Kousek alobalu na pumpě a zloději tankovali na vaši kartu. Nepotřebovali PIN, stačilo jim pár sekund po vašem odjezdu

Malá kulička alobalu v držáku pistole na samoobslužné pumpě ve Francii stačila k tomu, aby cizí lidé tankovali na účet předchozího zákazníka.

Zdroj fotografie: Public Domain

Pátek 3. dubna, čerpací stanice Hyper U v městečku Challans na západě Francie. Zákazník přiloží kartu k samoobslužnému stojanu, zadá PIN, natankuje a odjede. Netuší, že v držáku tankovací pistole leží malý smotek alobalu. Ten brání pistoli správně dosednout, takže stojan nezaznamená, že tankování skončilo. Karetní transakce zůstává otevřená. Stačí několik desítek sekund: další člověk přijde ke stejnému stojanu, zvedne pistoli a natankuje palivo na účet zákazníka, který právě odjel. Nepotřebuje jeho kartu ani PIN. Využívá už autorizovanou platbu, která se formálně neuzavřela, a může čerpat palivo až do vyčerpání zbývajícího předautorizačního limitu, v tomto případě 150 eur, tedy zhruba 3 750 Kč.

Jak přesně trik funguje a proč pachatelé nepotřebují PIN

Celý podvod stojí na jednom principu: samoobslužné stojany mohou ukončovat karetní transakci až ve chvíli, kdy zaznamenají vrácení pistole do držáku. K tomu slouží mechanický nebo bezkontaktní snímač. Když pistole správně dosedne, řídicí systém stojanu vyhodnotí tankování jako ukončené a předá údaje potřebné k vypořádání platby. Alobal v držáku může tento signál narušit, takže systém dál považuje tankování za probíhající.

PIN se přitom zadává pouze při původní autorizaci karty. Samoobslužné pumpy používají takzvanou předautorizaci: banka nejprve ověří, zda má zákazník na účtu dostatek prostředků nebo volného úvěrového limitu, a příslušnou částku zablokuje. Po ukončení tankování se následně zaúčtuje skutečná cena paliva. Pachatel tedy nezadává novou platbu. Pokračuje v odběru paliva v rámci již autorizované transakce. Podle 20 Minutes, které případ popsalo, vedoucí stanice Christophe Grondin potvrdil, že zbývající část předautorizované sumy může někdo vyčerpat, pokud převezme pistoli „velmi rychle“. Technická dokumentace výrobce stojanů Gilbarco uvádí výchozí autorizační timeout 60 sekund. Po tuto dobu tak systém může nechat transakci otevřenou, než ji sám ukončí.

Důležité je také vědět, co tento trik není. Nejde o skimming, tedy o kopírování dat z magnetického proužku karty. Nejde ani o phishing nebo krádež karetních údajů. Pachatel nemusí mít vaši kartu v ruce ani kopírovat její data. Podvod se odehrává na úrovni fyzického signálu stojanu a způsobu, jakým systém vyhodnocuje konec tankování.

Může se to stát i v Česku?

Ve veřejně dostupných zdrojích se nám nepodařilo dohledat český případ stejného triku s alobalem. To ale neznamená, že by jej nebylo možné technicky zopakovat. Samoobslužné čerpací stanice s předautorizací totiž běžně fungují i v Česku.

Kancelář finančního arbitra ve svém slovníku pojmů výslovně uvádí samoobslužné čerpací stanice jako typické místo, kde se předautorizace používá. ORLEN ve svém manuálu pro tankování rozlišuje „standardní čerpací stanici s obchodem“ a „samoobslužnou čerpací stanici (PŘEDAUTORIZACE)“. U druhé varianty si řidič nastaví maximální částku a po ukončení tankování se zaúčtuje skutečná cena. ČSOB u služby Tankuj popisuje podobný princip: zákazník zvolí částku v rozmezí 100 až 10 000 Kč, banka ji zablokuje a po dokončení tankování se zaúčtuje skutečná útrata.

Princip předautorizace je tedy podobný jako ve francouzském případě. Konkrétní limity se ale liší podle provozovatele a použitého systému:

Stanice / služba	Předautorizační limit
Hyper U Challans (Francie)	150 € (~3 750 Kč)
ORLEN samoobslužná (ČR)	nastavitelný, příklad v manuálu 5 500 Kč
ČSOB Tankuj (ČR)	100–10 000 Kč podle volby zákazníka

Univerzální český limit neexistuje. Záleží na konkrétní síti a platebním systému. Samotná předautorizace ale představuje podobný princip, a proto stojí za to věnovat pozornost tomu, zda stojan tankování skutečně ukončil.

Jak se bránit přímo u stojanu

Nejslabším místem celého řetězce není zabezpečení karty ani šifrování platby. Je jím okamžik, kdy po tankování odcházíte od stojanu. Právě tehdy má prevence největší smysl.

• Zkontrolujte držák pistole před tankováním. Pokud v něm něco překáží, například smotek alobalu, papír nebo jiný neobvyklý předmět, odstraňte to, případně použijte jiný stojan a upozorněte obsluhu.
• Po tankování se ujistěte, že pistole správně dosedla. Neodcházejte, dokud ji nevrátíte do držáku a stojan nepotvrdí ukončení tankování. Samotné kliknutí nemusí být u všech typů stojanů spolehlivým potvrzením.
• Vyžádejte si účtenku. Její vytištění může být užitečným signálem, že stojan tankování ukončil. Pokud ji stojan nevydá, ověřte na displeji, zda je proces skutečně dokončen. Samotná absence účtenky ale ještě nemusí znamenat, že transakce zůstala otevřená.
• Zkontrolujte částku na výpisu. Pokud se konečná zaúčtovaná suma liší od ceny natankovaného paliva, ověřte, zda nejde pouze o dočasnou blokaci předautorizované částky.

Zní to banálně, ale právě proto může trik fungovat. Lidé po natankování často jednoduše odjedou, aniž by se přesvědčili, že stojan celý proces správně ukončil.

Co dělat, když vám strhli víc

Pokud na výpisu najdete vyšší částku, než odpovídá vašemu tankování, nejprve rozlište dvě situace. Dočasně blokovaná částka v rámci předautorizace se může lišit od konečné ceny. To je běžné a banka blokaci po vypořádání transakce zpravidla uvolní. Pokud je ale i konečně zaúčtovaná částka vyšší, než kolik jste skutečně natankovali, můžete platbu reklamovat.

Postup je přímočarý:

• Kontaktujte banku – uveďte datum, čas, částku, místo tankování a případně autorizační kód z účtenky.
• Požádejte o chargeback – jde o reklamační proces, prostřednictvím kterého lze za určitých podmínek požádat o vrácení peněz za karetní transakci. Komerční banka při reklamaci požaduje příslušný formulář a doklad o transakci z internetového bankovnictví. ČSOB i Air Bank popisují chargeback jako standardní nástroj pro řešení některých sporných karetních plateb.
• Uschovejte účtenku – může posloužit jako důkaz o místě a částce tankování. Global Payments ji rovněž uvádí mezi důležitými podklady při reklamaci karetní transakce.

Pokud dočasně blokovaná částka nezmizí ani po sedmi dnech, ČSOB doporučuje kontaktovat banku a poskytnout jí údaje o transakci. Doba uvolnění blokace se ale může lišit podle banky, provozovatele a konkrétního platebního systému.

Primitivní, a přesto účinné

Celý podvod nevyžaduje žádné zvláštní technické znalosti. Žádný software, žádné speciální zařízení ani kopii karty. Stačí kousek alobalu, trpělivost a několik desítek sekund. Právě jednoduchost z něj dělá riziko, které si zaslouží pozornost. Nejlepší prevencí je návyk, který řada řidičů podceňuje: po tankování se zastavit, zkontrolovat displej a přesvědčit se, že stojan proces skutečně ukončil.