Viipekaart – lisamugavus mitte ainult kliendile, vaid ka vargale?
Hiljuti ka Eestis kasutusele võetud viipekaardid teevad klientidele maksmise mugavamaks ja kiiremaks. Samas tekib küsimus, kas see lisamugavus teeb toimetamise lihtsamaks ka kurjategijatele, sest nagu näitab teiste riikide kogemus, on pea samasuguse lihtsusega, nagu seda on viipemakse, võimalik viipekaartidelt varastada ka andmeid, millega kurjategija hiljem veebipoodides vabalt ostelda saab. Välismeedias on soovitatud vooderdada oma rahakotid fooliumpaberiga ja osta kaartide kaitsmiseks spetsiaalsed taskud. Eesti pangad selliste lisaturvameetmete rakendamist vajalikuks ei pea.
Kontaktivabade kaartide kasutamisel on kaks suuremat turvariski, rääkis ERR-ile Londoni ülikooli kolledži arvutiteaduse osakonna julgeolekuteadlane Steven Murdoch. Esiteks, kuna tehingu tegemiseks ei ole vaja PIN-koodi sisestada, on varastatud kaarti võimalik kordi lihtsamalt kasutada. Teiseks, viipekaardi andmeid saab lugeda ilma, et kaardiomanik sellest teadlik oleks.
"Olgugi, et kontaktivaba kaardi lugemine ei võimalda teha sellest täiuslikku koopiat, on loetud andmed sageli piisavad, et teha veebis oste või hankida tundlikku infot, näiteks kaardiomaniku nime," kirjeldas Murdoch.
Mõistagi eeldab kaardiandmete varastamine teatud soodsaid tingimusi. Standardne kaardilugeja loeb kaarti ainult siis, kui see on paari sentimeetri kaugusel, seega peab kaardiandmete varastamiseks mõeldud lugeja samuti peaaegu et puudutama ohvri raha- või käekotti. "See võib olla võimalik rahvarohkes kohas, või siis, kui kaardiomanik meelitatakse oma kaarti lugejale näitama," rääkis Murdoch.
Väikeste muudatustega on lugeja võimeline kaarti lugema kümne sentimeetri kauguselt, aga mitte väga palju kaugemalt. "Varasemalt on tõestatud, et kontaktivabu kaarte on võimalik lugeda mitme meetri kauguselt. Aga see töötab ainult juhul, kui kaardi ja selle lähedal oleva lugeja vahelist suhtlust kuulatakse pealt," selgitas Murdoch.
Suurbritannia tarbijate liidu väljaanne Which? tegi eelmisel aastal katse, mille käigus õnnestus teadlastel odava ja internetist kergesti kättesaadava tehnoloogia abil varastada viipekaartide andmeid ning kasutada neid internetist asjade, näiteks 3500-eurose teleri ostmiseks.
Suurbritannia tarbijate liidu väljaanne Which? tegi eelmisel aastal katse, mille käigus õnnestus teadlastel odava ja internetist kergesti kättesaadava tehnoloogia abil varastada viipekaartide andmeid ning kasutada neid internetist asjade, näiteks 3500-eurose teleri ostmiseks.
Teadlased tegid turvariskide hindamiseks katse kümne kaardiga (kuus deebet- ja neli krediitkaarti). Kuigi kontaktivabad kaardid on isikuandmete maskeerimiseks kodeeritud, õnnestus teadlastel aga kergesti kättesaadava lugeja ja tasuta tarkvara abil need andmed dekodeerida ning lugeda kõigi kümne kaardi numbrit ja aegumiskuupäeva.
Kuigi teadlased eeldasid, et neil ei õnnestu ilma CVV-turvakoodita (kolmekohaline number kaardi tagaküljel) veebis oste teha, siis nad eksisid. Vabatahtlike katseisikute viipekaartide lugemisega hankisid teadlased piisavalt andmeid, et internetis ka ilma selleta vabalt oste teha. Kontaktivaba tehingu limiit on sel juhul tähtsusetu, sest veebitehingud ei ole kontaktivabad.
See tekitab paratamatult küsimuse, kuivõrd turvalised on siinsete pankade väljastatud viipekaardid ja nende kasutamine.
Pangad: viipekaardid ei ole tavakaartidest kuidagi vähem turvalisemad
Nordea panga kaardivaldkonna juht Piret Maiste kinnitas, et viipemakse lihtsus ei tähenda, et kaardimaksed oleksid selle võrra vähem turvalised ja eraldi meetmeid turvalisuse tagamiseks võtma ei pea. "Viipemakse funktsionaalsuse olemasolu ei soodusta ega lihtsusta kuidagi kaartide kopeerimist ja kaardiomanike andmete lekkimist."
Maiste sõnul on Nordea viipekaardid varustatud uue tehnoloogia ja vajalike turvaelementidega. Peale selle nõutakse pärast mitut järjestikust viipemakset PIN-koodi ja olenevalt terminalist vahel ka kaardi sisestamist, veendumaks, et kaart on omaniku valduses.
Viipekaardi tehnilisi üksikasju Nordea pank turvalisuse huvides mõistagi avaldada ei saa. "Saame lisada, et viipekaardi tehingu käigus vahetatakse andmeid kaardil oleva mikrokiibi kaudu, raadiosignaalide abil," ütles Maiste.
Ka Swedbanki krediitkaartide osakonna juht Kai Voore ütles, et viipekaartide puhul ei ole kliendiandmete kättesaamine tavakaardiga võrreldes lihtsam. "Suhtlus terminali ja pangakaardi vahel on piisavalt hästi turvatud, mis teeb andmete õngitsemise ebaatraktiivseks."
"Selleks, et viipekaardilt andmed välja lugeda, peab kaart olema terminalile väga lähedal, maksimaalselt kahe sentimeetri kaugusel. Seega on praktiliselt võimatu maksta näiteks kassast mööda jalutades kogemata kellegi teise arve."
- Kai Voore, Swedbank
Sarnaselt Nordea pangale ei ole ka Voore hinnangul täiendavad turvameetmed vajalikud. "Selleks, et viipekaardilt andmed välja lugeda, peab kaart olema terminalile väga lähedal, maksimaalselt kahe sentimeetri kaugusel. Seega on praktiliselt võimatu maksta näiteks kassast mööda jalutades kogemata kellegi teise arve."
Voore rääkis, et Swedbanki viipekaartide süsteemi taga on keeruline algoritm ja aeg-ajalt küsitakse PIN-koodi ka väiksemate kui 10-euroste tehingute puhul. "Seega piiramatult siiski puutevabalt tehinguid teha ei saa. Peale selle ei ole võimalik teha järjest ka kahte samasugust makset."
Klient saab turvalisuse tagamiseks ise palju ära teha
LHV kommunikatsioonijuht Priit Rum märkis, et kuivõrd viipemakse võimalusega pangakaardid on Eestis kasutusel olnud neli kuud, on põhjalikke järeldusi nende ohutuse või ohtlikkuse kohta veel vara teha. Tema sõnul saab aga iga kaardiomanik turvalisuse tagamiseks ise väga palju ära teha.
"Soovitame klientidel määrata kaardile mõistlikud ja enda riskivalmidusega sobivad limiidid. Viipemaksele saab mugavalt määrata madala päevalimiidi või viipemakse võimaluse pangakaardil üldse välja lülitada," rääkis Rum.
Maiste sõnul kehtivad kliendile turvalisuse hoidmiseks täpselt samasugused soovitused nagu tavakaardi puhul – kaart ei tohi n-ö lahkuda omaniku vaateväljast. Kohe, kui märgatakse kaardi kadumist, tuleb sellest panka teavitada. "Klient vastutab tehingute eest seni kuni ta pole kaardi kadumisest või vargusest panka teavitanud."
Praegu saab kolmest mainitud pangast tavalist kiibi ja PIN-koodiga pangakaarti veel Nordeast, kes siiski lisab viipemakse võimaluse järk-järgult kõigile oma kaarditoodetele. Swedbanki ja LHV klientidele enam tavakaarte ei pakuta, aga nemad saavad viipemaksevõimaluse oma kaardil soovi korral välja lülitada. "Seda võiks vaadelda nagu pangakaardi standardvarustust – kliendi otsustada on, kas ta seda võimalust kasutab või mitte," kirjeldas Rum.
Viipemakse võimalus on justkui uute pangakaartide standardvarustuses. On kliendi otsustada, kas ta võimalust kasutab või mitte.
Suurem kaarditehingute hulk on mõistagi pankade huvides – mida rohkem inimesed kaardiga maksavad, seda suurem on tulu pankadele. Kuna viipekaardid teevad maksete tegemise mugavamaks, võib teiste riikide statistikale toetudes eeldada, et tehingute hulk kasvab ka Eestis.
Viipekaarte väljastavatel pankadel on keeruline öelda, kas viipekaardid on tehingute arvu Eestis suurendanud, sest esiteks on selleks liiga vara ja teiseks on klientide tehtavate tehingute maht pidevalt kasvamas nagunii. Samuti ei ole nad täheldanud pettuste arvu tõusu, mille hindamiseks on samuti aeg liiga varajane.
Pettuse tuvastamisega võib tekkida probleeme
Kuigi pankade hea tava näeb ette, et klientidele tuleb petutehingutega kaotatud raha hüvitada, ei ole need juhtumid alati üheselt tuvastatavad. Eesti kontekstis näited veel tuua ei saa, küll aga oskab Steven Murdoch rääkida Suurbritannia kogemusest.
Suurbritannias on pankadel kohustus kliendile petutehingutega kaotatud summa hüvitada. Samas teevad pangad seda ainult siis, kui nad on veendunud, et klient ise ei ole tehingut volitanud ega olnud hooletu. Murdochi teada võib kliendi puhul, kes ei ole võimeline selgelt, lühidalt ja enesekindlalt selgitama, miks ta peaks hüvitist saama, olla suur risk, et talle kahju ei hüvitata.
Pangad võivad samuti vigu teha. Murdochi sõnul keelduvad pangad teinekord kahju hüvitamast, kui kirjed näitavad, et tehingud tehti õige kaardi ja PIN-koodiga. Pankade väitel võib see juhtuda ainult siis, kui klient volitas tehingu, või oli oma PIN-koodi hoidmisel hooletu.
Kontaktivabade kaartide puhul pole PIN-koodi vaja ja klient peaks olema seega heas olukorras. Aga Murdochi sõnul on ta kokku puutunud juhtumitega, kus kirjed on lihtsalt valed: näiteks näidanud, et tehing kinnitati PIN-koodiga, kui seda tegelikult PIN-koodiga ei kinnitatud.
Andmete kaitsmiseks mässi kaart fooliumpaberisse?
Välismeediast võib lugeda nõuandeid, kuidas fooliumpaber kaitseb viipekaarti selle eest, et kurjategija saaks sealt lugemisseadmega andmeid varastada. Samuti müüvad mitmed veebipoed spetsiaalseid kaarditaskuid, mis lubavad viipekaarte andmevarguse eest kaitsta.
Murdochi sõnul ei takista mitte kõik sellised tooted andmete lugemist, seega tuleks enne kasutamist neid testida. Samas märkis ta, et need takistavad ainult kaartide lugemist, aga ei kaitse kuidagi varastatud kaardi kasutamise eest. "Kui sa tõesti ei taha viipekaarti kasutada, küsi oma pangalt kaarti, millel viipevõimalust ei ole," soovitas Murdoch.
Teine võimalus on kasutada mobiilipõhiseid kontaktivabasid makseid, mis ei anna kaardiandmetele juurdepääsu ilma telefoni lahtilukustamiseta ning seega lisavad turvalisust. "Teisalt on mobiiltelefoni salvestatud kaardiandmetel oht langeda mobiiltelefoni pahavara ohvriks," märkis Murdoch.
Mõistagi ei saa pankadelt paluda uute funktsioonide keelamist ainult seepärast, et olemas on võimalus uut tüüpi pettuste tekkimiseks. "Ma kindlasti ei arva, et politseil peaks olema õigus panna veto mis tahes sorti uuele tehnoloogiale."
Kui rääkida sellest, mida võiks tehnoloogiliselt viipekaartide puhul muuta, siis Murdochi hinnangul ei peaks näiteks kaardi number (PAN – primary account number – toim) olema kontaktivaba kaardi esiküljel. Selle asemel võiks kasutada nn alias PAN-i, mida kasutataks ainult viipetehingute puhul, ning mille pank tagasi lükkaks, kui seda kasutatakse veebiostude tegemiseks.
Aga seegi ei oleks ammendav lahendus. Alias PAN takistab kaardinumbri lugemist ja kasutamist veebiostude tegemiseks, aga ei aita lahendada probleemi, et varastatud kontaktivabu kaarte on lihtne kasutada. "Seda aitaks lahendada see, et kontaktivabadel kaartide kasutamisel nõutakse PIN-koodi, aga see vähendaks märkimisväärselt mugavust, mis on kontaktivaba funktsiooni peamine eesmärk."
Viipekaardid ei ole ilmtingimata tulevik
Kas viipekaartide asemel oleks mõistlik arendada hoopis kiibi ja PIN-koodiga kaartide turvalisust? Murdoch leiab, et kiibi ja PIN-koodiga pangakaardid on kindlasti ajast maha jäämas ning nii tööstus kui teadlased on maksesüsteemidele välja töötanud paremaid tehnoloogiaid. Samas on pangad uute tehnoloogiate kasutusele võtmisel äärmiselt ettevaatlikud.
"Selleks on hea põhjus, sest uus tehnoloogia töötab teinekord ootamatutel viisidel. Ma usun, et uued tehnoloogiad võetakse kasutusele, aga ma panustaks tavakaartide kõrval rohkem mobiilimaksetele ja krüptovaluutale," rääkis Murdoch.
Toimetaja: Greete Palmiste