Насколько безопасны бесконтактные банковские карты?
Выдали мне в Сбербанке взамен старой пластиковой карты современную – бесконтактную. Которую можно просто поднести к терминалу для оплаты покупки, и деньги сами утекут – безо всяких пин-кодов. А отказаться можно? – спросила я. «Нельзя», – ответил менеджер банка. Не заподозрив во мне журналиста, она поделилась, как деньги с их карт «украдывают» и какую защиту от этого предлагает банк.
Кошелек или сумочка?
В Сбербанке меняют ваши старые пластиковые карты на новые – они с уже встроенным радиочипом. Технология бесконтактной оплаты для карт Visa называется PayWave, для Mastercard – PayPass. Суть одинакова: карту можно не засовывать в терминал при оплате покупки, а просто поднести ее. При этом используется технология RFID (когда пластиковая карта и терминал обмениваются радиосигналами). Если сумма покупки меньше 1000 рублей, то система пин-код не спрашивает – просто списывает деньги со счета. Можно ли отказаться от этого чуда технологий? – спросила я менеджера допофиса № 9055/1823 Марию. У Марии был важный вид. Она посмотрела на меня как на отсталую в техническом плане гражданку и сказала, что отказаться от использования бесконтактного чипа нельзя. Получить карту без радиометки тоже нельзя. И даже уменьшить сумму «бесконтактного и бесконтрольного» списывания средств (без ввода пин-кода) нельзя.
Ответ меня сильно удивил, и я на всякий случай включила диктофон. Заодно решила узнать у Марии то, что давно собиралась спросить у Сбербанка, но стеснялась. Насколько эта замечательная система PayPass/PayWave безопасна?
При оплате карту вообще «можно не доставать из кошелька» – написано на сайте Сбербанка. Меня волнует: а из сумочки она действует? А если да, то любой, кто прижался в автобусе своим мобильным терминалом к моей карте (которая в сумочке), сможет воспользоваться моим счетом (в пределах 1000 руб)?
– Нет, через сумку не получится, – подумав, сказала Мария. – Надо прижиматься очень-очень плотно! Когда я сама прикладываю, если криво карту приложу – не срабатывает. У меня даже в метро не всегда получается рассчитаться, хотя я прям так прижимаю, – менеджер показала руками как.
– Для чего тогда нужны металлические чехлы, на которых написано, что они предназначены для защиты карт от несанкционированного снятия денег?
– Возможно, они нужны для защиты от переносных скиммингов, рассчитанных на систему PayPass и PayWave, – сказала Мария.
(Ремарка в скобках: скиммеры – это устройства такие, для кражи денег с карт.) Как они работают? – спросила я.
– Ни разу не видела! Но есть скимминги, которые мошенники устанавливают прям на терминалы банкомата. А у таксистов есть такие небольшие … Когда вы прям там карту вставляете… Я думаю, это должно быть что-то наподобие. Но к нему тоже надо прям хорошо приложиться! – немного сбивчиво, но уверенно объяснила Мария.
– И что делать? Как защищаться? – вскричала я в испуге.
– Сбербанк может вам предложить оформить финансовую защиту от мошеннических действий, – сообщила Мария.
По ее словам, финансовая защита страхует от «краж по скиммингу», «краж, когда перехватывают данные карты в общественных местах».
– Например, сотрудники общественных предприятий – кафе, отелей – считывают номер карты, запоминают оборотные три цифры и совершают покупки в Интернете. Как правило, именно сотрудники крадут данные карт! А вот если кто украдет саму вашу карточку, то он сможет пойти в магазин и до тысячи рублей рассчитаться за покупки. Три операции он так совершит, а на четвертый раз уже потребуется пин-код. А еще бывает, что в очереди люди стоят деньги снимать, а у них пин-коды подсматривают и карты украдывают! – решила быть откровенной со мной менеджер.
По ее словам, от всех этих безобразий (и еще много от чего) может спасти «финансовая защита» от Сбербанка, и всего за 990 рублей в год. Я обещала подумать и попрощалась. Но вопросы остались. Если я не заплачу Сбербанку за «защиту финансов» 990 рублей, значит, мои финансы будут защищены меньше, чем у тех, кто заплатил?
И еще непонятно про кошелек и сумочку. Если можно платить, не доставая карту из кошелька, то почему нельзя платить, не доставая карту из сумочки?
Мучаясь этими вопросом, я положила свое бесконтактное чудо технологий поглубже в карман кошелька сумочки (есть у меня такой) и пошла искать ответы у других специалистов.
ЦБ РФ: экранируйте фольгой
Мои сомнения оказались не беспочвенными. Бесконтактные карты оказались довольно беззащитными существами. Хотя MasterCard, Visa, как и Сбербанк, уверяют, что пользоваться ими не опаснее, чем другими технологиями для безналичной оплаты. Но Центробанк РФ предупреждает россиян.
«В местах большого скопления людей (переполненном общественном транспорте, на рынках, в магазинах) злоумышленник прислоняет бесконтактный считыватель или POS-терминал к карманам одежды, стенкам сумок и крадет деньги с карт у ничего не подозревающих жертв. Злоумышленнику достаточно приблизить считыватель к карте на расстояние 5–20 сантиметров, чтобы произвести списание. Полученную информацию мошенники могут также записывать на карты-клоны для дальнейшего хищения средств с настоящих банковских карт», – это информация официального сайта Банка России.
Там же есть рецепты, как защищаться.
«Использовать специальные экранированные бумажники (карта кладется в отсек, экранированный фольгой). Убедиться, что в качестве подтверждения списания суммы более 1000 рублей стоит запрос PIN-кода, а не подпись чека. В случае если вы не планируете оплачивать бесконтактным способом покупки на сумму более 1000 рублей, рекомендуется (при наличии такой возможности у банка-эмитента) установить индивидуальный расходный лимит по карте и ограничить размер возможных транзакций», – рекомендует Центробанк.
Эксперты Центра мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере ЦБ РФ (ФинЦЕРТ), рассказали, что наиболее популярным способом краж в РФ по-прежнему остается скимминг, при котором информация о банковской карте крадется с помощью специального устройства.
Хакерский «считыватель» достаточно приблизить на 20 см к карте с чипом RFID, чтобы считать информацию. Разновидностью скимминга являются шимминг и Black Box – взлом и установка в банкоматы вредоносного программного обеспечения.
Как сообщает сайт ЦБ РФ, ФинЦЕРТ «зафиксировал единичные случаи использования устройств, способных считывать информацию с чипов платежных карт. В настоящее время проводится техническое исследование этих устройств… Использование злоумышленниками полученной информации для создания копии платежной карты возможно, но затруднительно».
По данным аналитического центра Zecurion, в 2017 году число краж денег с банковских карт в России может вырасти по сравнению с предыдущим годом на 30 %.
Пойду куплю шоколадку для своей банковской карты. Шоколадку съем, в фольгу положу свой пластик.
Сбербанк комментирует
Мы попросили ответить на два наших вопроса пресс-службу Северо-Западного банка ПАО Сбербанк. Получили ответы на большее количество вопросов.
– Безопасны ли платежи с помощью карт, имеющих PayWave/PayPass? Что делать, чтобы защитить такую карту от злоумышленников?
– Сама по себе возможность бесконтактной оплаты не дает никаких преимуществ мошенникам: они не могут списать деньги без вашего ведома. Просто необходимо соблюдать основные правила безопасности, и рекомендуем обязательно подключить услугу Мобильный банк.
Ответы на возможные вопросы:
– Могут ли мошенники списать деньги считывающим устройством, незаметно прижав его к моему карману, – например, в транспорте, в магазинной очереди или в уличной толпе?
– POS-терминал «как в магазине» не может купить человек с улицы. Все подобные устройства регистрируются торговыми точками, деньги через терминалы переводятся на счета, у которых всегда есть владельцы – с паспортными данными, ИНН и т.п. Если какой-то предприниматель пойдет со своим терминалом в транспорт совершать фальшивые продажи, его сразу вычислят после первого же заявления пострадавшего
Терминал активируется для оплаты всего на несколько секунд. За это время очень сложно понять, где находится кошелек, и приблизиться к нему на расстояние не больше 4 см (именно таков радиус действия волн терминала).
Если бы мошенник сделал POS-терминал своими руками и научился бы мгновенно находить подходящие кошельки в толпе, ему надо было бы принимать безналичную оплату на какой-то счет. Анонимных счетов в России не бывает, а это значит, что мошенник не смог бы получить деньги, не «засветив» чье-то имя.
– Если коснуться терминала дважды, оба раза спишутся деньги?
– Нет. Терминал активируется, когда кассир вводит сумму. Это действует только на одну оплату, причем всего несколько секунд. Как правило, мы слышим при этом звуковой сигнал и видим на терминале значок бесконтактной оплаты. Если вы второй раз коснетесь терминала, а кассир при этом не вводил сумму новой покупки, терминал не «пикнет» и операция не пройдет.
– Если карту украли, могут ли воры потратить все деньги?
– Да. Они не смогут получить наличные с вашей карты и им будут доступны лишь мелкие покупки. Но чтобы любую попытку оплатить что-либо вашей картой отследить, обязательно подключите услугу Мобильный банк, с которой вы будете получать СМС-уведомления обо всех операциях. Если вы увидели, что с карты списана сумма, которую вы не тратили, сразу позвоните в контактный центр Сбербанка по номеру 900 и заблокируйте карту.
– Не спишутся ли деньги с моей карты за чужую покупку, если человек платит в магазине, а я стою в очереди очень близко, вплотную за ним?
– Нет. Для проведения операции карта должна быть прямо у терминала, на расстоянии не больше 4 см. Вряд ли человек в очереди перед вами будет стоять так близко к вам.
– С какой карты спишутся деньги, если касаться терминала кошельком, а в нем лежат кредитная и дебетовая карты (обе – бесконтактные)?
– Если в зоне действия терминала окажется больше одной бесконтактной карты, оплата не пройдет, а на терминале высветится надпись «Приложите одну карту». С какой карты платить, выбираете только вы сами, терминал не сделает это за вас.
– Можно ли на этих картах снизить лимит оплаты без ввода пин-кода ниже 1000 руб?
– Снизить лимит нельзя.
