אבטחת מידע בכרטיסי אשראי - איך אתם מחליטים אם לשמור פרטי כרטיס אשראי או להימנע?

[Echelon]

באופן כללי, כיצד נכון להחליט אם אתר, אפליקציה או ספק שירותים, שמאפשרים שמירת פרטי אשראי לגבייה חוזרת מאובטחים מספיק?

רקע:
אני מעדיף לשלם בכרטיס אשראי אמריקאי על מה שניתן. אם אזין לאתר/אפליקציה פרטי כרטיס אשראי ישראלי והוא "יישרף" אני מניח שאתמודד עם הנזק יחסית בקלות. לעומת זאת, אם הכרטיס האמריקאי "יישרף" זה עלול לייצר כאב ראש גדול יותר.

באופן ספציפי, מתלבט כרגע לגבי שמירת פרטי האשראי האמריקאי לגבייה חוזרת בשני מקומות:
1) חברת הניהול בבניין משתמשת באפליקציה ישראלית (DARIMPO), שמאפשרת שמירת פרטי אשראי לגבייה חוזרת של ועד הבית. בתחתית עמוד הזנת פרטי האשראי מופיע בפונט Miriam 8 "*התשלום מאובטח בתקן PCI". האם זה מבטיח שהאפליקציה אכן עומדת בתקני אבטחת המידע הנדרשים? הרי כל אחד יכול להוסיף את השורה הזאת באתר/אפליקציה שלו, לא?
2) ספק שירותים שמשתמש במערכת ישראלית (iCount) לביצוע תשלומים והפקת חשבוניות, שמאפשרת שמירת פרטי אשראי לגבייה חוזרת. באתר החברה נראה שהם עומדים בתקן PCI-DSS ושפרטי האשראי עוברים טוקניזציה ולמעשה מוצפנים.

אני מניח שרובנו מרגישים נוח לשמור את פרטי האשראי שלנו באתרים כמו Amazon, אבל נרגיש פחות נוח לשמור אותם באתר כמו "תבליני אלכסנדר ובניו בע"מ"...
יש לכם טיפים איך ניתן לוודא שמקום מאובטח מספיק לשמירת פרטי אשראי לגבייה חוזרת ומקום אחר לא?

תודה

 

[Eleven]

יש לכם טיפים איך ניתן לוודא שמקום מאובטח מספיק לשמירת פרטי אשראי לגבייה חוזרת ומקום אחר לא?

עצה שלי (שעל פיה אני פועל) אין טעם לוודא אם המקום מאובטח כי לכל מקום ניתן לפרוץ ותמיד ישנה סכנה (בין אם גדולה יותר או גדולה פחות) ולכן אני מכריח את עצמי לא להתעצל ולהקליד כל פעם מחדש את הפרטים.

 

[roneng]

אם אזין לאתר/אפליקציה פרטי כרטיס אשראי ישראלי והוא "יישרף" אני מניח שאתמודד עם הנזק יחסית בקלות. לעומת זאת, אם הכרטיס האמריקאי "יישרף" זה עלול לייצר כאב ראש גדול יותר.

בדיוק להיפך.
רמת השירות וקלות הטיפול בהכחשות עסקה בכרטיסים אמריקאים הוא כמה רמות מעל מה שיש בארץ.

אני מניח שרובנו מרגישים נוח לשמור את פרטי האשראי שלנו באתרים כמו Amazon, אבל נרגיש פחות נוח לשמור אותם באתר כמו "תבליני אלכסנדר ובניו בע"מ"...

לא ממש.
בטח שלא עם כרטיס אמריקאי. כל עוד עש ביטוח, אני לא רואה סיבה לדאוג

עצה שלי (שעל פיה אני פועל) אין טעם לוודא אם המקום מאובטח כי לכל מקום ניתן לפרוץ ותמיד ישנה סכנה (בין אם גדולה יותר או גדולה פחות) ולכן אני מכריח את עצמי לא להתעצל ולהקליד כל פעם מחדש את הפרטים.

והנה יצרת לעצמך בעיית אבטחה גדולה בהרבה.
עכשיו הכרטיס שלך "חשוף" הרבה יותר פעמים ויש הרבה יותר הזדמנויות שמישהו "יסתכל לך על המסך מעבר לכתף".

אישית מעדיף לשמור כדי להמנע מהצורך להקליד כל םעם מחדש את הפרטים, שזה אחד החלקים הכי חשופים אבטחתחת.

 

[Eleven]

והנה יצרת לעצמך בעיית אבטחה גדולה בהרבה.
עכשיו הכרטיס שלך "חשוף" הרבה יותר פעמים ויש הרבה יותר הזדמנויות שמישהו "יסתכל לך על המסך מעבר לכתף".

תמיד יש סיכון לא משנה אם תבחר לשמור את הפרטים או להקליד מחדש. אבל…
הסיכון בשמירת הפרטים הוא כזה שאין לי שליטה עליו - מהרגע שבו מסרתי אותם לאחסון ב- DB צד שלישי כל שנותר לי לעשות הוא לקוות שלא יקרה כלום.
מאידך כשאני מכניס את הפרטים בכל פעם אז הסיכון שמישהו ״יסתכל לי על המסך מעבר לכתף״ הוא סיכון שיש ביכולתי למזער/לעשות משהו בנידון.

 

[Echelon]

בדיוק להיפך.
רמת השירות וקלות הטיפול בהכחשות עסקה בכרטיסים אמריקאים הוא כמה רמות מעל מה שיש בארץ.

לא הכרתי, טוב לדעת.
אגב, התייחסתי בהשוואה שלי גם להנחה, שבמידת הצורך יקח לי יותר זמן לקבל כרטיס חדש מארה"ב מאשר בארץ.

בטח שלא עם כרטיס אמריקאי. כל עוד עש ביטוח, אני לא רואה סיבה לדאוג

לאיזה ביטוח אתה מתכוון? זה ביטוח שיש לי בכרטיס האמריקאי באופן אוטומטי, או ביטוח שאני יכול/אמור לעשות?

 

[Echelon]

לכן אני מכריח את עצמי לא להתעצל ולהקליד כל פעם מחדש את הפרטים.

הבעיה שלא תמיד מתאפשר להקליד את הפרטים כל פעם מחדש (למשל בדוגמא השניה שציינתי של קבלת שירות מתמשך מספק).

הסיכון בשמירת הפרטים הוא כזה שאין לי שליטה עליו - מהרגע שבו מסרתי אותם לאחסון ב- DB צד שלישי כל שנותר לי לעשות הוא לקוות שלא יקרה כלום.

אם האתר/אפליקציה לא מאובטחים כראוי, תוכל באמת לדעת שהפרטים שתזין בכל פעם מחדש לא יועברו לאחסון ב-DB צד שלישי?

לכן תהיתי אם יש דרך טובה לזהות שהאתר/אפליקציה שאנחנו מזינים בהם את הפרטים מאובטחים ברמה מספקת.

 

[FIYaacov]

אגב, התייחסתי בהשוואה שלי גם להנחה, שבמידת הצורך יקח לי יותר זמן לקבל כרטיס חדש מארה"ב מאשר בארץ.

בהנחה ובכתובת שנתת לחברת האשריא גרים שם אנשים שאתה סומך עליהם, אז תוך 24-48 שעות הכרטיס אצלם, ו2 דקות אחרי זה הם שולחים לך אותו (אם אתה חרדתי, אפשר שישלחו חצי מהמספרים בווטסאפ, וחצי במייל).

זה הרבה יותר מהיר ממה שאני מכיר בישראל.

 

[האזרח הקטן]

זה הרבה יותר מהיר ממה שאני מכיר בישראל.

לפחות חלק מהמנפיקות מאפשרות לראות את פרטי הכרטיס דרך האפליקציה מייד לאחר שהונפק.

 

[roneng]

תמיד יש סיכון לא משנה אם תבחר לשמור את הפרטים או להקליד מחדש. אבל…
הסיכון בשמירת הפרטים הוא כזה שאין לי שליטה עליו - מהרגע שבו מסרתי אותם לאחסון ב- DB צד שלישי כל שנותר לי לעשות הוא לקוות שלא יקרה כלום.
מאידך כשאני מכניס את הפרטים בכל פעם אז הסיכון שמישהו ״יסתכל לי על המסך מעבר לכתף״ הוא סיכון שיש ביכולתי למזער/לעשות משהו בנידון.

א. בכל מקרה הסיכון חסר משמעות כי יש ביטוח.
ב. סטטיסטית מבחינה אבטחתית עדיף לשמור את המידע באתר מאשר להקליד אותו כל פעם מחדש.

אגב, התייחסתי בהשוואה שלי גם להנחה, שבמידת הצורך יקח לי יותר זמן לקבל כרטיס חדש מארה"ב מאשר בארץ.

לא בטוח שזה נכון.

לאיזה ביטוח אתה מתכוון? זה ביטוח שיש לי בכרטיס האמריקאי באופן אוטומטי, או ביטוח שאני יכול/אמור לעשות?

זה ביטוח שיש אוטומטית בכל כרטיס אשראי מכורח חוק כרטיסי אשראי.
בארץ הוא קצת פחות טוב מאשר בארה"ב, אבל עדיין קיים.

בהנחה ובכתובת שנתת לחברת האשריא גרים שם אנשים שאתה סומך עליהם, אז תוך 24-48 שעות הכרטיס אצלם, ו2 דקות אחרי זה הם שולחים לך אותו (אם אתה חרדתי, אפשר שישלחו חצי מהמספרים בווטסאפ, וחצי במייל).

או שאפשר פשוט לשלוח ישירות לארץ. מהנסיון שלי מגיע תוך פחות משבוע, שזה לא שונה בהרבה מכרטיסים ישראלים.

לפחות חלק מהמנפיקות מאפשרות לראות את פרטי הכרטיס דרך האפליקציה מייד לאחר שהונפק.

זה נכון להנפקה ראשונה של כרטיס. לא מכיר אופציה כזאת במקרה של החלפת כרטיס בגלל גניבה.

בכל מקרה, לרוב השימושים היום יומיים לא באמת צריך לא את הכרטיס ולא את המספר שלו - יש אוטו בארנק האלקטרוני, והוא ממשיך לעבוד כרגיל גם אם אתה מחליף את הכרטיס הפיסי

 

[Eleven]

א. בכל מקרה הסיכון חסר משמעות כי יש ביטוח.

1+

ב. סטטיסטית מבחינה אבטחתית עדיף לשמור את המידע באתר מאשר להקליד אותו כל פעם מחדש.

מאיפה הסטטיסטיקה ?