Jak po kradzieży dwóch kopert złodziej może aktywować kartę płatniczą Nest Banku

dodał 27 czerwca 2018 o 15:54 w kategorii Wpadki  z tagami: • • • • • •
Jak po kradzieży dwóch kopert złodziej może aktywować kartę płatniczą Nest Banku

Dwie zwykłe koperty w skrzynce na listy – jedna z kartą płatniczą, druga z PIN-em. Sami przyznacie, że to nie najlepszy pomysł, jeśli kartę można aktywować, nie logując się do systemu bankowości internetowej lub mobilnej.

Nasz Czytelnik po zamówieniu karty w Nest Banku znalazł w swojej skrzynce dwie, wysłane zwykłym listem, przesyłki. Jedna zawierała kartę, druga PIN. Dotarły w tym samym czasie. Zgodnie z dołączoną informacją, kartę należało aktywować za pośrednictwem aplikacji mobilnej lub bankowości internetowej, kolejnym krokiem miało być dokonanie transakcji potwierdzonej PIN-em. Brzmi to bezpiecznie – aby aktywować kartę, trzeba zalogować się do systemu bankowości elektronicznej, a zwykły złodziej nie będzie znał Waszego loginu ani hasła.

Czytelnik zrobił co innego – użył bankomatu BZ WBK i aktywował kartę, zmieniając nadany odgórnie PIN (BZ WBK świadczy kilku mniejszym bankom usługi obsługi kart płatniczych). Od tego momentu z karty można było normalnie korzystać, a więc wypłacać gotówkę, płacić zbliżeniowo itd. Dopiero po jakimś czasie Czytelnik zalogował się do systemu bankowości internetowej i zauważył, że karta była w nim oznaczona jako nieaktywna, co nie przeszkodziło w zablokowaniu środków na poczet wykonanych nią płatności.

Pisząc do nas, Czytelnik poprosił o pomoc w analizie tego przypadku. Jego zdaniem przechwycenie wysyłanych przez Nest Bank listów nie jest trudnym zadaniem, a skoro kartę można aktywować w bankomacie, to z dużym prawdopodobieństwem można też wyczyścić konto, do którego ją wydano.

Co na to Nest Bank

Skontaktowaliśmy się w tej sprawie z Nest Bankiem. W pierwszej kolejności zapytaliśmy o możliwość przejęcia przez nieuprawnione osoby listów wysyłanych do klientów. Odpowiedziała nam Dorota Ordon z Departamentu Marketingu:

Zgodnie z regulacjami obowiązującymi w Nest Banku karty debetowe wysyłane są listem zwykłym na wskazany przez klienta adres korespondencyjny. Kod PIN przekazywany jest w ten sam sposób, jednak w odrębnej przesyłce, z uwzględnieniem odpowiedniego odstępu czasowego. Przesyłki nie są oznaczone logo Banku. Powyższa procedura ma na celu zabezpieczenie przed naruszeniem przesyłki i nieautoryzowanym użyciem wydawanej karty. Klient jest szczegółowo informowany o poszczególnych krokach i proszony o odbieranie listu w terminie.

Jak wspomnieliśmy, do Czytelnika obie przesyłki dotarły jednocześnie. Nietrudno też sobie wyobrazić, że ktoś mógłby pozyskać dane osobowe klienta i zamówić w jego imieniu kartę np. w czasie urlopu, co ułatwiłoby przechwycenie zalegających w skrzynce listów. Zapytaliśmy, czy Nest Bank bierze pod uwagę taki scenariusz. Okazało się, że nie. Jego przedstawicielka stwierdziła:

Klient Banku może zamówić kartę debetową także telefonicznie. Zgodnie z regulacjami obowiązującymi w Nest Banku, aby to zrobić, musi on przejść procedurę weryfikacyjną. Eliminuje ona ryzyko wystąpienia udanej próby oszustwa i gwarantuje pełne bezpieczeństwo procesu.

Co z najbardziej niepokojącym aspektem tej sprawy, czyli możliwością aktywowania karty za pośrednictwem bankomatu? Nie wspomina o tym ani wysyłany z kartą list przewodni, ani poradnik dotyczący aktywacji zamieszczony na stronie internetowej banku. Klienci mogą myśleć, że potencjalny przestępca nic nie wskóra bez zalogowania się do systemu bankowości internetowej lub mobilnej. Przypadek naszego Czytelnika pokazuje, że jest inaczej.

Zapytaliśmy, w jaki sposób Nest Bank ogranicza ewentualne nadużycia związane z aktywacją kart w bankomacie przez nieuprawnione do tego osoby. Na to pytanie nie otrzymaliśmy konkretnej odpowiedzi. W nadesłanym komentarzu znaleźliśmy tylko zapewnienie, że „Nest Bank dba o bezpieczeństwo środków powierzonych przez klientów oraz prowadzi monitoring operacji dokonywanych kartami płatniczymi”. Kiedy po raz trzeci zapytaliśmy o opisany powyżej scenariusz nadużycia (np. czy jest nadal możliwy), otrzymaliśmy kolejne odpowiedzi niezbyt na temat:

W przypadku zakwestionowania przez Klienta faktu odebrania przesyłki zawierającej kartę oraz PIN i ewentualnego użycia niedostarczonej do Klienta karty, to Bank jest zobowiązany do udowodnienia, że osobą korzystającą z karty jest Klient. Pragniemy również podkreślić, że samo użycie karty nie jest wystarczającym materiałem dowodowym potwierdzającym użycie karty przez Klienta, natomiast zabezpieczone nagranie z miejsca realizacji operacji – już tak.

Zakładając sytuację, iż karta zostałaby przejęta ze skrzynki przez osobę nieuprawnioną, a następnie użyta do przeprowadzenia operacji, Bank dokonałby zabezpieczenia monitoringu z miejsc realizacji, złożenia zawiadomienia o podejrzeniu popełnienia przestępstwa do Prokuratury oraz wykonałby uznanie rachunku Klienta kwestionowaną kwotą.

Warto również wskazać, że powyższa procedura jest powszechnie stosowana przez polskie banki.

Nadal zatem nie wiemy, czy kartę Nest Banku wciąż można, bez znajomości loginu i hasła do bankowości elektronicznej, aktywować w bankomacie BZ WBK i dokonywać nią operacji. Marnym pocieszeniem jest to, że bank obiecuje oddać skradzione środki – niespodzianka w postaci pustego konta gdy przychodzi do płatności przy kasie z pełnym wózkiem nie jest niczym miłym. Skoro bank nie chce odpowiedzieć na nasze pytanie oficjalnie, to może ktoś z Was wie, czy problem został rozwiązany?

Mamy też dobre wiadomości

Dorota Ordon poinformowała nas ponadto, że Nest Bank niedługo wdroży nowy system bankowości elektronicznej i mobilnej. Zaoferuje on dodatkowe zabezpieczenia produktów kartowych w postaci generowania numeru PIN bezpośrednio w systemie. Jak napisała przedstawicielka banku:

Generowanie PIN-u do kart w nowym systemie będzie obligatoryjne. Klient jednocześnie będzie miał możliwość aktywacji karty, w systemie będzie również możliwość zmiany PIN-u. Wszystkie dyspozycje będą realizowane automatycznie online. Planujemy wdrożenie nowego systemu bankowości elektronicznej dla wszystkich klientów na przełomie 3/4 Q 2018.

Jest to bez wątpienia dobre posunięcie, które wyeliminuje część możliwych nadużyć. Jeśli korzystacie z usług Nest Banku, dobrze zrobicie, wstrzymując się z zamawianiem kart płatniczych, aż nowy system zostanie wdrożony. Tym, którzy nie mogą sobie na to pozwolić, zalecamy ostrożność i bezzwłoczne odbieranie wysyłanych przez bank listów. Choć nie tak powinno to wyglądać…

Aktualizacja 2018-06-27 22:00

Po lekturze naszego artykułu jeden z naszych Czytelników (dziękujemy panu Alu) udał się z nieaktywną kartą Nest Banku do bankomatu BZ WBK i dokonał w nim zmiany kodu PIN oraz wypłaty gotówki. Karta jest nadal nieaktywna w systemie banku, ale bankomat gotówkę wydał… Historia zilustrowana poniżej.

Karta, jak widać, jest nieaktywna.

Po włożeniu do bankomatu można nadać jej nowy PIN.

Po nadaniu nowego PIN-u można normalnie używać.

Na przykład do wypłaty gotówki.

Chociażby skromnych 20 PLN.

Które pojawiają się jako blokada, mimo iż karta jest nadal nieaktywna. Brawo Nest Bank!

Podobne wpisy