Karty zbliżeniowe a bezpieczeństwo. Czy jest się czego obawiać?

Pierwsze karty zbliżeniowe zadebiutowały na naszym rynku dekadę temu. Dziś stanowią 80 proc. wszystkich kart, które mamy w portfelach. Statystyki pokazują, że Polacy przekonali się do tej technologii, ale wciąż pokutuje kilka mitów na jej temat. Spróbujmy je wyjaśnić.

Z danych Narodowego Banku Polskiego wynika, że w drugim kwartale 2017 roku udział płatności zbliżeniowych w ogólnej liczbie płatności bezgotówkowych wynosił blisko 67 proc. Z kolei udział transakcji zbliżeniowych w całości obrotów bezgotówkowych przeprowadzanych kartami płatniczymi wynosił 48 proc. Organizacja Mastercard podaje, że już 78 proc. transakcji realizowanych jej kartami, to transakcje zbliżeniowe. Kart bezstykowych jest na rynku ponad 30 mln.

Pierwsze karty zbliżeniowe pojawiły się w Polsce równo dekadę temu – w grudniu 2007 r. Wydał je Bank Zachodni WBK we współpracy z organizacją Mastercard. Karty Visa pojawiły się w drugiej połowie 2008 roku. W Mastercardzie technologia zbliżeniowa została nazwana PayPass, w Visie – PayWave. W obu organizacjach zasady działania kart bezstykowych są podobne –  do kwoty 50 zł nie musimy potwierdzać transakcji PIN-em. Dotyczy to nie tylko kart, ale także smartfonów wyposażonych w technologię HCE, czy gadżetów do płatności zbliżeniowych.

Karta może poprosić o PIN nawet przy transakcjach do 50 zł

Od samego początku brak podawania kodu PIN przy transakcjach niskokwotowych budził pewne obawy. Niektórzy użytkownicy obawiali się, że karta, która trafi w niepowołane ręce może posłużyć do wyczyszczenia portfela. By nie dochodziło do takich sytuacji, banki wprowadziły specjalne liczniki dla transakcji zbliżeniowych. Co kilka transakcji terminal może poprosić o wprowadzenie PIN-u także dla kwoty poniżej 50 zł. W efekcie nie da się wykonać kilkunastu czy kilkudziesięciu transakcji pod rząd. Banki zapewniają, że wyczyszczenie portfela za pomocą karty zbliżeniowej nie jest możliwe. Brak wymogu autoryzowania transakcji przy kwotach nieprzekraczających 50 zł jest kompromisem między szybkością i wygodą, a kwestiami bezpieczeństwa.

Może się jednak zdarzyć, że karta trafi w niepowołane ręce i ktoś wykona za jej pomocą kilka transakcji zbliżeniowych na kwoty niższe niż 50 zł. Trzeba jednak pamiętać, że użytkownik karty zbliżeniowej odpowiada za nieautoryzowane transakcje bezstykowe dokonane przed zastrzeżeniem karty tylko do kwoty 50 euro (ok. 250 zł). Dla porównania limit ten w przypadku tradycyjnych płatności wynosi 150 euro. W styczniu 2018 roku zmienią się jednak przepisy i także dla tradycyjnych płatności spadnie minimalny próg odpowiedzialności do kwoty 50 euro. Na dodatek Sąd Najwyższy uznał, że użycie cudzej karty płatniczej do transakcji zbliżeniowych to kradzież z włamaniem. W efekcie złodziej z kartą zbliżeniową będzie karany surowiej niż złodziej, który skradnie gotówkę.

Problemem nie są karty zbliżeniowe, a kradzież danych

Jak wynika z danych NBP to nie transakcje skradzionymi kartami zbliżeniowymi stanowią największy odsetek oszukańczych transakcji. Najczęściej do tzw. fraudów dochodzi bez fizycznego użycia karty – za pomocą skradzionych danych (47 proc.). Na drugim miejscu wśród kategorii oszukańczych są transakcje za pomocą sfałszowanych kart (31 proc.), a dopiero na trzecim transakcje kartami skradzionymi lub zgubionymi (21 proc.). Przy czym w tym ostatnim przypadku chodzi zarówno o transakcje zbliżeniowe, jak i tradycyjne.

W kontekście kart zbliżeniowych pojawiły się też wątpliwości dotyczące tego, czy nie da się przechwycić sygnału przesyłanego z karty do terminala i wykonać transakcji na koszt właściciela karty. Technologia zbliżeniowa wykorzystuje bowiem zdalne przesyłanie informacji między kartą, a POS-em. Pojawiły się nawet filmy, na których pokazywano, że jest to możliwe. Głos w tej sprawie zabrała sama Komisja Nadzoru Finansowego. Po gruntownej analizie tematu uznała, że rzeczywiście można to zrobić, ale jedynie w warunkach laboratoryjnych. Nie ma szans, by dokonać takiej operacji w terenie, bo sygnał będzie zakłócany różnymi czynnikami.

Zbliżeniowe transakcje chronią przed skimmingiem

Na dodatek potrzeba by było do tego mocnego (dużego) przekaźnika. Biorąc pod uwagę, że w ten sposób można by przechwycić kwotę najwyżej do 50 zł, taka operacja jest po prostu nieopłacalna. Między bajki można też włożyć opowieści o złodziejach skanujących karty w autobusach. Co prawda z karty zbliżeniowej da się odczytać pewne dane nawet za pomocą zwykłego smartfona z NFC, ale informacje te nie wystarczą do dokonania transakcji płatniczej.

W kontekście płatności zbliżeniowych warto natomiast wspomnieć o innym aspekcie bezpieczeństwa. Transakcje dokonywane są bez fizycznego użycia karty, a telefonu czy plastiku nie podajemy sprzedawcy. Nie spuszczamy więc naszej karty z oczu, ani nie wypuszczamy z rąk nawet na chwilę. Dokonując transakcji zbliżeniowych w bankomatach nie narażamy się też na ryzyko skimmingu, czyli sklonowania karty płatniczej. Bankomaty zbliżeniowe udostępniają dziś m.in. takie sieci jak Euronet czy PlanetCash.

Czy PIN odejdzie do lamusa?

Choć to PIN jest dziś najpopularniejszym zabezpieczeniem dla kart płatniczych, to jest już kilka rozwiązań, które w niedalekiej przyszłości mogą zastąpić czterocyfrowy kod. Kilka miesięcy temu firma Mastercard zaprezentowała biometryczną kartę płatniczą, która łączy w sobie mikroprocesor i technologię rozpoznawania odcisku palca. Karta wykorzystuje technologię skanowania linii papilarnych, która jest już stosowana przy płatnościach mobilnych.

Właściciel karty biometrycznej musi ją najpierw zarejestrować w swoim banku. Odcisk palca jest konwertowany na cyfrowy wzorzec, który jest szyfrowany i zapisywany na karcie. Od tej pory można już płacić nią w dowolnym terminalu obsługującym standard EMV. Płacąc za zakupy w sklepie stacjonarnym, karta biometryczna działa na podobnej zasadzie, co zwykła karta płatnicza z mikroprocesorem. Jej użytkownik wkłada ją do terminala i jednocześnie przykłada kciuk do czytnika linii papilarnych na karcie. Pierwszym bankiem testującym tę technologię był Absa Bank z Republiki Południowej Afryki, kolejnym bułgarski UniCredit Bulbank.

Jak się okazało, takie rozwiązanie zostało pozytywnie odebrane przez użytkowników. Po przeprowadzonym pilotażu 93 proc. uczestników stwierdziło, że z karty biometrycznej korzysta się wygodniej niż podając PIN w czasie transakcji, a 95 proc. uznało, że karta biometryczna jest bezpieczniejsza od zwykłej karty z mikroprocesorem. Co więcej, ponad 90 proc. osób biorących udział w testach zamieniłoby lub prawdopodobnie zamieniłoby swoją kartę płatniczą, dołączając do niej funkcję biometryczną, gdyby było to możliwe.

Tekst powstał we współpracy z partnerem serwisu – firmą Mastercard