Przestępstwa z wykorzystaniem kart płatniczych

Autor: Karol Żwiruk expander.pl, 2003-10-23

czytano 25 623 razy

Karty płatnicze stały się w ciągu kilku ostatnich lat codziennością w naszym kraju. Wraz z rozwojem rynku kartowego, pojawiły się także związane z nim patologie. Jedną z takich patologii jest przestępczość związana z kartami płatniczymi.

Karty nadają się świetnie jako obiekt działań przestępczych. Pomimo swojego małego rozmiaru mogą bowiem stanowić niewyczerpane źródło pieniędzy. Dlatego właśnie, od początku istnienia kart płatniczych, są one bezustannie wykorzystywane w sposób niezgodny z prawem. Od wielu lat trwa wyścig pomiędzy przestępcami a organami ścigania oraz organizacjami płatniczymi i bankami, którym zależy na bezpieczeństwie stosowanych rozwiązań. Postęp technologiczny powoduje, że karty są coraz lepiej zabezpieczone, jednak ten sam postęp dostarcza przestępcom coraz to nowych narzędzi do łamania tych zabezpieczeń.

Pewne jest, że nie można całkowicie wyeliminować przestępczości związanej z kartami. Nie uczynią tego ani najlepsze zabezpieczenia, ani najlepsze prawo. Należy jednak dążyć do marginalizacji tego zjawiska. Można tego dokonać poprzez szybkie wdrażanie najnowszych technologii zabezpieczeń oraz poprzez edukację użytkowników kart, aby uzmysłowić im zagrożenia zwiane z kartową przestępczością. W tym celu został stworzony ten artykuł, który ma zaprezentować najpopularniejsze z tego rodzaju przestępstw, pokazując jednocześnie, w jaki sposób można ich uniknąć.

Jednak najważniejszymi podmiotami w walce z kartową przestępczością zawsze pozostaną Policja oraz banki. Konieczne jest, by były one wyposażone w najlepsze technologie i sprzęt pozwalający im na skuteczne działanie.

1. Wykorzystanie skradzionej karty płatniczej

Przestępstwa związane z nielegalnym wejściem w posiadanie karty płatniczej należą do bardzo powszechnych. Jednak ilość tego rodzaju przestępstw powoli się zmniejsza. Jest to związane z wprowadzaniem nowych technologii, chroniących przed tego rodzaju oszustwami.

Najczęściej tego typu przestępstwa polegają na:

- kradzieży karty i podrobieniu podpisu właściciela,

- podrobieniu lub przerobieniu kart,

- posługiwaniu się kartami nie doręczonymi prawowitemu użytkownikowi.

Wejście w posiadanie cudzej karty płatniczej następuje w większości przypadków poprzez kradzież. Może to także mieć miejsce w sytuacji znalezienia cudzej karty, zgodnie z zasadą, że "okazja czyni złodzieja". Przestępcy często starają się "przechwycić" karty wysyłane przez banki i będące w drodze do swoich właścicieli. Banki najczęściej wysyłają karty w formie nieaktywnej, jednak przestępcy mogą próbować dokonać ich aktywacji, jeśli tylko posiadają wiedzę o posiadaczu, lub też wykorzystać otrzymaną kartę po odpowiednim przerobieniu jako nośnik danych innej karty,

Nowa ustawa o elektronicznych instrumentach płatniczych wymaga, by bank wysyłający kartę był w stanie wskazać dokładnie moment jej doręczenia klientowi. Przed tym momentem bank jest jedyną instytucją odpowiedzialną za transakcje dokonane kartą. Spowoduje to uporządkowanie kwestii zwianych z doręczaniem kart i zapewni ich większe bezpieczeństwo, gdyż banki najprawdopodobniej zrezygnują z rozsyłania kart zwykłymi listami.

Jeśli aktywna karta wpadnie w ręce przestępców w wyniku kradzieży lub zagubienia, to najczęściej klient dość szybko jest w stanie stwierdzić utratę karty. Przestępcy w takiej sytuacji szybko starają się dokonać zakupów posiadaną kartą, licząc na to, że zdążą zrobić to przed zastrzeżeniem karty przez prawowitego właściciela. W przypadku kart wypukłych przestępcy często dokonują zakupów w punktach, w których istnieją limity wysokości autoryzowanych transakcji (floor limit´y). Działanie floor limitu polega na nieautoryzowaniu on-line transakcji o wartości poniżej ustalonej kwoty, np. 100 zł. Pozwala to sprzedawcy na usprawnianie procesu autoryzacji kart oraz zmniejszenie jego kosztów. W przypadku autoryzacji off-line numer karty jest sprawdzany z listą skradzionych lub zastrzeżonych kart, którą urządzenie posiada w swojej pamięci.

Lista ta jednak jest uaktualniana najczęściej tylko raz na dobę, podczas wysyłki nocnej. Przestępcy w takiej sytuacji mają dużo czasu na wykorzystanie karty, zanim jej numer pojawi się na "czarnej liście" w terminalach. Dokonują wiec dużej ilości transakcji na niewielkie kwoty, by uniknąć autoryzacji karty on-line. W celu walki z tego rodzaju procederem, terminale dokonują także autoryzacji on-line wybranych losowo transakcji na niskie kwoty. W ten sposób przestępcy nigdy nie mogą być pewni, czy karta nie zostanie zatrzymana. Niektóre centra autoryzacyjne takie jak Polcard i eService autoryzują wszystkie transakcje kartami płatniczymi Visa oraz MasterCard, obojętnie czy są to karty płaskie czy wypukłe. W ten sposób centra zabezpieczają swoich klientów przed transakcjami zastrzeżonymi kartami ale jednocześnie narażają posiadaczy kart na oczekiwanie na autoryzację nawet w przypadku płatności na niską kwotę.

Oczywiście przestępcy muszą złożyć w obecności kasjera podpis, zgodny z podpisem znajdującym się na karcie. Niestety większość sprzedawców nie sprawdza dokładnie zgodności podpisów, co znacznie ułatwia życie przestępcom. Także klienci często podpisują się w sposób łatwy do odwzorowania przez przestępcę. Przestępcy mogą także podrobić kartę, próbując usunąć stary podpis i złożyć w jego miejsce nowy. Warto przypomnieć, ze sprzedawca ma obowiązek, w razie najmniejszych wątpliwości co do tożsamości posiadacza karty, poprosić o dokument ją potwierdzający.

Przestępstwa tego rodzaju stanowią obecnie wysoki odsetek wszystkich przestępstw kartowych. Walka z nimi powinna w pierwszym rzędzie polegać na edukacji klientów oraz sprzedawców. Ci pierwsi powinni w sposób właściwy zabezpieczać swoje karty płatnicze, a ci drudzy w należyty sposób wywiązywać się z obowiązku sprawdzania podpisu klienta na karcie i weryfikacji jego tożsamości. Także sami klienci powinni przywyknąć do dokładnego sprawdzania podpisów i ewentualnie dokumentów przy płatnościach kartowych.

Pełna eliminacja tego rodzaju przestępstw nastąpi po pełnym zastąpieniu obecnych kart z paskiem magnetycznym przez karty chipowe. W przypadku kart chipowych potwierdzenie transakcji będzie dokonywane przy użyciu kodu PIN, co daje prawie pełne bezpieczeństwo w przypadku przestępczego wejścia w posiadanie karty. Już obecnie niektóre transakcje kartami elektronicznymi dokonywane są z wykorzystaniem PINu, jest to jednak margines wszystkich transakcji.

2. Zakupy na odległość z wykorzystaniem danych cudzej karty (carding)

Przestępczość związana z płatnościami kartowymi w Internecie także stanowi bardzo poważny problem. Trwają już jednak prace wdrożeniowe technologii, które w ciągu kilku lat pozwolą znacznie zmniejszyć jej zakres.

Najpopularniejszym przestępstwem tego rodzaju jest dokonanie zakupu, podając dane karty kredytowej innej osoby. Tego rodzaju przestępstwo jest odmianą przestępstwa nazywanego identity theft (kradzież tożsamości). Wykorzystywane do zakupu dane o karcie kredytowej mogą zostać zdobyte na różne sposoby. Przestępca może wejść w ich posiadanie poprzez fizyczny kontakt z kartą (spisanie danych przez sprzedawcę, podejrzenie danych z karty) lub poprzez Internet (hacking - kradzież numeru karty z komputera posiadacza lub bazy danych, scam -podstępne skłonienie posiadacza karty do samodzielnego podania numeru swojej karty, itd.)

Po zdobyciu danych karty, przestępca próbuje dokonać przy ich użyciu zakupu w Internecie. Może tego dokonać w tych sklepach internetowych, gdzie możliwe jest przesyłanie towaru na adres inny, niż adres posiadacza karty. Wiele sklepów zabezpiecza się przed oszustwami w ten właśnie sposób, że przesyła towary tylko na adres, jaki widnieje w bazie danych wystawcy karty jako adres posiadacza.

Często towary przesyłane są przez przestępców na adres innych osób, które jedynie mają odebrać przesyłkę, by potem przekazać ją przestępcy. Sklepy czasami dokonują także sprawdzania specjalnego kodu CVV2/CVC2, który jest wydrukowany na pasku z tyłu karty. Znajomość tego kodu ma potwierdzać, że kupujący jest rzeczywiście w fizycznym posiadaniu karty, której dane podaje.

Obecnie trwają prace wdrożeniowe technologii, które w znaczący sposób zredukują ilość oszustw kartowych w Internecie. Technologie Visa 3D Secure (Verified by Visa - tutaj artykuł na ten temat) oraz MasterCard SPA opierają się na współpracy pomiędzy sprzedawcą a bankiem - wystawcą karty płatniczej. Klient dokonujący zakupu, poza danymi karty będzie musiał dodatkowo podać specjalne hasło, które potwierdzi, że jest on prawowitym posiadaczem karty. Hasło będzie definiowane w momencie uzyskiwania karty płatniczej, lub później, w momencie uzyskiwania dostępu do funkcji płatności przez Internet. Zastosowanie tej technologii zapewne wyeliminuje obecne typy przestępstw internetowych, lecz z pewnością zrodzi też zupełnie nowe ich rodzaje. Należy się spodziewać, że przestępcy spróbują się wtedy skupić na wyłudzaniu od nieświadomych klientów danych kart wraz z hasłami potwierdzającymi ich tożsamość.

3. Fałszowanie dowodów transakcji przez nieuczciwych akceptantów

Fałszowanie dowodów transakcji należy do szerszej grupy przestępstw, związanych z nieuczciwością sprzedawców akceptujących karty. Współpraca sprzedawców z przestępcami zdarza się dosyć często. Centrum autoryzacyjne, które podpisuje umowy z poszczególnymi punktami handlowymi, nie jest bowiem w stanie sprawdzić dokładnie wiarygodności każdego z nich. Tym bardziej nie jest w stanie sprawdzić każdej osoby, która ma dostęp do terminala kartowego i może z niego korzystać.

Przestępcy często wykorzystują "zaprzyjaźnione" punkty handlowe do wykonywania transakcji kradzionymi kartami płatniczymi. Przestępcy maja w ten sposób ułatwione zadanie złożenia na potwierdzeniu odpowiedniego podpisu. W ten sposób unikają także zagrożenia zdemaskowaniem w sytuacji, gdy karta okaże się być już zastrzeżona. Jest to jednak bardzo krótkowzroczna przestępcza działalność, gdyż monitoring transakcji prowadzony przez centra rozliczeniowe doskonale wychwytuje tego rodzaju "niepewne" punkty, a późniejsze czynności Policji i prokuratury doprowadzają do ujawniania samych przestępców.

Działalnością przestępczą o mniejszym ciężarze gatunkowym jest natomiast podrabianie już podpisanych przez klientów potwierdzeń wykonania transakcji. Dzieje się to najczęściej w restauracjach, gdzie terminale wyposażone są w opcję dodawania do rachunków napiwków klientów. Klienci często pozostawiają puste pole na potwierdzeniu, przeznaczone na wpisanie wysokości napiwku. Pole to może zostać w dowolny sposób zapełnione przez nieuczciwego sprzedawcę lub kelnera. Później dokonuje on wprowadzenia specjalnej "napiwkowej" transakcji do terminala i klient zostaje obciążony dodatkowo taką kwotą. Zabezpieczeniem w systemie jest wysokość napiwku, który nie może przekroczyć 20% wartości całej transakcji. Działalność prewencyjna w przypadku tego rodzaju przestępstw winna polegać na uświadomieniu klientom konieczności dokładnego wypełniania potwierdzeń transakcji i wpisywania kwoty napiwku w odpowiednim miejscu lub wpisania zera lub też wpisania "xxx" w miejscach przeznaczonych na wpisanie kwoty napiwku.

4. Skimming w punkcie handlowym

Skimming to obecnie najbardziej rozpowszechnione i najbardziej niebezpieczne przestępstwo kartowe. Polega ono na skopiowaniu paska magnetycznego karty płatniczej ofiary i nałożenia go na inną kartę. Ta karta służy natomiast do dokonywania transakcji na konto ofiary. Ofiara przez długi czas działalności skimmerów nie jest świadoma, że znajdują się oni w posiadaniu kopii jej karty. Dowiaduje się o tym najczęściej wtedy, gdy otrzymuje z banku wyciąg, na którym widnieją transakcje, których nie dokonała. Często transakcji tych nie mogłaby fizycznie wykonać, gdyż zostały one dokonane na drugim końcu świata. Jest to efekt działania międzynarodowych gangów skimmerów, które wymieniają się w sieci Internet zawartością pasków magnetycznych kart ofiar swoich przestępstw.

Brak wiedzy posiadacza o skopiowaniu jego karty daje skimmerom duże poczucie bezpieczeństwa w korzystaniu ze skopiowanej karty. Jedynym sposobem wykrycia działalności skimmerów na tym etapie, jest monitoring transakcji wykonywany przez banki i centra rozliczeniowe. Polega on na kontakcie z osobą, której karta służy do wykonywania wielu transakcji w różnych częściach świata, lub też jednej transakcji na dużą kwotę. Jeśli okazuje się, ze klient jest w danym momencie w Polsce i nie dokonuje takiej transakcji, to karta zostaje natychmiast zablokowana.

Skopiowana karta może zostać nagrana na inną kartę typu white plastic (biała karta bez żadnych oznaczeń) i być wykorzystywana w terminalach sprzedawców współpracujących z przestępcami. Może także być nałożona na inną, normalną kartę płatniczą. W takiej sytuacji, w przypadku dokonywania transakcji, numer wybity na karcie i numer karty wydrukowany na potwierdzeniu transakcji różnią się. To kolejny oręż walki ze skimmingiem. Dokonując transakcji, sprzedawca powinien sprawdzić, czy numer karty i numer z potwierdzenia są ze sobą zgodne.

Skimming w punkcie handlowym jest dokonywany przez nieuczciwego sprzedawcę, który znikając na zapleczu, lub czasem nawet na oczach klienta, dokonuje skopiowania paska magnetycznego karty przy użyciu miniaturowego czytnika. Metody skimmerów są bardzo różne, i mogą polegać po prostu na przejechaniu kartą po określonym miejscu na blacie stołu. Zwyczajny użytkownik karty nie jest praktycznie w stanie stwierdzić, że jego karta jest właśnie na jego oczach kopiowana. Większość skimmerów nie działa jednak w tak zuchwały sposób i, aby skopiować kartę, udają się z nią na zaplecze. Z tego właśnie powodu warto nie rozstawać się ani na krok z nasza kartą, a jeśli sprzedawca musi się z nią udać na zaplecze, to powinniśmy pójść razem z nim.

Niski koszt i powszechna dostępność czytników pozwalających na kopiowanie kart czyni ze skimmingu prawdziwą plagę początku XXI wieku. Skutecznym zabezpieczeniem przez skimmingiem będzie dopiero pełne przejście na karty chipowe standardu EMV. Skimming jest immanentnie związany z technologią paska magnetycznego karty, i powinien zniknąć wraz z jego eliminacją.

5. Skimming w bankomacie

Skimming bankomatowy jest kwalifikowaną formą skimmingu. Wymaga on drogiego i nowoczesnego sprzętu oraz dużej wiedzy przestępców o funkcjonowaniu bankomatów. Tego rodzaju przestępczością zajmują się wyspecjalizowane grupy dysponujące odpowiednim sprzętem oraz bardzo dużą wiedzą techniczną.

Skimming bankomatowy różni się od tego dokonywanego w sklepie tym, że celem przestępców, poza skopiowaniem paska magnetycznego karty, jest także zdobycie numeru PIN posiadacza. Znajomość PINu powoduje, ze przestępcy mogą na konto ofiary dokonywać transakcji bankomatowych, czyli wypłacać pieniądze. Dzięki temu unikają problemów związanych z koniecznością wprowadzania do obiegu towarów zakupionych fałszywymi kartami w sklepach.

Urządzenie służące do tego rodzaju skimmingu musi składać się z czytnika karty, umieszczonego najczęściej wewnątrz bankomatu, który sczytuje zawartość paska magnetycznego, oraz miniaturowej kamery, która rejestruje wprowadzony przez klienta kod PIN. Obraz i dane są najczęściej przekazywane drogą radiową do zaparkowanego w pobliżu bankomatu samochodu, w którym komputer dokonuje archiwizacji zebranych danych. W ten sposób, w ciągu zaledwie kilku godzin, przestępcy są w stanie zdobyć dane o kilkudziesięciu kartach. Klienci korzystający z bankomatu najczęściej nie są w stanie stwierdzić, że w bankomacie zostało zainstalowane dodatkowe urządzenie. Jest to związane z różnym wyglądem bankomatów (nawet w obrębie tego samego banku) i brakiem jakichkolwiek standardów w tym zakresie.

Ważne jest, by klienci korzystający z bankomatów dokładnie im się przyglądali, czy nie zostały do nich przytwierdzone jakieś dodatkowe urządzenia. W przypadku jakichkolwiek wątpliwości powinni natychmiast poinformować o tym najbliższą placówkę banku lub Policję.

Pełne zabezpieczenie przed tym typem skimmingu zapewni wprowadzenie kart chipowych, których jak na razie przestępcy nie potrafią klonować.

Podsumowanie

Przestępczość kartowa, związana z najnowszymi technologiami, coraz częściej wypierać będzie przestępczość tradycyjną. Kluczem do skutecznej walki z tego rodzaju przestępczością jest działalność prewencyjna. Najważniejszym elementem tej działalności winna stać się przeprowadzona na szeroką skalę akcja edukacyjna, pokazująca zagrożenia związane z korzystaniem z kart płatniczych, oraz prezentująca zachowania, które pozwalają w łatwy sposób wyeliminować kartową przestępczość.

Znajomość przez posiadacza karty typów najpopularniejszych przestępstw kartowych oraz sposobów ich dokonywania, znacznie zwiększa jego bezpieczeństwo w posługiwaniu się tym instrumentem. Wydaje się, że warto tą wiedzę przyswoić sobie już dziś, bowiem dużo lepiej uczyć się na błędach innych, niż na swoich własnych, które w przypadku kart płatniczych mogą być bardzo kosztowne.

Prawdą jest że tam gdzie są pieniądze tam też są przestępstwa. Nie inaczej jest w obrocie kartowym, chociaż wraz z wprowadzaniem nowoczesnych zabezpieczeń, proceder jest w znacznym stopniu utrudniony. Obecnie wydawane karty wyposażone są w mikroproce­sor chipowy w standardzie EMV, na którym zapisywane są wszystkie dane potrzebne do autoryzacji. Dodatkowo wszystkie karty chipowe wymagają podania numeru pin, co daje prawie stuprocentową gwa­rancję, że osoba płacąca taką kartą jest jej właścicielem. Niestety w rynku sporo jest jeszcze kart magnetycznych (z paskiem) i to właśnie takie karty są narażone na wszelkiego rodzaju nadużycia, w szcze­gólności takie, które potwierdzane są podpisem posiadacza.

Do najczęstszych przestępstw zalicza się oczywiście używanie kart skradzionych lub znalezio­nych. Przestępcy zajmujący się tym procederem polują na karty już na samym początku, czyli od momentu wysłania jej przez bank. Starają się przechwycić kartę które wysyłane są zazwy­czaj zwykłym listem za pośrednictwem poczty. Karty są przeważnie nieaktywne, ale jeśli zło­dziej tylko posiada informacje o adresacie listu z pewnością będzie starał się ją aktywować Zno­welizowana ustawa o elektronicznych instrumentach płatniczych wymaga, by bank wysyłający kartę był w stanie wskazać dokładnie moment jej doręczenia klientowi. Przed tym momentem podmiotem odpowiedzialnym za kartę jest tylko i wyłącznie bank.

Jeśli zgubisz kartę to najprawdopodobniej dość szybko się zorientujesz że jej nie ma i czym prę­dzej zadzwonisz do swojego banku aby ją zastrzec. Jeśli karta została skradziona to złodzieje będą chcieli jej użyć. Najczęstszym sposobem wykorzystania takiej karty jest dokonywanie płat­ności o niewielkiej kwocie. Dlaczego? Powodem jest fakt że niektóre terminale realizując płatno­ści o niskim nominale nie łączą się z centrum autoryzacyjnym, ale polegają na tym co mają w swojej pamięci, autoryzując kartę offlinowo. Terminal raz na dobę pobiera listę kart zastrzeżo­nych i skradzionych, a więc terminal który nie łączy się przy każdej transakcji z centrum nie roz­pozna karty, która była skradziona w danym dniu! Trzeba jednak przyznać że największe firmy w Polsce takie jak Polcard, Eservice czy Elavon autoryzują każdą transakcje online, bez względu na jej wysokość.

Nawet jeśli złodziej wie gdzie jest terminal offlinowy to i tak istnieje jeszcze zabezpieczenie karty. Niestety zazwyczaj wtedy jest nim tylko podpis, a widomo że kasjerzy bardzo rzadko sprawdzają zgodność podpisu. Jest to oczywiście wielki błąd ponieważ to sprawia że odsetek takich oszukańczych transakcji jest bardzo duży. Wyeliminowanie takiego obrotu sprawy nastąpi dopiero wówczas gdy karty magnetyczne zostaną zastąpione kartami chipowymi.

Drugim co do skali rodzajem oszustw jest fałszowanie odcinków potwierdzeń dokonania trans­akcji. Sprawa dotyczy przede wszystkim tych punktów, gdzie istnieje możliwość doliczenia napiwku do kwoty transakcji, a więc są to w głównej mierze restauracje. Zazwyczaj nie są to niewielkie sumy, ponieważ napiwek nie może przekraczać 20% kwoty transakcji, niemniej jed­nak kelner może ja dopisać sam, gdyż na paragonie w punkcie realizującym napiwki zawsze widnieje pole gdzie dopisuje się jego kwotę. Na szczęście takie nadużycia są bardzo szybko wykrywane a policja szybko dociera do oszustów. Kiedy jednak na wyciągu z banku kwota różni się od tej którą zostawiłeś w restauracji, to możesz być pewien że kelner dopisał sobie napiwek nie informując cię o tym. Pamiętaj że powinieneś zareklamować taką transakcję.

Najtrudniejszą do wykrycia formą oszustw kartowych jest tzw. Skimming. Jest to nic innego jak skopiowanie danych z paska magnetycznego jednej karty i nałożenie ich na drugą. Wtedy zło­dzieje mogą do woli używać klona twojej karty podczas gdy ty żyjesz w błogiej nieświadomo­ści. No tak ale kiedy dochodzi do zgrywania danych z karty? Najczęściej wtedy kiedy kasjer znika z karta na zapleczu. Musisz w takich wypadkach reagować, ponieważ nigdy nie powinie­neś tracić karty z oczu!

Na szczęście każdy bank ma obowiązek monitorowania kart i sprawdzania miejsc jej użycia. Jeśli okaże się że np. kartą zostały zrealizowane transakcje tego samego dnia w dwóch lub trzech różnych krajach, pracownik banku na pewno zadzwoni do ciebie i zapyta o to. Jeżeli okaże się że jesteś cały czas w Polsce, karta natychmiast zostaje zablokowana. Podobny moni­toring obejmuje kwoty zakupów. Jeśli nagle transakcja jest na wyższą kwotę niż zazwyczaj, również pracownik banku się do ciebie odezwie.

Karty płatnicze to jednak bezpieczne narzędzie. Stosunkowo częściej w rynku można spotkać podrobione banknoty, dlatego aby w pełni udoskonalić system kart płatniczych i zwiększyć jego bezpieczeństwo należy uświadamiać użytkowników kart o zagrożeniach i jak ich unikać. Stosun­kowo lepiej jest zapobiegać niż leczyć