Za czyje zakupy płacimy w autobusie kartą zbliżeniową
Ponad 8 milionów Polaków posiada karty debetowe oraz kredytowe wyposażone w technologię NFC umożliwiającą płatności zbliżeniowe. Brak potrzeby autoryzacji wykorzystywany jest przez cyberzłodziei, którzy za pomocą dwóch telefonów komórkowych płacą naszymi kartami za swoje zakupy.
Karty zbliżeniowe stały się standardem promowanym przez banki, które nie tylko wymieniają je na nowe, gdy upływa okres ważności naszych starych kart, ale proponują je swoim klientom w każdej chwili bez specjalnego powodu. Powód jednak jest. Zamiana transakcji gotówkowych na elektroniczne oznacza dla banków obniżenie kosztów zabezpieczania i logistyki pieniędzy papierowych oraz zyski z opłat za korzystanie z transakcji elektronicznych. Jednak gdy nasz dostęp do pieniędzy staje się łatwiejszy, ich kradzież staje się również prostsza.
Pobierz: darmowy program PIT 2012
Do kradzieży dochodzi najczęściej w autobusie. Złodziejom wystarczą dwa nowoczesne telefony z systemem NFC oraz specjalne oprogramowanie, niestety dostępne w sieci. Nie ma potrzeby zakupu drogiego terminala, czy też fizycznej kradzieży karty. Złodzieje nie będą grzebać nam w torebce, ani w portfelu. Wystarczy, że stoją obok nas przez dłuższą chwilę. Jak wynika z badań i testów przeprowadzonych przez naukowców z Uniwersytetu Cambridge*, sygnał przechwycony może być z odległości jednego metra.
Jak dochodzi do przechwycenia danych karty? Jedna z dwóch osób kradnących robi zakupy i płaci za nie zbliżeniowo. Sygnał do terminala płatniczego w kasie wysyłany jest jednak nie z karty, a z telefonu, który otrzymuje kopie sygnału karty w autobusie. Cyfrowy obraz sygnału stanowi dokładną kopię, a więc kasjer nie zauważy żadnych anomalii. Cały proces trwa zaledwie kilka chwil i nie pozostawia po sobie fizycznych śladów użytkowania karty, tzn. nikt jej nie wyciąga z naszego portfela. Jeżeli nie sprawdzimy stanu konta i nie zorientujemy się, że zapłaciliśmy za czyjeś zakupy, o sprawie nikt się nie dowie.
Brak autoryzacji transakcji zbliżeniowych jest dużym udogodnieniem zarówno dla kupujących, jak i dla sprzedawców, ponieważ efektywnie skraca i upraszcza proces płatności bezgotówkowych. Nie jest jednak bez wad. Pozwala na korzystanie z karty bez znajomości PIN-u, a przy procederze kopiowania sygnału, również bez fizycznej kradzieży karty.
Pocieszenie może stanowić fakt, że transakcje zbliżeniowe w Polsce realizowane są wyłącznie do kwoty 50 zł, czyli potencjalne straty z tytułu kradzieży będą niewielkie. Z drugiej jednak strony liczba tych transakcji, teoretycznie ograniczona do 5 dziennie, może spowodować wyczyszczenie naszego konta. W jaki sposób? Znany jest przypadek 78 transakcji wykonanych kartą zbliżeniową jednego dnia, ponieważ tego typu płatności wykonywane są w trybie off-line i nie są rejestrowane w czasie rzeczywistym.
Banki otrzymują coraz więcej reklamacji związanych z nieprawnym użyciem kart zbliżeniowych przez osoby postronne. Z racji tego, że autoryzacja transakcji przy użyciu takiej karty odbywa się poprzez jej posiadanie w portfelu, kieszeni, nie pozostają inne ślady jej użycia, takie jak podpis czy PIN. Ubezpieczenia kart często pokrywają straty w wyniku takich transakcji od kwoty 200 zł, a więc jeśli straciliśmy 50, 100, lub 150 zł, ubezpieczenie nas nie dotyczy. Warto zwrócić na to uwagę przy podpisywaniu umowy w banku.
Okazuje się, że najlepiej zabezpieczeni przed przechwytywaniem danych z kart płatniczych są posiadacze telefonów z możliwością płatności zbliżeniowej takich jak T-Mobile My Wallet czy Orange Cash. Najpierw wprowadzają dane karty lub kart do telefonu, a następnie korzystają z sygnału wysyłanego z komórki podczas płatności. Uruchomienie takiej płatności wymaga autoryzacji PIN w telefonie, a więc właściciele kart są świadomi każdej transakcji. Mogą również przy pomocy kilku kliknięć wyłączyć przekazywanie danych NFC. Posiadacze kart zbliżeniowych takiej możliwości nie mają.
Nowe technologie stawiają przed projektantami, deweloperami i informatykami nowe wyzwania komunikacyjne. Nie chodzi tylko o warstwę oprogramowania i sprzęt, ale także o "user experience", czyli wrażenia użytkownika, a także jego poziom wiedzy i umiejętności do posługiwania się tą technologią. Jeżeli wrażenia są złe, a technologia trudna lub niebezpieczna w codziennym użytkowaniu, to może się nie przyjąć. Takimi prawami rządzą się finansowe aplikacje mobilne. W przypadku "płatności przez telefon" zagrożenia dla danych użytkownika mogą powstawać dopiero w momencie fizycznego kontaktu atakującego z urządzeniem, na przykład kradzieży telefonu. - Warto w procesie projektowym kłaść nacisk nie tylko na identyfikację kluczowych funkcjonalności, ale i głównych zagrożeń dla bezpieczeństwa danych - mówi Mateusz Biliński, mobility manager w Lizard Mobile. - Wspomaganie się tutaj ekspertyzą osób spoza projektu, które zadają właściwe pytania, skutecznie zwiększa szanse aplikacji na zaistnienie w świecie mobilnym - dodaje Mateusz Biliński.
Warto inwestować w najnowsze technologie oraz uczyć się, jak korzystać z tych, które już na co dzień nosimy w portfelu.
* Badania Uniwersytetu Cambridge na temat odległości przechwytywania sygnału NFC kart zbliżeniowych: "An RFID Distance Bounding Protocol" Gerharda P. Hancke and Markusa G. Kuhn - http://www.rfidblog.org.uk/Hancke-Securecomm2005-pres.pdf
