Rosvot voivat lukea uusien pankkikorttien tiedot taskustasi
Lähiluettavissa pankkikorteissa on todistetusti tietoturvaongelmia. Pankkialan mielestä korttien turva on kunnossa, mutta perustelut ontuvat. Onko järjestelmä valmiiksi rikki?
Maksujärjestelmien turvallisuutta tutkinut espoolainen tietoturvayhtiö Nixu totesi testeissään toukokuussa, että etäluettavien Visa- ja Mastercard -luottokorttien tiedot ovat luettavissa jopa taskussa olevasta lompakosta.
Muutaman kympin maksavalla kortinlukijalla sai Mastercardista kortin numeron sekä viimeisen voimassaolopäivän. Visan luotto- ja debit-kortit paljastavat tämän lisäksi omistajansa nimen.
Testeissään nixulaiset kirjautuivat suureen ulkomaiseen nettikauppaan ja tilasivat tavaraa eri osoitteeseen kuin mihin lukulaitteella luettu kortti oli rekisteröity. Tavara saapui muutamassa päivässä.
Ostosten hinnalla ei ole ylärajaa, sillä lähimaksamisessa voimassa oleva 25 euron raja ei ole voimassa verkko-ostoksissa. Tavaraa voi tilata niin paljon kuin kortin käyttöraja, luottoraja tai pankkitilin saldo antaa myöten.
– Ongelma on siinä, että kaikki kaupat eivät vaadi vahvaa tunnistautumista. Moni kauppa laittaa ostosten helpon tekemisen turvallisuuden edelle, selittää Nixun tietoturvakonsultti Niki Klaus.
Vahvalla tunnistautumisella tarkoitetaan pankkitunnuksen tai vähintäänkin kortin takana olevan kolminumeroisen CVV2-koodin syöttämistä oston yhteydessä.
Lähiluettavat kortit tulevat pyytämättä
Nordea on lisännyt lähimaksuominaisuuden Visa debit -kortteihinsa maaliskuusta alkaen ja Osuuspankit viime syksystä. Korttikanta uusiutuu koko ajan, joten yhä useammalla on lähiluettava kortti. Automaattisesti uusiutuviin kortteihin ominaisuus tulee pyytämättä.
– Mikäli asiakas ei halua lähimaksuominaisuudella varustettua korttia, hän voi valita itselleen Nordean korttivalikoimasta jonkin toisen kortin, esimerkiksi Visa Electronin, sanoo Anni Kuusisto Nordean viestinnästä.
Myös OP-Pohjola sanoo, että asiakas voi ottaa jonkun muun pankkitiliin yhteydessä olevan kortin.
Asiakkaan on kuitenkin oltava asian suhteen itse aktiivinen. Vaihtoehtoina oleva debit/credit -yhdistelmäkortti saattaa vaatia vuosimaksun ja Electron-korteilla maksaminen ei puolestaan onnistu lentokoneen kaltaisissa paikoissa, joissa ei ole nettiyhteyttä.
Korttien turvallisuuspuutteet ovat pankkialan tiedossa. Niitä ei kuitenkaan pidetä kriittisinä.
– Pitää paikkansa, että oikeissa olosuhteissa tietyillä laitteilla on mahdollista lukea kortinnumero ja voimassaoloaika lähimaksukortista, mutta ei kuitenkaan kortin kääntöpuolella näkyvää kolminumeroista tarkistuslukua (CVC/CVV), jota tarvitaan verkkokaupoissa. Siksi emme näe tätä vakavana riskinä, kirjoitti Netsin eli entisen Luottokunnan riskienhallintajohtaja Jani Kallio vastineena Nixun löydöksiin.
Taloussanomien tulkinnan mukaan Netsin esittämä väite ei ole totta. On kauppoja, joissa tarkistuslukua ei kysytä.
– On muutama kansainvälinen toimija, joka on valinnut sen polun, ettei käytä tarjolla olevia tunnistuspalveluita. Se on ollut niiden oma riskinhallintapäätös ja ne ovat itse vastuussa vahingoista, Kallio täsmentää puhelimessa.
Kallio ei hyväksy Taloussanomien väitettä, että Nets antaa virheellistä tietoa antaessaan ymmärtää tarkistuslukua kysyttävän aina.
– Kyllä se käytännössä verkko-ostoksissa vaaditaan. Jos on yksi kauppa, jossa sitä ei vaadita, se ei anna oikeutta tuohon johtopäätökseen, sanoo Kallio.
Kallio ei myöskään allekirjoita väitettä, että kortinhaltija on tilanteessa, jossa korttitietoja voidaan käyttää väärin, vaikka hän olisi käsitellyt korttiaan oikein. Kallio vertaa tilannetta tietomurtoihin, joissa korttitietoja saattaa päätyä vääriin käsiin, vaikka kortin omistaja on tehnyt kaiken oikein.
Tiliotteet syynättävä
tarkasti
Virheelliset luottokortti- ja debit-maksut on mahdollista kiistää. Kiistämisen edellytys on kuitenkin se, että kortin omistaja huomaa korttiaan käytetyn väärin. Tämä edellyttää luottokorttilaskun ja pankkitilin tapahtumien tarkkaa ja jatkuvaa seurantaa.
Esimerkiksi vanhuksille tiliotteen systemaattinen tarkistaminen verkkopankista käsin ei ole itsestään selvää.
Väärinkäytöksiä ei ole vielä tiedossa. Nixun Niki Klaus pitää mahdollisena tilannetta, jossa lukulaitteilla varustetut rikolliset skannaavat kortteja vaikkapa ruuhkabussissa.
– Lukijoita löytyy monista älypuhelimista. Kun kaksi isoa massaa, eli lähiluettavien korttien omistajat ja koko ajan yleistyvät lukulaitteet kohtaavat, voi syntyä väärinkäytöksiä, Klaus sanoo.
OP-Pohjolan rahoituspäällikkö Kasimir Hirn ei näe korttien luvatonta lähilukua uhkana. Jos asiakas on huolehtinut kortistaan hyvin, hän ei ole vastuussa väärinkäytöstä.
– Käsityksemme mukaan korttien skannailu älypuhelimilla ei ole todellinen riski. Verkkorikolliset ovat ison rahan perässä. Tässä ei ole lisävelvoitetta kortinhaltijalle. Heitä kehotetaan joka tapauksessa tutkimaan tiliotteensa, sanoo Hirn.
Hirnin mukaan järjestelmän turva on riittävällä tasolla ja nykyinen tilanne vähintään samalla tasolla kuin ennenkin.
Lue alkuperäinen uutinen Ilta Sanomien sivuilta tästä
