Slovenski varnostni strokovnjak o brezstičnih karticah: (pre)lahko ste žrtve prevarantov

V Sloveniji skoraj polovica vseh bank že nudi brezstične plačilne kartice. Brezstično plačevanje vzbuja dvom v varnost. Po mnenju številnih strokovnjakov upravičeno. Kako varne so brezstične kartice, smo povprašali tudi policijo. Zanimalo nas je namreč, koliko zlorab brezstične kartice so zaznali v Sloveniji v zadnjem letu in pol odkar so v uporabi.

Mogoče je razlog v tem, da se te kartice pri nas šele dobro uveljavljajo. "Glede na splošno znane informacije o sistemu delovanja brezstičnih plačilnih kartic, je kopiranje ali t. i. skimming podatkov iz kartic izredno težko izvedljiv," pojasnjujejo na policiji in dodajajo: "Najverjetneje se bodo ob množični uporabi tovrstnih kartic pojavile tatvine kartic in nato uporabe po različnih prodajnih mestih."

Manjše število zlorab, a večja škoda

Zanimiva je tudi policijska statistika preiskav kaznivega dejanja uporabe ponarejenega negotovinskega plačilnega sredstva, kamor uvrščamo tudi brezstične kartice. Na policiji zatrjujejo, da so ta kazniva dejanja trenutno v upadu. Leta 2013 so sicer obravnavali rekordno število zlorab. Leta 2012 so zabeležili 251 primerov, naslednje leto kar 1746 primerov, v letu 2014 1070 primerov in v letu 2015 435 primerov.

Številka je bila lani bistveno manjša, kar je spodbudno, žal pa kljub manjšemu številu zlorab policija v letu 2015 beleži večjo materialno škodo, ki je nastala iz tovrstnih zlorab, in sicer v višini 1.043.190 evrov. Pri tem velja, da se je v prejšnjih letih materialna škoda gibala med 400.000 in 800.000 evri.

Tudi v Združenju bank Slovenije (ZBS) zatrjujejo, da se število zlorab s plačilnimi karticami z leti zmanjšuje. Po njihovem mnenju strah pred novo tehnologijo večinoma izhaja iz nepoznavanja in nezaupanja do novosti. Prepričani so, da gre za varen sistem plačevanja, v obrambo brezstičnemu plačevanju pa navajajo, da ne gre zgolj za plačevanje po principu 'pomahaj in plačaj', pač pa je treba kartico prisloniti k POS terminalu na manj kot dva centimetra oddaljenosti in nekaj sekund počakati, da se plačilo izvede. Še več. Takšen brezstični nakup je po besedah predstavnika Mastercarda še bolj varen, saj imate kartico ves čas pri sebi in je nikomur ne izročite niti za čas plačila.

Slovenski varnostni strokovnjak se brezstičnim karticam izogiba

Medtem ko policija prijav zlorab brezstičnih kartic še ni zaznala, pa je to očitno zgolj sreča v nesreči. Po besedah Andreja Rakarja, vodje informacijske varnosti pri Slovenskem institutu za kakovost in meroslovje SIQ, kjer so brezstično plačevanje začeli raziskovati že pred dobrim letom, brezstična tehnologija omogoča lažje prebiranje informacij o bančni kartici. Kot opozarja, lahko z zlonamerno kodo, ki jo nevede dobiš na telefon pri nameščanju nepooblaščene programske opreme, tvoj telefon deluje kot posrednik. To pa pomeni, da z nameščeno programsko opremo telefon prebere informacije na tvoji kartici (ali karticah), ko telefon povežeš na internet pa te podatke pošlje nekam v tujino, npr. na Kitajsko, kjer lahko nato opravljajo nakupe. "Problem je, ker za zneske do 15 evrov ne potrebuješ PIN številke, v tujini ponekod celo do 30 evrov, zato vam lahko Kitajec z vaše kartice na daljavo ukrade do 15 evrov," pojasnjuje Rakar in opozarja, da so še posebej problematične dame, ki nosijo v torbici tako telefon kot denarnico, razdalja med njima pa je zelo majhna. Vse skupaj so na SIQ tudi preverili v praksi. "Tehnično je programska oprema na internetu na voljo. Jaz sem jo uporabil, testiral in prebral podatke. Seveda nisem izvedel nepooblaščene transakcije," pravi Rakar in dodaja: "Sem pa podatke uspešno prebral in jih na daljavo prenesel."

Zgornja fotografija je iz prezentacije Eddieja Leeja, varnostnega strokovnjaka pri Blackwing Intelligence, ki je na priznani varnostni konferenci Defcon predstavil prezentacijo zlorabe kartice z NFC tehnologijo na daljavo. Avtor nazorno ponazori problematiko pridobitve kartičnih podatkov brezstične kartice na daljavo. 

Naš telefon, ki je okužen z zlonamerno kodo in ga imamo v torbici oz. žepu skupaj z denarnico, prebere podatke iz naše brezstične kartice in jih preko brezžične povezave (Wi-Fi ali 4G omrežja) prenese komurkoli, tudi na drugem koncu sveta. Le-ta s svojim NFC telefonom zlorabi naše kartične podatke tam, kjer jer mogoče plačevanje s telefonom (virtualna plačilna kartica) do dovoljenega limita brez potrjevanja s kodo PIN (pri nas 15 evrov).

V Sloveniji sicer še ni možno, da bi v trgovinah nakupovali s 'klonirano' oziroma virtualno kartico na telefonu, v tujini pa je to povsem mogoče, zato je teh zlorab več tam. So pa virtualne kartice na pametnih telefonih prihodnost plačevanja, kar pomeni, da ne bo več problematična niti razdalja med telefonom in kartico, saj bosta postala eno. "Vprašanje je, kako bo zaščita na telefonih narejena. To ne vem. Mogoče se bodo potrudili in kaj več naredili na tem področju. V praksi se kaže, da proizvajalci preveč gledajo na prijaznost do uporabnika, ne pa na varnost, kar pomeni, da lahko hitro pride do problema," pravi Rakar, ki v to tehnologijo ne zaupa. "Naredil sem vse, kar je bilo v moji moči, da nimam nobene brezstične kartice."

Po njegovem mnenju je glavna zamera bankam ta, da dovoljujejo transakcije brez PIN številke do 15 evrov, ker to omogoča prevarantom, da nas ogoljufajo. Po njegovem mnenju bi moral vsak sam odločati, do katerega zneska naj bo nakup brez PIN številke, banke pa bi morale komitentom prisluhniti.

Nekaj nasvetov, kaj storiti v primeru zlorabe kartice

V primeru nepooblaščene uporabe kartice, morate nemudoma ukrepati. Če ste naročeni na SMS-opozorila, boste v sporočilu dobili tudi telefonsko številko servisnega centra, ki je dosegljiva 24 ur na dan. Kadar zaznate sum zlorabe, kartico takoj prekličite na klicnem centru Bankarta, in sicer na telefonsko številko (01) 583-41-83. Sum zlorabe morate nato pisno prijaviti matični banki najkasneje v petih delovnih dneh od preklica kartice. Prav tako morate sum zlorabe prijavi tudi policiji. Pisno reklamacijo pa naj imetnik kartice pri banki vloži v roku osmih delovnih dni. Banka bo kartice, pri katerih sama zazna sum zlorabe ali pa stranka sama prijavi zlorabo kartice, blokirala, imetnika kartice pa o blokadi obvestila in mu izdala novo kartico brez dodatnih stroškov.

V reklamacijskem postopku banka preverja okoliščine morebitne zlorabe, prav tako preverjajo, kako je imetnik rokoval s kartico. Škodo banka komitentu povrne, če se ugotovi škodna odgovornost banke. A bo to komitent banki težko dokazal, zato je mnoge upravičeno strah, da banke ne prevzemajo svojega dela odgovornosti in da bodo zato ostali brez povrnjene škode.

Ne glede na to, katero kartico uporabljate, pa velja, da morate najprej sami poskrbeti za varnost in varno uporabo. Zavedati se je potrebno, da 100-odstotne varnosti ni in da prilika dela tatu. Če menite, da vam brezstična kartica otežuje življenje in ste bili prisiljeni v njeno uporabo, potem kot odgovoren potrošnik izberite tisto banko, ki vam omogoča izbiro. Le tako bodo banke začele slediti željam komitentov.