Ztracenou platební kartu může zloděj zneužít snáz než telefon. Důvod je jednoduchý

Fyzická karta v Česku umožňuje bezkontaktní platby do 500 Kč bez PINu, a několik takových transakcí může projít za sebou, než terminál požádá o ověření.

Zdroj fotografie: Pexels

Představte si, že vám v tramvaji vypadne peněženka. Než si toho vůbec všimnete, nálezce může vaší kartou zaplatit v nejbližším obchodě. A pak znovu. A ještě jednou. Bez PINu, otisku prstu nebo dalšího potvrzení. Stačí přiložit kartu k terminálu. Pokud by vám ale vypadl telefon s Apple Pay nebo Google Wallet, nálezce narazí na zamčenou obrazovku a bez vašeho obličeje, otisku prstu nebo odemykacího kódu zpravidla nezaplatí ani korunu.

Rozdíl nespočívá v tom, že je telefon „chytřejší“. Důvod se skrývá hlouběji, v samotném způsobu, jakým mobilní a klasické platby fungují. Mobilní peněženka totiž obchodníkovi neposílá skutečné číslo vaší karty. Místo něj používá takzvaný token, tedy digitální náhradu čísla karty, a každou transakci zabezpečuje dynamickým bezpečnostním kódem. Platbu navíc chrání ověření uživatele. Fyzická karta má jiné bezpečnostní mechanismy a při bezkontaktní platbě nemusí vždy vyžadovat ověření PINem. Právě v tom spočívá její slabina.

Plast bez dozoru: co přesně hrozí

Podle příručky České spořitelny i dokumentace ČSOB je v Česku běžný limit pro bezkontaktní platbu bez zadání PINu 500 Kč. Terminál však může vyžádat PIN i při nižší částce, například kvůli bezpečnostním pravidlům nebo po dosažení určitého souhrnného limitu transakcí. V praxi to znamená, že člověk, který najde cizí kartu, může někdy uskutečnit několik nákupů za sebou, než bude nutné zadat PIN. Pět nákupů po 490 Kč? To je téměř 2 500 Kč pryč během několika minut, pokud platby projdou.

A to není jediné riziko. Na kartě bývá uvedeno její číslo a datum platnosti, na zadní straně pak bezpečnostní kód CVC/CVV. U některých internetových obchodníků a při takzvaných MO/TO transakcích, tedy platbách objednaných poštou nebo telefonicky, mohou tyto údaje k provedení platby stačit. Záleží ale na konkrétním obchodníkovi a na tom, jaké další ověření vyžaduje. MONETA na toto riziko upozorňuje i ve svých materiálech.

Proč je telefon tvrdší oříšek

Mobilní peněženka staví mezi nálezce telefonu a vaše peníze hned několik bezpečnostních bariér:

• Ověření uživatele – Apple Pay při placení obvykle vyžaduje Face ID, Touch ID nebo zadání kódu. Google Wallet zpravidla vyžaduje odemčené zařízení a ověření uživatele, přičemž přesné podmínky se mohou lišit podle částky a způsobu platby. Se zamčeným telefonem tak nálezce obvykle nezaplatí.
• Tokenizace – místo skutečného čísla karty používá Apple Pay takzvané Device Account Number. Google Wallet rovněž pracuje s digitálním platebním identifikátorem, který nahrazuje skutečné číslo karty. Obchodník při běžné platbě prostřednictvím mobilní peněženky nezíská její skutečné číslo.
• Dynamický kód – každou transakci zabezpečují údaje, které se mění a nelze je jednoduše použít znovu. I kdyby někdo zachytil data z jedné platby, neměl by je být schopen použít k opakování další transakce.
• Vzdálené zabezpečení – pokud iPhone označíte jako ztracený prostřednictvím služby Najít, můžete zařízení vzdáleně zamknout a zablokovat možnost používat na něm Apple Pay. U Androidu lze prostřednictvím služby Najdi moje zařízení telefon vzdáleně zabezpečit nebo vymazat; tím lze zamezit přístupu k uloženým platebním údajům.

S fyzickou kartou je situace jiná. Pokud ji ztratíte, musíte ji co nejrychleji zamknout nebo zablokovat prostřednictvím banky. Do té doby může být možné s ní provádět některé platby. Ani plastová karta však není bez ochrany: banka může podezřelé transakce vyhodnotit a některé platby mohou vyžadovat PIN nebo další ověření.

Kdy telefon nezachrání

Bylo by zavádějící tvrdit, že mobilní peněženka je neprůstřelná. Její ochrana závisí mimo jiné na tom, zda útočník zná váš odemykací kód. Komerční banka ve svých materiálech upozorňuje na rizika spojená se znalostí přístupových údajů k telefonu. Apple zároveň umožňuje v určitých situacích ověřit platbu pomocí kódu zařízení namísto biometrie.

Pokud tedy útočník váš kód zná, například proto, že vám při jeho zadávání koukal přes rameno v kavárně, jedna z hlavních bezpečnostních bariér padá. Tokenizace sice dál chrání skutečné číslo karty před obchodníkem, ale sama o sobě nezabrání člověku, který získal přístup k vašemu zařízení, aby se pokusil provádět platby.

Další slabinou jsou podvody, při kterých své údaje předáte sami. Phishing, podvodné telefonáty nebo prozrazení odemykacího kódu někomu, komu důvěřujete, jsou situace, v nichž samotná technologie nemusí stačit. Proto je důležité chránit nejen zařízení, ale také své přihlašovací údaje a osobní informace.

Co dělat, když přijdete o kartu

Rozhodující je rychlost reakce. České banky dnes většinou umožňují kartu zamknout nebo zablokovat přímo v mobilní aplikaci. Tuto možnost nabízejí například ČSOB Smart, George od České spořitelny, My Air, MONETA Smart Banka, KB+ a Fio Smartbanking. Některé aplikace rozlišují mezi dočasným zamknutím, které se hodí, když kartu možná jen nemůžete najít, a trvalou blokací, po níž už kartu nelze dál používat.

Pokud aplikaci nemáte k dispozici, zavolejte na nonstop linku své banky:

Banka	Telefonní číslo
Česká spořitelna	277 207 207
ČSOB	+420 495 800 111
Air Bank	+420 547 134 134
MONETA	+420 224 442 424
Komerční banka	+420 955 512 230
Fio banka	+420 224 346 777

Univerzální telefonní číslo pro blokaci všech platebních karet v Česku neexistuje. Vždy záleží na konkrétní bance. Důležitý je ale také právní rámec. Podle informačního letáku ČNB může být spoluúčast klienta při neautorizovaných platbách v EU za určitých podmínek omezena na 50 eur, tedy přibližně 1 250 Kč. Toto omezení se však nemusí uplatnit například v případě, že klient jednal podvodně nebo nesplnil své povinnosti úmyslně či z hrubé nedbalosti. Po oznámení ztráty nebo zneužití karty bance klient zpravidla nenese odpovědnost za následné neautorizované platby, pokud nejednal podvodně.

Jak si nastavit bezpečnější rutinu

Nejde o to zahodit plastovou kartu a bezvýhradně důvěřovat telefonu. Důležité je pochopit, že mobilní peněženka přidává k platební kartě další bezpečnostní vrstvu. Z toho vyplývá několik praktických doporučení:

• Používejte mobilní peněženku jako hlavní platební prostředek při nákupech v obchodech, pokud vám to vyhovuje.
• Na fyzické kartě si nastavte přiměřené platební limity a vypněte internetové platby nebo MO/TO transakce, pokud je nepotřebujete a banka vám umožňuje je samostatně omezit.
• Zapněte si upozornění na každou transakci. Čím dříve se dozvíte o podezřelé platbě, tím rychleji můžete reagovat.
• Nikomu nesdělujte odemykací kód telefonu a dávejte pozor, aby ho nikdo neodpozoroval. Pokud to vaše zařízení umožňuje, používejte bezpečné biometrické ověřování.
• Aktivujte funkci Najít na iPhonu nebo Najdi moje zařízení na Androidu, abyste mohli telefon v případě ztráty vzdáleně zabezpečit.

Fyzická karta v peněžence je stále užitečnou zálohou pro situace, kdy telefon nefunguje, vybije se nebo ho nemůžete použít. Pokud ji ale používáte jako hlavní platební prostředek, počítejte s tím, že při ztrátě může být možné provést některé bezkontaktní platby i bez zadání PINu. Mobilní peněženka nabízí další vrstvu ochrany, která může v podobné situaci výrazně snížit riziko zneužití.