie chronią nas przez rozliczeniem już dokonanej transakcji. Niemożliwe będzie wyłącznie dokonanie kolejnych płatności zastrzeżoną kartą.

— Dobrze, że kwota była niewielka. A jeśli zabrakłoby pieniędzy na opłatę ZUS-u, lub podatku? W skrajnym przypadku w związku z niewystarczającą ilością środków na koncie oznaczałoby to odsetki wobec ZUS, czy Urzędu Skarbowego.

Marcin drążył temat. Jak twierdzi, sprawę udało się wyjaśnić dopiero po kolejnych rozmowach z konsultantem.

— Dowiedziałem się, że oprócz próby wykonania przelewów autoryzowanych SMS-em lub aplikacją ktoś w tym samym czasie próbował płacić moją kartą w innym serwisie. W końcu złodziejowi udało się to na stronie DISCORD* GIFT-NITRO. Dopiero podczas kolejnej rozmowy powiedziano mi też, że mogę założyć tzw. monitorowanie transakcji kartą. Wtedy dostanę maila lub SMS o tym, że transakcję rozliczono.

Zapytaliśmy bank o procedury bezpieczeństwa, które obowiązują w banku.
— Jakie procedury bezpieczeństwa dotyczące płatności kartę obowiązują w banku?
— Na bieżąco — mówi pracownik banku, odpowiedzialny za kontakty z miediami — monitorujemy transakcje na podstawie stale aktualizowanych algorytmów. Żeby nie ułatwiać przestępcom pracy nie ujawniamy tego, jakie kryteria bierzemy pod uwagę.

— Klient ma włączoną autoryzację SMS lub w aplikacji. Jaki cel ma taka autoryzacja, jeśli można ją obejść?
— Autoryzacja kodem SMS lub mobilną autoryzacją, czyli autoryzacja kodem 3D Secure to dodatkowa forma weryfikacji transakcji kartowych w internecie. Nie wszystkie sklepy z niej korzystają. Autoryzacja 3D Secure wynika z dyrektywy unijnej PSD2, która obowiązuje tylko w UE i nie podlegają jej np. amerykańskie sklepy.

— Dlaczego nie można składać reklamacji przed rozliczeniem transakcji?
— To w jaki sposób rozliczane są transakcje kartowe wynika z wytycznych organizacji płatniczych (Visa, MasterCard), które odpowiadają za ten proces. Bank jest tylko wykonawcą tych zleceń. Zgodnie z nimi możemy zareklamować zautoryzowaną już transakcję dopiero po jej rozliczeniu. W ramach złożonej reklamacji przyjrzymy się szczegółowo tej sytuacji i jeżeli doszło do nadużyć (przestępcy przechwycili dane karty) lub transakcja została zautoryzowana w wyniku błędu (po stronie sklep internetowy, banku czy organizacji płatniczej), zwrócimy pieniądze.

Pieniądze na konto naszego czytelnika wróciły. Sprawę bada policja, a na maila odpowiedział również serwis DISCORD* GIFT-NITRO, który rozpoczął dochodzenie.

— Liczę na to, że serwis ustali, na kogo konto została opłacona subskrypcja. Jeśli jednak ktoś ją podarował, to niekoniecznie uda się dowiedzieć, kto ją wykonał.

Jak się ustrzec przed takimi sytuacjami? W Unii Europejskiej obowiązują standardy. Jeśli w sklepie internetowym korzystamy z serwisów płatności, przeniesie on nas na stronę naszego banku i transakcję potwierdzimy SMS-em, lub w aplikacji. Gorzej, jeśli do jej dokonania serwis potrzebuje numeru karty, jej daty ważności i kodu CVV. Jeżeli dane zostają „zachowane” w sklepie, jesteśmy podatni na włamania.

— Z takim możliwości, jak płatność kartą kredytową więcej po prostu nie skorzystam — dodaje pan Marcin. — Jeśli to możliwe, unikajmy płatności kartą w internecie, bo jej dane mogą pozostać w sklepie i stają się łatwym łupem. Zdarzają się przecież włamania na konta sklepów internetowych.
Lepiej korzystać z przelewów internetowych, które są autoryzowane kodem SMS, lub w aplikacji.
Dariusz Dopierała