Jak jsou chráněny vaše karetní transakce?

24.10.2017 | Zdeněk Bubák

foto

Zeptali jsme se bank, jak jsou jejich klienti chráněni při provádění transakcí s platebními kartami. Platebními kartami lze platit nejen v tzv. kamenných obchodech, ale i v e-shopech, tj. na internetu. Většinou dnes Češi používají bezkontaktní platební karty, u kterých nepotřebujete u malých plateb zadávat PIN. Banky však mívají nastavená různá další omezující pravidla, aby platby byly ještě bezpečnější. Jaká existují bezpečnostní pravidla a prvky u jednotlivých bank?

Obecně platí, že bezkontaktní platební kartou u obchodníků v ČR nezadáváte PIN u částek do 500 korun. Je to dáno místním lokálním nastavením. Při platbách v zahraničí se můžou klienti setkávat s různými územními limity. Banky ale mají nastavené složitější ochranné mechanismy. Pokud by zloděj s kartou platil menší částky mnohokrát za sebou, může způsobit okradenému majiteli vysokou finanční újmu. Položili jsme proto bankám otázku ohledně jejich konkrétních bezpečnostních pravidel při placení kartou v obchodě a na internetu. Uvádíme postupně pravidla všech oslovených bank v rozsahu, v jakém je byly ochotny zveřejnit. Nejotevřenější byla Air Bank, která svá bezpečnostní pravidla popsala nejpodrobněji a uvedla i názorné příklady.

Jaké zabezpečení banky nabízejí při platbách u obchodníků?

Air Bank v současnosti všem klientům vydává jen bezkontaktní platební karty. Na kartě je nastavený denní limit, tedy částka pro bezkontaktní placení bez nutnosti zadávat PIN. Standardně je tento limit přednastaven na 2000 Kč, klient si jej ale může i sám upravit od 0 korun do 5000 Kč na den. Počet bezkontaktních plateb limitován není. Platit bezkontaktně bez nutnosti zadat PIN může klient při nákupech do limitu terminálu, v České republice je to zpravidla do 500 korun. V zahraničí se bezkontaktní transakce bez zadání PINu řídí lokálními limity, které po přepočtu na českou měnu mohou být vyšší než u nás obvyklých 500 korun.

„Když klient dosáhne svého denního limitu pro bezkontaktní placení bez zadání PINu, platbu zamítneme a pošleme mu SMS. V ní mu píšeme, že pokud bude chtít kartou zaplatit ještě ten samý den nákupy do 500 korun, musí kartu do terminálu už vložit (jako za starých časů) a zadat PIN. Například pokud klient zaplatí v jeden den čtyřikrát bezkontaktně nákup za 490 Kč, tak mu do limitu zbývá 40 korun. Když pak chce opět zaplatit bezkontaktně nákup i třeba jen za 100 korun, platba bude už zamítnutá a klientovi přijde SMS s upozorněním. Pak ale jen stačí, aby obchodník platbu jednoduše zopakoval a klient do platebního terminálu kartu vložil a zadal svůj PIN,“ podrobně vysvětluje principy ochrany plateb u obchodníků za Air Bank Jana Karasová z tiskového oddělení Air Bank.

Popsat všechny situace, kdy terminál bude vyžadovat nebo nevyžadovat PIN při bezkontaktním placení, je podle Karasové složitější. Kromě toho, že obecně platí, že bezkontaktní platby bez PINu jsou možné do 500 Kč, tak do hry vstupuje více faktorů. Například režim terminálu (online vs. offline), vlastní pravidla, které si volí provozovatel terminálu (např. PIN při každé x-té platbě v řadě), a kromě denního limitu pro bezkontaktní placení, který si klient na kartě nastaví, také takzvaný offline limit, který je daný bankou.

„Pokud by s klientovou kartou někdo neoprávněně platil v kamenném obchodě bez zadání PINu (typicky bezkontaktní platby do 500 Kč), ztrátu peněz bychom klientovi nahradili. Opět platí, že by měl klient v případě, když o platební kartu svojí nebo cizí vinou přijde, co nejdříve kontaktovat banku. Klienti Air Bank si mohou platební kartu zablokovat také sami v mobilním nebo internetovém bankovnictví,“ doplňuje Karasová.

Žebříčky a přehledy:

Přehled celé nabídky bankovních účtů - zde

Žebříček s nejlepšími osobními účty podle odborníků - zde

Banka CREDITAS má kromě standardního pravidla, že se nevyžaduje PIN u plateb do 500 Kč, nastaven na kartách limit pro bezkontaktní platby bez použití PIN tak, aby počet transakcí, resp. souhrnná výše částky plateb bez zadání PIN nepřekročila za dané období určitou hranici. Po dosažení tohoto limitu je nutné platby potvrzovat PIN bez ohledu na výši částky nákupu. Jde tedy o podobné pravidlo, které má Air Bank. Banka CREDITASvšak odmítla sdělit podrobnější informace o limitním počtu či částce, po které je PIN vyžadován. „Jedná se o bezpečnostní prvek našich platebních karet a přesná pravidla chování proto nesdělujeme“, řekl Kamil Rataj, ředitel Úseku provozu a ICT Banky CREDITAS.

Jiří Štábl z tiskového centra České spořitelny uvedl: „V rámci zajištění větší ochrany proti zneužití karet může být klient požádán o vložení karty do terminálu a zadání PIN i při úhradě částek do 500 Kč. Konkrétní nastavení zabezpečení však nesdělujeme.“

Podle ČSOB je jednou z nedůležitějších částí bezpečnosti karet ta část, která není vidět, a je jí bezpečnostní monitoring. Bezpečnost v oblasti platebních karet a v oblasti zavádění nových technologií obecně se neustále rozvíjí a zvyšuje, nicméně detaily konkrétních opatření nemůže banka z důvodu bezpečnosti uvádět.

„V každém případě je důležitá také obezřetnost samotného klienta. Účinnou ochranu karty může zajistit i klient, a to například prostým zakrytím ruky pří zadávání PIN na bankomatu, čímž zabrání jeho možnému odpozorování. Při placení na internetu je důležité i zabezpečení samotného počítače, kde klient své údaje zadává. Tedy, například, zda má počítač nainstalovánu antivirovou ochranu, zda je jeho systém pravidelně updatován a podobně. Kombinace bezpečnostních technologií a obezřetnosti ze strany klienta tak snižují rizika na minimum,“ uvádí Patrik Madle, tiskový mluvčí ČSOB.

Zjistěte, u jaké banky lze ovládat limity pro platby kartou v mobilním bankovnictvím nebo zakázat či povolit platby na internetu kartou

U Equa bank platí standardní limit 500 Kč pro platby bez PINu. Equa bank má navíc omezen počet plateb bez nutnosti autorizace PINem (plateb do 500 Kč) a to v rámci 24 hodin. Zároveň má držitel karty možnost pracovat s výší autorizačního limitu pro platby u obchodníků prostřednictvím svého internetového bankovnictví.

U Fio banky také nemusíte u plateb do 500 Kč zadávat PIN. K dalšímu mechanismu tiskový mluvčí banky Zdeněk Kovář sdělil: „Každá karta má zároveň nastaven bezpečnostní mechanismus, kdy po určitém kumulativním počtu takovýchto plateb za sebou je i pro platbu do pětistovky vyžadován PIN. Přesný algoritmus ale z bezpečnostních důvodů nezveřejňujeme.“

Při bezkontaktní platbě klienta MONETA Money Bank je požadován PIN při každé platbě nad 500 Kč. O zadání PIN může být při bezkontaktní platbě někdy požádán klient i při platbě částky pod 500 Kč. V zájmu ochrany klientů je rovněž nastaven limit pro počet bezkontaktních transakcí, jejich konkrétní počet banka z bezpečnostních důvodů nezveřejňuje.

Raiffeisenbank má nastavený čítač na sumu objemů po sobě jdoucích bezkontaktních transakcí bez zadání PINu (konkrétní sumu banka nezveřejňuje). Po dosažení maximální hodnoty tohoto čítače je nutné, aby klient zaplatil s PINem. Po potvrzení této transakce PINem jsou opět umožněny další platby bezkontaktně (i bez PINu).

Pro klienta je podstatná informace, že pokud by došlo ke zneužití karty neoprávněnou osobou u transakcí do 500 Kč bez zadání PINu, nese odpovědnost banka a klientovi budou všechny peníze vráceny. Předpokladem vrácení peněz je, že klient dodržel základní bezpečnostní zásady a nijak neporušil standardní podmínky banky pro používání platební karty (např. že sám svou kartu někomu nedal k užívání apod.).

U Sberbank všechny transakce debetní kartou u obchodníka s terminálem vyžadují zadání PIN kódu. Bezkontaktní technologii má banka aktuálně jen na kreditních kartách. „V současnosti však dokončujeme nové moderní multikanálové, tedy internetové a mobilní bankovnictví, i nový vlastní kartový processing, který přinese nové moderní funkce i zabezpečení debetních karet, včetně dalšího servisu ke kartám,“ informovala Radka Černá, tisková mluvčí Sberbank.

Klienta s platební kartou UniCredit Bank může platební terminál kvůli bezpečnosti kdykoliv vyzvat platícího zákazníka k ověření platby PIN kódem i při nákupu do 500 Kč. „Limit stanovujeme podle toho, jak klient svou kartu běžně využívá. Pokud zjistíme, že kartou se platí vícekrát, než je běžné, nebo zaznamenáme více transakcí rychle za sebou, platební terminál si může vyžádat zadání PIN kódu. Bezkontaktní platba nad 500 Kč je vždy ověřena zadáním PIN kódu. Konkrétní nastavení ale z bezpečnostních důvodů nemůžeme prozradit,“ řekl Petr Plocek, tiskový mluvčí UniCredit Bank.

Jaké bezpečnostní prvky existují u plateb kartou na internetu?

Platby kartou na internetu jsou zabezpečené službou 3D Secure. Tuto službu nabízejí všechny banky, kromě Equa bank, která je se službou 3D Secure teprve ve stádiu příprav.

Po zadání platby přijde tzv. 3D Secure kód klientovi prostřednictvím SMS na mobil. Klient kódem defacto platbu podepíše a ta je pak bezpečně bankou zrealizována. Banky doporučují, aby jejich klienti pro nákupy používali především obchody, které službu 3D Secure podporují. Jana Karasová z Air Bank doplňuje: „Pokud by ale někdo neoprávněně s klientovou kartou platil na internetu u obchodníka, který 3D Secure kód nevyžadoval, ztrátu peněz bychom klientovi nahradili. Důležité je, aby nás klient v případě, že má podezření na neoprávněnou platbu, kontaktoval co nejdříve.“

Kamil Rataj z Banky CREDITAS k tomu dodává: „Při platbách na internetu u obchodníků, kteří 3DS technologii podporují, zákazník nezadává údaje o platební kartě přímo na stránkách e-shopu, ale na zabezpečené platební bráně, kde navíc transakci potvrzuje kódem zaslaným na mobilní telefon registrovaný pro tuto službu v bance. Banka CREDITAS navíc klientům zdarma vydává i virtuální platební karty určené k platbám na internetu - pokud klienti nechtějí k těmto účelům používat svoji primární kartu.“

Česká spořitelna nabádá, aby se klienti zaměřili na ty internetové obchody, které jsou vybaveny nejen systémem 3D Secure, ale zároveň i SSL (zabezpečený přenos dat, což klient pozná podle zeleného zámečku v řádku pro webovou adresu). Na straně obchodníka tento systém garantuje ochranu citlivých údajů o platební kartě. Na straně vydavatele karty funguje na bázi jedinečného dynamického osobního kódu (jednorázový bezpečnostní kód zasílaný přes SMS), pomocí kterého je ověřována identita držitele karty.

„Důležité je i nastavení přiměřeného limitu, který s klientem nastavujeme při vydání debetní i kreditní karty. Pro platby na internetu si klient volí samostatný limit, který lze online a zdarma změnit v internetovém bankovnictví. Česká spořitelna umožňuje klientům i funkčnost tzv. odemknutí a zamknutí karty - tzn. změnu transakčních limitů na předem stanovou dobu klientem (od 1 hod. do 5 dnů), poté se limit "sám" vrátí na původně stanovenou hodnotu,“ říká Jiří Štábl z tiskového centra České spořitelny.

Také u ČSOB mohou klienti přes elektronické, mobilní bankovnictví či telefonicky přes call centrum ovládat online parametry své karty, a to včetně limitů pro použití karty u obchodníků/v bankomatu či limit pro placení na internetu, možnosti povolení/zakázání platby kartou přes internet/telefon (3DSecure), apod. Klienti mají také možnost nastavit si zasílání informačních sms o použití platební karty či zaúčtování platební transakce.

Jaké typy SMS zpráv banky klientům zasílají a kolik si za ně účtují najdete zde

Kromě využití 3D Secure služby vidí Fio banka jako důležitý bezpečnostní prvek při platbě na internetu možnost změny limitu platební karty online a zdarma v jejím internetbankingu nebo v mobilním bankovnictví. „Klienti mohou mít například platby kartou na internetu na nule, před zaplacením si je jednoduše zvýší na požadovanou hranici a poté opět sníží na nulu,“ vysvětluje Zdeněk Kovář.

MONETA Money Bank, která také nabízí službu 3D Secure, podotýká, že tato služba je aktivována automaticky. „Režim internetových plateb mohou naši klienti pohodlně zapínat a vypínat přes internetové bankovnictví či call centrum,“ říká Jakub Švestka, tiskový mluvčí MONETA Money Bank.

Raiffeisenbank k systému 3D Secure dodává, že jeho prostřednictvím ověřuje pouze platby prováděné u obchodníka, který podporuje 3DS zabezpečení. Pokud obchodník 3DS nepodporuje, tak obchodník neposílá požadavek na ověření kódem a rovnou posílá transakci k autorizaci. Klient má také možnost použít aplikaci MasterPass, která je chráněná heslem, jenž si klient volí sám.

Sberbank na denní bázi sleduje transakce kartou na internetu a provádí "fraud monitoring". Autorizace transakce je provedena, pokud klient zadá i CVV kód. Banka umožňuje individuální nastavení výše limitů pro e-comm transakce. „Klient si může e-comm transakce kartou povolit a zase zamknout, a to zdarma," uvádí Radka Černá, tisková mluvčí Sberbank.

UniCredit Bank 3D Secure službu, jako většina ostatních bank, také nabízí. „Zabezpečení je dostupné na všech typech platebních karet a jeho používání je pro všechny držitele karet zcela zdarma. Moderní zabezpečení plateb kartou na internetu 3D Secure zabezpečuje téměř dvě třetiny všech online plateb,“ vysvětluje Petr Plocek, tiskový mluvčí UniCredit Bank.

Jaké další bezpečnostní prvky u debetních karet banky nabízejí?

Všechny banky využívají další standardně povinné prvky nadefinované karetními společnostmi, jakými jsou například čip, magnetický proužek, podpisový proužek, hologram nebo bezpečnostní CVC2/CVV2 kód (tři poslední číslice za podpisovým proužkem na zadní straně karty) určený pro platby na internetu. Karta automaticky preferuje použití čipové technologie před využitím technologie magnetického proužku.

Air Bank uvedla, že navíc sleduje i nestandardní chování karty, tedy klienta. „Například nedávno jsme preventivně volali klientovi, abychom si ověřili, že má kartu skutečně u sebe a neplatí s ní neoprávněně někdo cizí. Důvodem bylo několik bezkontaktních plateb bez zadání PINu v jednom obchodním řetězci velmi rychle za sebou. V tomto případě jsme ale k blokaci karty nemuseli přistoupit, protože vysvětlení bylo jednoduché. V daném supermarketu měli zrovna akci na máslo, ale odběr byl limitovaný počtem kusů na osobu. Členové rodiny klienta si tedy u pokladny předávali mezi sebou tu stejnou platební kartu, aby mohli za nákup platit jednotlivě, a uskutečnili tak více transakcí za sebou pod limitem 500 korun bez nutnosti zadat PIN, které náš systém vyhodnotil jako potenciální zneužití karty,“ popisuje skutečný případ nestandardního chování klienta při platbě kartou Jana Karasová z Air Bank.

U Banky CREDITAS si navíc držitel karty může sám měnit PIN, například přes internetové bankovnictví. Česká spořitelna umožňuje v internetovém bankovnictví zdarma a okamžitě měnit samostatné limity pro platby na internetu, platby v obchodech a výběry z bankomatu.

Desatero správného používání platební karty od České spořitelny

Typy k bezpečnému placení, včetně zobrazení bezpečnostních prvků platebních karet naleznete i na webu ČSOB.

MONETA Money Bank zmiňuje opatření, které ale využívají i jiné banky, a to zabezpečení proti tzv. skimmingu na bankomatu. Navíc si u ní klient musí povolit výběr z bankomatu v zahraničí. Banka také provozuje non-stop monitorovací systém pro identifikaci podezřelých transakcí.

Kromě standardního zabezpečení Raiffeisenbank monitoruje transakce klientů a v případě podezření na zneužití ihned klienta kontaktuje a karty blokuje, aby výše neoprávněně stažených částek byla co nejnižší. „Pokud klient zachytí zneužití své karty sám, důrazně doporučujeme kartu ihned blokovat a podvodné transakce neodkladně reklamovat v bance. Veškeré finanční prostředky, které jsou v takovém případě klientovi neoprávněně odčerpány z účtu, jsou klientům naší bankou vráceny zpět na jeho účet,“ doplňuje Petra Kopecká, tisková mluvčí Raiffeisenbank.

Související články:

Bezkontaktní placení je stále na vzestupu. Platí se nejen kartami, ale i nálepkami a mobily. Přibudou snad i náramky

Air Bank umožňuje klientům měnit PIN platebních nálepek u bankomatů

Air Bank zahájila provoz prvního bezkontaktního bankomatu v Česku. Do října budou bezkontaktní všechny

Platební nálepky - kdo je nabízí, co stojí a co s nimi lze provádět?

Zvýšení bezpečnosti placení na internetu s kartami Air Bank od 1. čtvrtletí 2015

Zpět

domů | zobrazit plnou verzi Spravovat nastavení cookies