Przestępcy potrafią opróżnić konto, nawet gdy karta przez cały czas leży w Twoim portfelu.
Wystarczy jeden nieuwżny zakup lub wypłata gotówki.
Od kilku lat narasta fala ataków na karty płatnicze – zarówno przy bankomatach, jak i w sklepach internetowych. Metody stają się coraz bardziej wyrafinowane, dla przeciętnego użytkownika często całkowicie niewidoczne. Rezultat bywa identyczny: z konta znika tysiące złotych, a właściciel karty dowiaduje się o tym dopiero z opóźnieniem.
Od prymitywnych nakładek do niewidzialnych urządzeń
Pierwsze sposoby kradzieży danych z kart dotyczyły głównie bankomatów i terminali samoobsługowych, na przykład przy stacjach benzynowych. Oszuści montowali na nich specjalne nakładki imitujące oryginalne elementy urządzenia. Nasadka odczytywała dane z paska magnetycznego, a miniaturowa kamera nad klawiaturą rejestrowała wprowadzany kod PIN.
W nowocześniejszych wariantach urządzenia te wysyłają przechwycone informacje przez Bluetooth lub inne połączenie bezprzewodowe. Złodziej nie musi już wracać po sprzęt – dane docierają na bieżąco bezpośrednio do jego telefonu lub laptopa.
Cienkie jak papier: nowa generacja ataków na chip
Karty z chipem znacznie utrudniły proste kopiowanie paska magnetycznego. Chip generuje dla każdej transakcji unikalny kod, więc zwykłe klonowanie zapisanych danych rzadko wystarcza. Przestępcy wymyślili zatem rozwiązanie przejściowe – ultracienkie moduły wsuwane do czytnika karty, z zewnątrz całkowicie niewykrywalne.
Moduły te podsłuchują komunikację między kartą a terminalem w momencie płatności. Zebrane informacje służą następnie do produkcji fałszywych kart z paskiem magnetycznym, wykorzystywanych w krajach lub bankomatach, które wciąż umożliwiają transakcje w trybie awaryjnym bez pełnej weryfikacji chipu.
W Europie policja regularnie prowadzi akcje przeciwko zorganizowanym grupom specjalizującym się w tego typu kradzieżach. Schemat bywa podobny: zainfekowane bankomaty lub terminale na stacjach paliw, przy czym wypłaty gotówki czy zakupy odbywają się w innym kraju – nierzadko na innym kontynencie.
Największą zaletą przestępców jest dziś to, że ich wyposażenie jest dla użytkowników bankomatów i terminali praktycznie niewidoczne.
Nowy front: kradzież danych kart w sklepach internetowych
Wyraźnym trendem ostatnich lat jest przeniesienie oszustw z „fizycznych” bankomatów do środowiska online. Sklepy internetowe stały się idealnym celem, ponieważ pojedyncza udana infekcja pozwala przechwycić dane kart tysięcy klientów jednocześnie.
Mechanizm jest zaskakująco prosty. Cyberprzestępcy wstrzykują szkodliwy skrypt na stronę płatności. Może to być dosłownie kilka linijek kodu w JavaScripcie, które na pierwszy rzut oka są niewidoczne. Gdy klient wprowadza dane karty – numer, datę ważności, trzycyfrowy kod bezpieczeństwa – skrypt potajemnie wysyła je na serwer kontrolowany przez atakujących.
Atak poprzez zewnętrznych dostawców usług
Wiele sklepów internetowych korzysta z gotowych platform e-commerce, wtyczek analitycznych i reklamowych. Dla przestępców to ogromna okazja. Zamiast atakować jeden sklep po drugim, próbują przejąć kontrolę nad dostawcą takiego rozszerzenia.
Jeśli uda się zainfekować narzędzie używane przez tysiące stron, szkodliwy kod trafia jednocześnie do całej sieci sklepów. W ostatnich latach opisano ataki, podczas których w ten sposób wykradziono setki milionów numerów kart, włącznie z tymi z europejskich sklepów.
Skrypty ukryte w obrazkach i na stronach błędów
Aby utrudnić wykrycie, atakujący wymyślają coraz bardziej kreatywne sposoby maskowania kodu. Czasami szkodliwe fragmenty są ukryte w małych ikonkach strony (faviconach) lub podszywają się pod popularne narzędzia analityczne.
Opisano również kampanie, w których dyskretnie zmodyfikowano stronę błędu „404 – strona nie znaleziona”. Taka podstrona zazwyczaj nie budzi podejrzeń administratorów, a systemy bezpieczeństwa śledzą ją tylko powierzchownie. Klient podczas płatności widział pozornie normalny formularz, ale po wprowadzeniu danych karta była już skopiowana. Na końcu wyświetlał się komunikat o „błędzie sesji”, który tłumaczył konieczność powtórzenia transakcji.
Użytkownik widzi tylko nieprzyjemny błąd płatności. W rzeczywistości jego karta właśnie prawdopodobnie trafiła do bazy danych sprzedawanej na przestępczych forach.
Jak płacić kartą przy bankomacie i terminalu z mniejszym ryzykiem
Chociaż zagrożenie brzmi poważnie, kilka prostych nawyków znacznie zmniejsza szansę, że ktoś przechwycił dane Twojej karty w świecie offline.
- Używaj płatności zbliżeniowych – gdy nie ma potrzeby wkładania karty do czytnika, większość fizycznych nakładek traci sens.
- Zasłaniaj klawiaturę dłonią podczas wprowadzania kodu PIN, zarówno przy bankomacie, jak i przy kasie.
- Wybieraj bankomaty w bankach lub centrach handlowych, nie osamotnione urządzenia na ulicy, szczególnie w nocy.
- Sprawdzaj, czy elementy obudowy nie są poluzowane – ruchomy panel, wystające kable lub ślady kleju powinny natychmiast wzbudzić podejrzenia.
- Na stacjach benzynowych preferuj dystrybutory najbliżej budynku, ponieważ są lepiej monitorowane przez system kamer.
Jeśli coś wydaje się „dziwne” – szczelina na kartę wygląda inaczej niż zwykle, wyświetlacz miga lub wokół klawiatury widać świeżo naklejone elementy – lepiej zrezygnuj z transakcji i użyj innego urządzenia.
Bezpieczne zakupy online: proste zasady na co dzień
Sklepy internetowe są dziś równie ważnym polem bitwy z oszustami jak bankomaty. Duża część odpowiedzialności spoczywa na samych właścicielach sklepów, ale klienci również mogą wiele zrobić ze swojej strony.
Osobna karta do płatności online
Bardzo skutecznym rozwiązaniem jest posiadanie oddzielnej karty przeznaczonej wyłącznie do zakupów internetowych. Ustaw na niej niski dzienny i miesięczny limit. Nawet gdyby dane dostały się w ręce przestępców, nie „wybiorą” całego Twojego konta.
Wiele banków oferuje także tak zwane karty wirtualne – tymczasowe numery do jednorazowego użytku. Po dokonaniu zakupu numer ten przestaje działać. Atakujący mogą go co najwyżej sprzedać jako bezwartościowy zestaw cyfr.
Powiadomienia z aplikacji bankowej
Włącz powiadomienia push lub SMS o każdej transakcji kartą. Szybka informacja w telefonie pozwala natychmiast zauważyć obciążenie, którego nie rozpoznajesz. Jeśli zareagujesz szybko, bank ma większą szansę zablokować kolejne próby płatności i pomóc w zwrocie pieniędzy.
Zwracaj uwagę na ostrzeżenia przeglądarki o niebezpiecznych stronach. Podczas płatności nie powinny wyskakiwać dziwne okna, prośby o ponowne wprowadzenie danych ani logowanie do banku w osobnych oknach.
Każda nieoczekiwana zmiana w trakcie płatności – dodatkowe okno, „dziwny” formularz, niezwykły komunikat – to sygnał, aby przerwać transakcję i sprawdzić sklep.
Czego unikać przy płatnościach online
- Nie zapisuj numeru karty w przeglądarce ani w aplikacji sklepu, zwłaszcza na telefonach używanych w publicznych sieciach Wi-Fi.
- Nie wchodź na strony płatności przez linki z podejrzanych wiadomości SMS lub e-maili – adres sklepu lepiej wpisz ręcznie.
- Sprawdzaj, czy adres zaczyna się od „https” i czy nazwa domeny nie zawiera literówek lub dziwnych rozszerzeń.
- Bądź szczególnie ostrożny przy „wyprzedażach życia” z nieznanych sklepów – to częsty sposób wyłudzania danych kart.
Co muszą robić sklepy internetowe i dlaczego klientów to dotyczy
Właściciele e-sklepów mają coraz bardziej szczegółowe obowiązki w zakresie ochrony danych kart. Obecne standardy bezpieczeństwa wymagają, aby właściciel sklepu dokładnie wiedział, jaki kod uruchamia się na stronie płatności i z jakich zewnętrznych źródeł pochodzi.
Sprawdzone praktyki obejmują między innymi regularne skanowanie plików w poszukiwaniu podejrzanych skryptów, ograniczenie liczby zewnętrznych wtyczek oraz automatyczne alarmy w przypadku, gdy jakiś plik na stronie został zmieniony bez autoryzacji.
Dzięki temu sklep ma szansę szybko wykryć anomalię i zatrzymać dalsze wycieki danych nawet w razie włamania. Z punktu widzenia klientów warto wybierać marki, które otwarcie mówią o stosowanych zabezpieczeniach i aktualizacjach systemów.
Dlaczego „niewidzialna” kradzież kart jest dla przestępców tak opłacalna
Dane kart płatniczych są towarem, którym masowo handluje się na przestępczych forach. W zależności od kraju, limitu i rodzaju karty kompletny zestaw informacji może kosztować od kilku do kilkudziesięciu dolarów. Nabywcy wykorzystują je do zamawiania towarów, wypłat gotówki w krajach o słabszych zabezpieczeniach lub do wyłudzania środków w grach online i usługach cyfrowych.
Przestępcy rzadko celowo atakują pojedyncze osoby. Chodzi o skalę: skrypt w popularnym sklepie internetowym potrafi w ciągu kilku tygodni zgromadzić setki tysięcy numerów kart. Z takiej bazy zostanie wykorzystana tylko część, ale zyski są i tak ogromne.
Dla przeciętnego użytkownika kluczowe jest zatem połączenie dwóch rzeczy: rozsądne obchodzenie się z kartą i regularne monitorowanie konta. Nawet jeśli bank zwróci skradzione środki, stres i konieczność wyjaśnień mogą ciągnąć się przez całe tygodnie.
Dobrym nawykiem jest krótkie przeglądanie historii transakcji raz na kilka dni, najlepiej w aplikacji bankowej. Wiele osób zauważa pierwsze podejrzane obciążenie dopiero wtedy, gdy przypadkiem trafia na wyciąg. Tymczasem oszuści często „testują” kartę małymi kwotami, zanim uderzą większym zakupem. Szybka reakcja na taki sygnał potrafi uratować całe saldo konta.
