Viac než tisíc eur zmizlo z účtu mladej ženy zo Žiliny v priebehu niekoľkých minút, a to bez jediného potvrdenia v bankovej aplikácii. Krátko pred Vianocami, keď nakupovala darčeky a riešila zariadenie nového bývania, sa stala terčom sofistikovaného zneužitia platobnej karty. Peniaze napokon nestratila, no len vďaka rýchlej reakcii a mechanizmom, o ktorých veľa ľudí ani netuší.
Žilinčanka dovtedy objednávala výhradne z veľkých a dôveryhodných e-shopov, ako sú Alza, Brloh či Allegro. Tovar jej chodil bez komplikácií, a preto nemala dôvod spozornieť. Niekde počas tohto obdobia však zrejme prišlo k úniku údajov z platobnej karty. Sama o ničom nevedela až do skorého rána, keď ju zo spánku prebudili opakované notifikácie o odchádzajúcich platbách.
Na displeji mobilu sa postupne objavovali informácie o transakciách smerujúcich k neurčito označenému „národnému parku“ v americkom Las Vegas. Išlo o typický automatizovaný útok. Systém skúšal rôzne čiastky, najskôr okolo 600 eur, potom 500, 400 a 300 eur, pričom niektoré platby banka zamietla, iné však prešli. V priebehu chvíle tak bola zablokovaná suma presahujúca tisíc eur.
Minúty rozhodovali
Po zistení situácie žena okamžite kontaktovala Tatra banku, dala si kartu zablokovať a spustila reklamačné konanie. Ani to jej však nedodalo pokoj. Známy z polície ju upozornil, že pri transakciách smerujúcich do USA býva vymoženie peňazí veľmi nepravdepodobné. Navyše ju znepokojilo, že pri takých vysokých sumách systém nevyžadoval dodatočné overenie cez 3D Secure.
Niekoľko dní nato však prišlo prekvapivé oznámenie. Peniaze sa jej na účet vrátili v plnej výške. Vysvetlenie je technické, no zásadné. Pri platbách kartou sa totiž suma najskôr iba autorizuje, teda dočasne zablokuje. Skutočné zúčtovanie prebieha až neskôr, keď si ho obchodník vyžiada. V tomto prípade k nemu nedošlo, takže banka blokáciu jednoducho uvoľnila.
Prečo banka neoverovala platby
Mnohých zaráža, ako je možné, že platby do zahraničia prešli bez potvrdenia. Odpoveď súvisí s rozdielnymi bezpečnostnými štandardmi. V Európskej únii je silné overenie zákazníka samozrejmosťou, no množstvo amerických či ázijských e-shopov ho nepoužíva, aby proces nákupu neodradil zákazníkov. Ak má útočník číslo karty, dátum platnosti a CVC kód, vie ho u takého obchodníka bez problémov zneužiť.
Samotný únik údajov pritom nemusí pochádzať priamo od veľkého e-shopu. Častým scenárom je predvianočný phishing. Zákazník čaká balík a príde mu správa, ktorá sa tvári ako oznámenie od prepravcu alebo obchodu, s výzvou doplniť adresu či zaplatiť drobný poplatok. Keďže ide o reálnu zásielku, obeť býva menej opatrná a zadá údaje na falošnej platobnej bráne.
Ako znížiť riziko
Banky dlhodobo odporúčajú zmenu správania pri online platbách. Za najbezpečnejšie riešenie sa považujú virtuálne jednorazové karty, ktoré ponúka väčšina slovenských bánk aj služby ako Revolut. Takáto karta slúži na jeden nákup a po zaplatení zanikne alebo sa jej údaje zmenia, takže ich neskoršie zneužitie nemá pre útočníka žiadnu hodnotu.
Neprehliadnite
Ďalšou ochranou je práca s limitmi a geografickými obmedzeniami. Internetový limit sa dá držať na minime a krátkodobo ho zvýšiť len v čase nákupu. Rovnako pomáha blokácia platieb mimo Európy. Príbeh zo Žiliny ukazuje, že notifikácie a okamžitý kontakt s bankou môžu rozhodnúť o tom, či peniaze zostanú len dočasne zablokované, alebo z účtu definitívne zmiznú.
