Siguranța banilor: situația fraudelor cu carduri bancare în România

Singura dată când am avut de-a face cu o posibilă fraudă la plata cu cardul a fost în 2018, deși plătesc aproape integral cu cardul de mai bine de 5 ani. Eram pe coclauri când am primit SMS de notificare de la bancă despre cum tocmai am plătit cu cardul 860 de lei undeva în Londra.

Am sunat la bancă și am blocat temporar acel card. Ei mi-au recomandat să-l blochez permanent, dar eu eram convins că este o greșeală la procesarea vreunui plăți, nu o fraudă, fiind foarte sigur că nu ar fi putut cineva să-mi fure datele cardului.

M-am dus la bancă, vreo 5 zile mai târziu, și am depus o cerere de chargeback. Așa se numește procedura prin care tu declari că n-ai făcut o plată (sau că n-ai primit bunurile comandate, că nu se referă doar la fraude) și vrei banii înapoi. Card de credit, “sunt banii băncii”, să rezolve ei. Și au rezolvat, după o vreme am primit banii înapoi în cont.

În caz că vă întrebați, am reactivat acel card și-l folosesc de atunci fără alte incidente. Plata dubioasă, am verificat eu din detaliile tranzacției, a reprezentat achitarea unor impozite într-un cartier londonez, iar cine fură carduri nu cred că face plăți atât de ușor de legat de o persoană fizică. N-am aflat niciodată motivul oficial, dar bănuiala mea se leagă de o eroare de procesare pe undeva, vreun bug de sistem. În fond, cu altă ocazie am văzut și în Gmail emailurile adresate altei persoane.

M-am convins atunci că chargeback-ul funcționează. Poate nu foarte rapid, că e un lanț lung de dezlegat, dar până la urmă primești banii înapoi.

În ultimul an am sesizat că procesatorii de carduri au început să comunice mai bine nivelul tranzacțiilor fraudate în România. Mai știți perioada lungă de timp în care oamenii se temeau de cardurile contactless pentru că erau convinși că cineva le va fura banii, plimbând un POS pe ascuns pe lângă buzunarul în care stă cardul bancar? Sunt minim trei articole vechi pe acest blog cu astfel de comentarii.

Eh, abia anul trecut, la o conferință unde participam și eu și am folosit exemplul acestui scenariu, cineva din domeniu a spus clar “nu s-a înregistrat nici măcar un singur caz de așa ceva în România până în prezent”.

Un raport privind fraudarea, emis de Banca Centrală Europeană, spune că mai puțin de 0,01% dintre tranzacțiile din România sunt fraudate. Mai puțin de 1 din 10.000! Se pare că avem una dintre cele mai mici rate de fraudare din Europa.

De fapt, după ce-am fost în SUA, mi-am dat seama că ne vin foarte multe știri despre fraudele bancare de acolo pentru că la ei securitatea este practic inexistentă. Dai cardul și comerciantul (ospătar, vânzător, ce-o fi) pleacă cu el către unde are POS-ul, nefiind necesar nici un PIN pentru plată. Scrii pe bon că mai lași și un bacșiș și acei bani sunt luați automat ulterior de pe card, deși tu ai plecat de mult din local, iar cardul este în buzunarul tău. Dai numărul cardului prin email sau telefon pentru a face anumite plăți.

Pentru mine, astfel de metode de plată sunt mind-blowing.

Nu mă mir că au acolo un număr mai mare de fraude. În Europa, în schimb, oamenii nu pierd niciodată cardul din raza vizuală și avem și alte mecanisme precum PIN, 3D Secure și toate automatizările bazate pe machine learning pe care au început să le implementeze procesatorii (de exemplu, dacă plătești acum ceva la Unirii și peste o oră în China, se ridică un flag în sistem).

În România, mai zic statisticile, 33% dintre acele foarte puține fraude se fac “cu card prezent”, adică de obicei cu carduri clonate, scoțându-se bani la bancomate, iar 67% sunt fraude “card not present” (CNP), adică plăți online făcute după ce datele cardului au fost cumva furate. Suntem sub media europeană la acest capitol.

Iată lista măsurilor de siguranță pe care mi le iau eu și pe care le recomand oricui:

1. nu pierdeți cardul din mână sau măcar din vedere. Nu lăsați pe nimeni să plece cu el, chiar și pentru câteva secunde, că altfel ar putea copia rapid numărul cardului, data expirării și codul CVV și apoi apare riscul de fraudă.
2. scoateți cash doar de la bancomate aflate în zone bine securizate. De exemplu cele din interiorul unităților bancare, interiorul mallurilor, magazinelor non-stop șamd. Pe acelea este mai greu de instalat un skimmer (adică un dispozitiv disimulat care citește cardul vostru când îl introduceți în bancomat și astfel poate fi clonat).
3. dacă nu găsiți un astfel de bancomat și apelați la unul mai obscur, verificați bancomatul după dispozitive suspecte și acoperiți cu mâna tastatura atunci când introduceți PIN-ul. Eu trag de fanta prin care introduc cardul ca să nu fie un skimmer acolo, mă uit după găuri suspecte unde ar putea fi camere video ce filmează tastatura șamd.
4. activați notificările push sau SMS-urile care vă informează de câte ori se face o plată cu cardul sau retragere de bani. De preferință SMS-urile, zic eu, deși pare anacronic. Avantajul este următorul: SMS-urile le primiți și în străinătate, pe când traficul de date poate că-l aveți oprit, dacă vă aflați în cine știe ce țară cu roaming de date scump.
5. nu introduceți cardul pe site-uri suspecte, nu comunicați nimănui datele sale. Nici măcar banca sau altă instituție financiară, atunci când face procedura de autentificare în caz că sunați la ei, nu are voie să vă ceară vreodată codul CVV de pe spatele său, de exemplu.

Asta este tot. Sunt aceleași 5 sfaturi pe care le zic de ani de zile pe acest subiect. N-au apărut altele.

De fapt, simt că unele vor dispărea în viitor. Directiva PSD2 mută responsabilitatea verificării unei tranzacții de la procesatorul de plăți către o combinație de emitent (banca, Revolut etc), intermediar (VISA, Mastercard etc) și procesatori (PayU, Netopia șamd), așa că întreg lanțul de companii implicate au decis să sporească măsurile de securitate. Din ce-am discutat la final de 2019 cu reprezentantul unuia dintre cei doi mari intermediari, urmează să introducă noi măsuri de securitate.

Cea mai simplă va fi un fel de 2-factor authentication mai complex decât 3D Secure, care acum este utilizat în puține țări. Probabil va avea forma unei aplicații de mobil ce-ți va solicita o autentificare biometrică înaintea unei plăți online. Nu știu exact ce va fi până la urmă și probabil mai sunt multe luni sau ani până la implementarea finală. Vedem atunci.

Între timp, însă, nu pot decât să apreciez viteza de dezvoltare a unui fintech modern din punct de vedere al opțiunilor de siguranță oferite clienților săi. Mă refer la Revolut, care are peste un milion de utilizatori în România, și la două funcții importante pe care le au implementate încă de la lansare:

• poți activa și dezactiva orice “funcție” a cardului direct din aplicația de mobil. Poți dezactiva banda magnetică, de exemplu, ceea ce face practic imposibil de clonat cardul cu un skimmer. Poți dezactiva retragerile de la bancomat, funcția contactless sau plățile online, dacă nu faci cumpărături pe internet.
• poți crea carduri virtuale ce pot fi activate și dezactivate oricând și chiar carduri virtuale de unică folosință pentru tranzacții online, ale căror date se schimbă după fiecare tranzacție. E ca și cum ai avea un card real ale cărui date se schimbă după fiecare plată.

Uitați ce-a scris un prieten pe Facebook acum câteva zile:

Not bad.

Și Revolut are și alte măsuri de securitate, poate cea mai importantă fiind verificarea suplimentară a poziției tale folosind aplicația de telefon. Prin geolocalizare, plata este permisă doar în proximitatea telefonului. Adică dacă se face o plată cu cardul în București, dar aplicația de mobil vede că tu ești în Sibiu, te întreabă dacă ești chiar tu și trebuie să confirmi plata.

Dacă apare o fraudă, se poate face direct din aplicație o cerere de chargeback pe care Revolut o înaintează către VISA sau Mastercard pentru soluționare. Banii sunt returnați a doua zi în cont în cazul fraudei, ceea ce îmi spune că Revolut suportă asta din fondurile proprii.

Din astfel de motive plățile cu cardul mi se par mai simple și mai sigure. Am carduri la trei bănci și mi se pare că intrarea Revolut pe piață, ca element disruptiv, a crescut viteza de digitalizare a băncilor.

Probabil că-i vor ajunge din urmă, forțate să facă astfel de schimbări. Mi se pare încă o dovadă despre cum concurența din piață este în primul rând benefică pentru clienți.