Пин-код карты ворам не помеха

Пин-код перестал быть надеждой защитой денег на банковской карте. Челябинцы случайно выяснили, что после введения ошибочного пароля и нажатия кнопки «отмена» платежные терминалы магазинов проводят транзакцию. Брешь в платежной системе или тонкости настроек – разбирался сайт ChelFin.ru.

Невольное «открытие» совершила жительница Челябинска Анастасия. «Расплачиваясь в магазине по карте мужа, случайно ввела пин-код от своей зарплатной и нажала красную кнопку. Но терминал вместо того, чтобы отменить оплату, совершил транзакцию. Стоявшие в очереди покупатели сначала ожидали, что касса зависнет, но увидев такое, были просто в шоке! Кассир даже посмеялась, дескать, оставьте нам карту, и мы гульнем», – рассказала она.

Оказалось, что сложившаяся ситуация – не какое-то упущение банка или платежной системы, а случайное совпадение настроек карты и терминала. «У банковских карт забиты в настройках разные приоритеты подтверждения личности держателя. Будете ли вы вводить пин-код или распишетесь на чеке, зависит от договоренности банка-эмитента и банка-эквайера – владельца торгового терминала. Каждый из них составляет CVM-список, в котором указывает предпочтительные способы верификации. При проведении оплаты по карте эти списки сравниваются и выбирается метод, которых допустим для обеих сторон», – рассказал руководитель оператора платежей «Процессинговое агентство» Андрей Рычков.

В платежной системе Visa отметили, что проведение таких операций не является уязвимостью, но важной функциональностью, которая позволяет банкам более аккуратно сбалансировать удобство и безопасность проведения платежей. «Отказ держателя от ввода пин (PIN Bypass) является стандартной функцией использования чиповых карт, зафиксированной в стандартах EMVCo. В таких случаях банк-эквайер, анализируя риски операции, может принять решение об отклонении транзакции без передачи ее в банк-эмитент. Если банк авторизовал такую транзакцию, значит он посчитал ее достаточно безопасной, чтобы пойти навстречу своему клиенту», – отмечает глава департамента по управлению рисками Visa в России Олег Скородумов.

«Единства в вопросе о том, что важнее – подпись или ввод пин-кода, у платежных систем нет. К примеру, Visa рекомендует устанавливать ввод пин-кода, а MasterCard – проверять личную подпись держателя. Поэтому банки в России (как эмитенты, так и эквайеры) самостоятельно выбирают способ «верификации». Сбербанк предлагает держателям самостоятельно выбрать способ подтверждения операции, исключение составляет проведение операции по картам Maestro – по ним ввод пин-кода обязателен», – ответили в пресс-службе Сбербанка.

Как пояснили в банке «Уралсиб», для пластиковых карт с чипом нет обязательного требования введения пароля при оплате покупок в торговых точках. Банк, обслуживающий платежный терминал, волен сам устанавливать требования к идентификации. Покупатель либо вводит пароль, либо ставит подпись на чеке, которая сверяется с подписью на карте.

«В терминалах УРАЛСИБа стоят соответствующие настройки, делающие введение ПИН-кода обязательным при транзакции в торговых точках. В других банках могут быть иные требования к настройкам терминала и вопросам безопасности, не предполагающие введение ПИН-кода. Тогда при предложении набрать ПИН-код покупатель может сразу нажать «отмена», тем самым говоря, что он не хочет его показывать. Тоже самое происходит, если введен другой пароль и нажимается красная кнопка. Транзакция проходит, но в этом случае продавец обязан выдать чек, на котором расписывается покупатель», – пояснил начальник отдела сопровождения продаж офиса банка «УРАЛСИБ» в Челябинске Андрей Никитин.

В качестве эксперимента корреспондент ChelFin.ru попробовал расплатиться в супермаркете, введя другой пароль. После нажатия красной кнопки на экране появился красный знак «Х», сообщающий об отказе от пароля, но оплата не прошла. Вероятнее всего, настройки карты или терминала оказались другими. Однако случай Анастасии далеко не единственный. С подобными ситуациями сталкивались жители других городов России, рассчитываясь на автозаправках, в кафе и других заведениях.

«Осуществление платежной операции по банковской карте в торговой точке – сложный технологический процесс, состоящий из большого количества этапов. При этом у каждого банка-эмитента и у каждого банка-эквайера существуют свои правила безопасности и настройки ИТ-систем по картам и терминалам соответственно», – рассказал пресс-секретарь пресс-секретарь ВТБ24 в УрФО Андрей Бочаров.

Получается, что на пароль можно надеяться не всегда. Мошенники, завладев пластиком, хоть и не обналичат средства, но вполне могут закупиться в ближайшем магазине. Но защитить свои деньги можно, если внимательно следить за сохранностью карты. При обнаружении пропажи нужно срочно позвонить в банк и попросить, чтобы карту заблокировали. Если мошенник все же успел расплатиться по карте, транзакцию можно оспорить. «Вы идете в банк и пишите заявление. Торговая точка должна предоставить чек с вашей подписью. Если она не ваша, операция оспаривается и деньги возвращаются», – добавил Андрей Никитин. Поэтому при получении карты рекомендуется сразу же ставить свою подпись на ней. Если кассир заподозрит неладное, он может потребовать паспорт, чтобы сверить фамилию и имя на карте с тем, что написано в документе.

Эксперты также отмечают, что у клиентов некоторых банков есть возможность выбрать способ верификации и даже изменить приоритет способа подтверждения личности. Для этого нужно обратиться в финансовую организацию.