Skimming to bezprawne kopiowanie danych z paska magnetycznego karty płatniczej, wykorzystywane następnie do stworzenia duplikatu i przeprowadzania nielegalnych transakcji. Sprawcy montują specjalne czytniki na terminalach POS lub bankomatach, a niekiedy stawiają całe fałszywe urządzenia służące wyłącznie do przechwytywania danych. Jak rozpoznać zagrożenie i co robić, gdy dojdzie do kradziory środków?
Skimming jest jedną z najczęstszych form przestępstw komputerowych związanych z bankowością elektroniczną. Przestępcy kopiują dane z paska magnetycznego, by wytworzyć duplikat oryginalnej karty. Sczytywanie odbywa się przy użyciu urządzeń zamontowanych na oryginalnym terminalu POS w sklepie, na stacji benzynowej albo w bankomacie, a czasem przy pomocy fałszywych terminali skonstruowanych wyłącznie do przechwytywania danych.
Najłatwiej skopiować dane z karty, która nie wymaga autoryzacji kodem PIN, choć dodatkowy sprzęt pozwala także na przechwycenie samego PIN-u. Metody sczytywania informacji różnią się w zależności od miejsca ataku:
Skimming bankomatowy polega na instalowaniu urządzeń przypominających standardowe elementy wyposażenia bankomatu, na przykład pojemniki na ulotki reklamowe czy listwy informacyjne. Pasek magnetyczny zawiera trzy ścieżki danych, z których dwie pierwsze przechowują numer karty, datę ważności, kod weryfikacyjny i dane posiadacza. Skopiowanie tych informacji zajmuje kilka sekund, a przestępca nie musi nawet fizycznie dotknąć karty.
Podczas płatności nie należy przekazywać karty osobie nieuprawnionej - transakcję trzeba wykonywać osobiście, zasłaniając dłonią klawiaturę terminala, tak aby osoby postronne nie widziały wpisywanej kombinacji cyfr.
Zanim skorzystamy z bankomatu, warto sprawdzić, czy na urządzeniu nie zamontowano listew lub nakładek. Podejrzane elementy to:
Kod PIN warto wpisywać, zasłaniając klawiaturę dłonią, co utrudnia rejestrację przez ukrytą mikrokamerę. Jeśli coś wzbudzi podejrzenia, należy przerwać transakcję i bezzwłocznie powiadomić właściciela bankomatu o nieprawidłowościach, a w placówce bankowej zgłosić się do pracownika obsługi. Szczelina do wkładania karty nie powinna być szersza niż standardowo, co może świadczyć o zamontowanym czytniku nakładkowym, a delikatne pociągnięcie klawiatury pomoże wykryć fałszywe nakładki, bo oryginalne elementy bankomatu są mocno przymocowane.
Przy płatności kartą w punkcie sprzedaży warto zwrócić uwagę na zachowanie obsługi oraz wygląd terminala. Podejrzane jest zabranie karty poza zasięg wzroku klienta lub wykonanie płatności w nietypowy sposób. Terminal nie powinien mieć żadnych nakładek, luźnych elementów ani widocznych śladów ingerencji. Jeśli sprzedawca próbuje przesunąć kartę przez dodatkowe urządzenie przed właściwą transakcją, należy odmówić i żądać płatności gotówką lub opuścić punkt sprzedaży.
Korzystanie z dwóch różnych urządzeń podczas jednej transakcji, jednego do sczytania paska magnetycznego i drugiego do autoryzacji, może świadczyć o próbie kradzieży danych. Bezpieczniejsze są płatności zbliżeniowe oraz transakcje z użyciem chipów EMV, generujące unikalny kod autoryzacyjny dla każdej operacji, co uniemożliwia stworzenie funkcjonalnego duplikatu karty na podstawie skopiowanych danych.
Ofiarom skimmingu przysługuje zwrot utraconych pieniędzy, choć procedura odzyskania środków bywa dłuższa, zwłaszcza gdy przestępstwo miało miejsce za granicą. Podstawą jest zgłoszenie reklamacji w banku prowadzącym obciążony nielegalnymi transakcjami rachunek oraz zawiadomienie o popełnieniu przestępstwa - prokuratury lub policji.
Reklamację należy złożyć niezwłocznie po wykryciu nieautoryzowanych transakcji, najlepiej w ciągu 24 godzin. Bank ma obowiązek rozpatrzyć reklamację w ciągu 15 dni roboczych, a w sprawach skomplikowanych, w ciągu 35 dni roboczych. Do reklamacji warto dołączyć:
Bank ma obowiązek zabezpieczyć środki na koncie w trakcie postępowania reklamacyjnego, chyba że ma uzasadnione podstawy do podejrzeń o udział posiadacza karty w oszustwie. W praktyce większość instytucji zwraca środki natychmiast po przyjęciu reklamacji, a następnie prowadzi wewnętrzne dochodzenie, analizując historię transakcji, lokalizację ich przeprowadzenia i sposób autoryzacji.
Zawiadomienie o przestępstwie złożone w prokuraturze lub na policji jest niezbędne dla postępowania karnego i jednocześnie stanowi dowód w postępowaniu reklamacyjnym. Warto opisać przebieg zdarzeń, wskazać miejsce i czas, w którym mogło dojść do skopiowania danych karty płatniczej, oraz załączyć dostępne dowody: wyciągi z konta, potwierdzenia transakcji, zdjęcia podejrzanego bankomatu lub terminala.
Kradzież za granicą bywa bardziej skomplikowana i wymaga współpracy międzynarodowej organów ścigania, a bank zazwyczaj współpracuje z zagranicznymi instytucjami w celu ustalenia okoliczności transakcji. Postępowanie karne w przypadku skimmingu prowadzone jest na podstawie art. 287 Kodeksu karnego, dotyczącego kradzieży z włamaniem lub podstępem, oraz art. 278 par. 5 Kodeksu karnego, dotyczącego kradzieży tożsamości i środków płatniczych. Sprawcy grozi kara pozbawienia wolności od 6 miesięcy do 8 lat.
Ważne: posiadacz karty odpowiada za nieautoryzowane transakcje maksymalnie do równowartości 50 euro, o ile nie doszło do rażącego niedbalstwa, na przykład zapisania PIN-u na karcie, udostępnienia go osobom trzecim lub braku zgłoszenia utraty karty w odpowiednim czasie. Jeśli bank wykaże należytą staranność klienta, zwrot środków następuje w całości.
Po otrzymaniu zwrotu środków warto rozważyć zmianę banku lub dodatkowe zabezpieczenia, takie jak limity transakcyjne, powiadomienia SMS o każdej operacji lub korzystanie wyłącznie z kart z chipem EMV, znacznie trudniejszych do skopiowania niż karty z paskiem magnetycznym. Chip EMV generuje unikalny kod dla każdej transakcji, co uniemożliwia wykorzystanie skopiowanych danych do kolejnych operacji. Nowoczesne karty korzystają też z tokenizacji, zastępującej rzeczywiste dane karty losowymi ciągami znaków podczas transakcji online, co uniemożliwia przechwycenie prawdziwych informacji. Regularne monitorowanie wyciągów bankowych i korzystanie z aplikacji mobilnych z powiadomieniami w czasie rzeczywistym pozwala szybciej wychwycić podejrzaną transakcję.
jedna odpowiedź do “Czym jest skimming i jak się chronić przed tego typu przestępstwem komputerowym?”
O kurczę… ale wydaje mi sie, że w nowych kartach chyba są już jakieś zabezpieczenia? Oczywiście ja nie mówię o kartach kredytowych, których numery podaje się w necie, jak chcesz coś kupić, bo to jest absolutny absurd. Nigdy tego nie robię.