סכנת פרטי אשראי בקבלה

[תמיר כהן]

האם פרטי כרטיס האשראי קיימים בחשבונית? (בסופר למשל) אני בדקתי וראיתי שיש רק 4 ספרות אחרונות אבל בוויקיפדיה כתוב:

ישנה גם הונאה שבה מבצע הדיוג השיג את פרטי הכרטיס (אולי על ידי פריצת מסד נתונים של סוחר או מקבלה על רכישה) והוא נותן את המידע הזה לקורבנותיו, ובכך מרגיע אותם לתחושת ביטחון מזויפת לפני שביקש ה-CVV

האם יש סכנה שצד שלישי ישיג את הקבלה/חשבונית שלי?
בכתבה מ2010 דווח שמלצרים קנו בכרטיסי אשראי של לקוחות

מסתבר שעל הספח שעליו אנו חותמים, רשום מספר כרטיס האשראי במלואו וכן התוקף של הכרטיס. למרות שבדרך כלל, במהלך רכישה, מתבקש הלקוח למסור גם את מספר תעודת הזהות שלו, ניתן, באמצעות היכרות מוקדמת עם בעל העסק שמחזיק מסופון תשלום של חברת האשראי, לשלם רק באמצעות המספר והתוקף

מה הם אותם "מספחי חתימה" לא מצאתי שום דבר על זה באינטרנט, האם זה נעלם מהעולם והיה קיים רק לפני יותר מעשור?

באיזה מסמכי קניה יש פרטי כרטיס אשראי כיום?

 

[FIYaacov]

מה הם אותם "מספחי חתימה" לא מצאתי שום דבר על זה באינטרנט, האם זה נעלם מהעולם והיה קיים רק לפני יותר מעשור?

אכן אין צורך ולא נותנים לחתום יותר על ספח האשראי כיום.

באיזה מסמכי קניה יש פרטי כרטיס אשראי כיום?

לא חושב שיש מעבר ל-4 ספרות אחרונות.

אבל החשש שלך מוגזם, תעקוב ברמה שבועית אחרי הכרטיס, ואם חלילה יגנב, תעשה הכחשת עסקה. יבטלו לך את הכרטיס, תקבל חדש ותקבל החזר על החיובים הגנובים.

 

[yossik]

אבל החשש שלך מוגזם

+

 

[תמיר כהן]

אכן אין צורך ולא נותנים לחתום יותר על ספח האשראי כיום

איך ניצלו את הספח הזה?
האם בספח הזה היה ממש את כל פרטי כרטיס האשראי שנדרשים בשביל לבצע עסקה כמו שהיה כתוב בכתבה?

 

[FIYaacov]

איך ניצלו את הספח הזה?

אני לא מכיר את המקרה. יותר סביר שאם מדובר במלצרים, שלא לקחו את זה מהספח אלא המלצרים רשמו לעצמם את המספר מהכרטיס עצמו.

האם בספח הזה היה ממש את כל פרטי כרטיס האשראי שנדרשים בשביל לבצע עסקה כמו שהיה כתוב בכתבה?

אם נקודתית במקרה המתואר כן, מדובר בתקלה. זה לא שהייתה מכה של גניבות מספרי כרטיס בימים של הספחים.

 

[תמיר כהן]

זה לא שהייתה מכה של גניבות מספרי כרטיס בימים של הספחים

אז למה זה הופסק? כלומר זה לא הופסק בגלל גנביות מספרי כרטיס אשראי?

 

[FIYaacov]

אז למה זה הופסק? כלומר זה לא הופסק בגלל גנביות מספרי כרטיס אשראי?

מוזמן לשאול את מחלקות ניהול הסיכונים של חברות האשראי.

בעיניי זה מעולם לא היה גורם אבטחה משמעותי (כאילו מישהו אי פעם השווה את הקשקוש שלך על הספח לחתימה כשפתחת את החשבון).

 

[vigaror]

אז למה זה הופסק? כלומר זה לא הופסק בגלל גנביות מספרי כרטיס אשראי?

אני מניח שחלק גדול מזה הוא שהטכנולוגיה השתפרה ויחד איתה גם הדרך שאנחנו משתמשים באשראי.

פעם היו משתמשים בפס מגנטי בשביל חיובי אשראי שהייתה סכנה שישכפלו אותו, אין בזה היום שימוש (ואם אני זוכר נכון אם תנסה לבצע חיוב כזה מעל סכום מסוים זה יחסם)
כמעט הכל היום בקניה פיזית זה contactless שנחשב ליותר מאובטח וקשה לשכפול.

פעם הייתה נותן את האשראי שלך למלצר כדי שיקח את זה לעמדת תשלום ויחייב (ואז גם הוא ייכל להעתיק/לצלם את הפרטים שאתה לא מסתכל או להזין עלות אחרת), היום יש עמדות חיוב ניידות שאיתם המלצר מגיע לגבות את התשלום והאשראי לא עוזב את היד שלך.

אני מניח שיש גם זיהוי אנומליות יותר טוב מפעם על חיובים באשראי.

אבל אני לא יודע בוודאות

 

[bigbang]

את החתימה על הספח החליף קוד סודי (או פתיחת נעילת הטלפון), בעסקאות הגבוהות מעל מאות בודדות של שקלים.

העוקץ אליו לדעתי פותה"ש מתייחס הוא הנדסה חברתית - יצירת קשר עם אדם שהטלפון ו-4 ספרות של האשראי נמצאות בידי הנוכחי, אשר מתחזה לספק השירות ואומר שבטעות בוצע חיוב כפול (למשל), ולצורך זיכוי הוא צריך למסור את פרטי האשראי המלאים בשנית. לפעמים מבוצעת עסקה גדולה באותו הרגע, והנעקץ מתבקש למסור בנוסף את קוד האימות שנשלח אליו ע"י חברת האשראי.

 

[MMM]

סיפור מהחיים: תוך יום אחד אחרי שגיהצתי כרטיס אשראי בחברת השכרת רכב מכובדת בגרמניה נעשו יותר מעשר עקיצות של משיכות כספים בסך הכל יותר מאלף יורו.
טלפון אחד לשירות הלקוחות מחק את כל הגניבות אבל חסם את הכרטיס ונשארתי בחו"ל בלי כרטיס אשראי

 

[roneng]

אבל חסם את הכרטיס ונשארתי בחו"ל בלי כרטיס אשראי

טסת רק עם כרטיס אחד??

 

[Avi1001]

לכן צריך להשתמש בחיוב ע"י תקשורת NFC (מה שלעיתים קרוי בטעות WiFi ) שבו הפרטים שמועברים טובים לעסקה אחת בלבד. אין אפשרות לשחזר את פרטי הכרטיס לעיסקה נוספת.

 

[roneng]

אין אפשרות לשחזר את פרטי הכרטיס לעיסקה נוספת.

זה לא מדוייק בכלל.
מכשיר זדוני (או סתם כזה שעובד בתקן ישן) יכול פשוט להעתיק את מספר הכרטיס ששמור בטלפון.

נכון שזה הרבה יותר בטוח מפס מגנטי. אבל עדיין אפשר לגנוב את פרטי הכרטיס אם רוצים מספיק.

בשביל זה יש ביטוח על כרטיסי אשראי

 

[roneng]

האם יש סכנה שצד שלישי ישיג את הקבלה/חשבונית שלי?

האם זה מסוכן אם זה יתגלגל לצד ג?
אולי. אבל סיכון מאוד מזערי. לא משהו שהייתי דואג ממנו. בטח לא היום.

בעבר, כשהיית רושם מספר טלפון אולי היה לזה ערך כלשהו (ככה התוקף היה יכול לדעת את השם, טלפון ו4 ספרות שלך). אבל היום אין את רוב המידע הזה

 

[roneng]

אכן אין צורך ולא נותנים לחתום יותר על ספח האשראי כיום

לא מדוייק.
בגדול בעולם האשראי יש כמה שיטות לחיוב.
אפשר לחייב לפי מספר כרטיס בלבד (עסקה במסמך חסר), לפי פס מגנטי, באמצעות nfc (טאפ) או באמצעות ציפ חכם (ע"י הכנסת הכרטיס).

גם בעבודה עם ציפ יש 2 שיטות עיקריות (שתלויות בכרטיס) - chip+pin או chip+sign.
ברוב הכרטיסים בעולם (כולל בישראל) הציפ מגיע עם פין. בארה"ב למשל אין פין וכביכול דרושה חתימה.

בארה"ב (וברוב אירופה) חברות האשראי הודיעו לפני כמה שנים שלא צריך יותר חתימה בכל מקרה (למעט אם אתה משאיר טיפ בארה"ב). אפילו אם התשלום עם פס מגנטי.
בארץ כבר כמה שנים לפני ההודעה הרשמית אף אחד כבר לא באמת חתם ולא בדק חתימות (עוד לפני המעבר לציפים בארץ).
אבל בהרבה מדינות בעולם עדיין מבקשים חתימה אפילו על עסקאות ב NFC מהטלפון וגם על עסקאות ציפ עם פין.
כל מדינה והרגולציה שלה...

 

[SolidState]

בסופר שקניתי לאחרונה, היו כל הספרות למעט כמה ספרות באמצע שהיו מוסתרות עם כוכביות.
יותר מה4 האחרונות. לא ברור לי למה עושים את זה ולא משאירים מינימום מידע מבחינה אבטחתית.
ויותר מזה למה אין סטנדרט ממשלתי בנושא שיחייב את כל בתי העסק.

 

[roneng]

בסופר שקניתי לאחרונה, היו כל הספרות למעט כמה ספרות באמצע שהיו מוסתרות עם כוכביות.

אתה בטוח שזה לא רק ה4 הראשונות (שכולם יודעים גם ככה) וה4 האחרונות?

 

[yossik]

אתמול ניתקלתי בבעיה הזאת.
נכנסתי למכולת שכונתית, שילמתי באשראי.
היה מסוף ידני לתשלום, אכן, הודפסה קבלה ללא פירוט המוצרים שרכשתי וכן, מספר האשראי היה גלוי למעט XXXX באישו מקום באמצע.
ביקשתי קבלה מהקופה ושם רק 4 ספרות אחרונות גלויות.
אני מניח שאלו מסופים מדור ישן.

 

[SolidState]

אתה בטוח שזה לא רק ה4 הראשונות (שכולם יודעים גם ככה) וה4 האחרונות?

אם אני זוכר זה היה 6 ראשונות ו4 אחרונות.

 

[roneng]

אם אני זוכר זה היה 6 ראשונות ו4 אחרונות.

אז אכן לא משהו בעייתי