A legrosszabbkor jött a bankkártyafrász

„Biztonsága érdekében VISA kártyáján korlátoztuk a tranzakciókat. Az intlézkedés nem érinti sem a belföldi vásárlást, sem az ATM-készpénzfelvételt. Internetes és PIN nélküli külföldi vásárlási lehetőség – visszaélés gyanúja miatt – tiltásra került. Kártyáját ingyenesen cseréljük” – írta még csütörtökön is számos ügyfelének a CIB Bank.

Nincsenek ezzel egyedül: több tízezer kártyatulajdonos kapott hasonló üzenetet a bankjától az elmúlt héten, és többek között az OTP, az MKB és a Raiffeisen honlapján is olvasható közlemény a visszaélésről. Az érintett kártyatulajdonsok számára éppen a karácsony előtti napokban válik lehetetlenné a kártyás és a netes vásárlás, vagy éppen a külföldi kártyahasználat.

Az ügy előzménye, hogy múlt héten több tízezer kártya adatai szivárogtak ki, információink szerint egy külföldi elszámolóközpontból. A lopás Visa és Mastercard típusú mágnescsíkos kártyákat is érint, összesen több tízezret itthon és a környező országokban – csak a román CEC banknak nagyjából tizenhétezer kártyát kellett letiltania.

Rejtélyes ügy

Azt nem lehet pontosan tudni, hogy pontosan melyik központból szivárogtak ki az adatok. A bankokat a kártyatársaságok informálják arról, hogy melyik kártyák lehetnek érintettek, ennél többet azonban nem mondanak.

Így azt sem lehet tudni, hogy az adatszivárgás egyszeri eset volt-e, vagy hosszabb ideig tartott. Forrásaink szerint azt sem lehet teljesen kizárni, hogy még mindig kerülnek ki adatok, bár ennek az esélye minimális.

Klónozzák

„Az ilyen adatlopás veszélye, hogy a megszerzett adatokat egy új kártyára felmásolva a tolvajok az így létrehozott klónt ugyanúgy tudják használni, mint az eredeti kártyát. Ez alól csak a PIN-kódos műveletek jelentenek kivételt, mivel azt továbbra is csak a tulajdonos tudja. Ezért döntött úgy számos bank, hogy ez utóbbiakat nem tiltja le” – mondta az Indexnek Jakab Péter, a Magyar Bankszövetség bankbiztonsági bizottságának elnöke.

A bankok között egyetértés mutatkozik arról, hogy a történtek miatt senkit nem érhet kár, így az esetleges lopásokért kompenzálhatják a tulajdonosokat. Aki ilyet tapasztal, annak azt tanácsolják, hogy azonnal lépjen kapcsolatba a bankjával.

Lassan tiltanak

Annak, hogy miért kaphatnak még mostanában is – nagyjából tíz nappal az adatlopás nyilvánosságra kerülése után – letiltásról szóló értesítéseket a kártyatulajdonosok, forrásaink szerint az az oka, hogy bonyolult megírni azt a programot, ami csak részlegesen tiltja le a kártyákat. Márpedig a bankok nem szerették volna karácsony előtt teljesen ellehetetleníteni a kártyahasználatot. Ezért ilyenkor először szűrőprogramot kell írni, majd tesztelni kell, nehogy nagyobb bajt okozzanak a rendszerben, mint maga az adatszivárgás.

A kártyahasználat letiltása ugyanakkor nem oldja meg az eltulajdonított adatok problémáját, így a bankok minden érintett számára új kártyát gyártanak. Ez a gyártás, és a kipostázás legalább egy hetet vesz igénybe, így még ha a bankok már múlt héten el is kezdték a folyamatot, a legtöbb felhasználó nem reménykedhet abban, hogy karácsonyig megérkezik az új kártyája.

Volt már nagyobb is

A mostani eset nem példa nélküli. A PricewaterhouceCoopers összeállítása szerint 2009-ben a Heartland Payment System hozott nyilvánosságra egy hackertámadást, amelyet minden idők egyik legnagyobb számítógépes csalásának neveznek. Akkor körülbelül 130 millió bankkártya adatai kerültek a csalók kezébe.

A Heartland akkor óriási kártérítést fizetett, csupán a kártyakibocsátó társaságoknak több mint 100 millió dollárt. A támadásért többek között Albert Gonzalest tették felelőssé, aki az interneten fellelhető cikkek szerint az amerikai titkosszolgálatnak is dolgozott (Gonzalest 2010-ben 20 év börtönre ítélték tettéért).

Idén áprilisban a Sony adatbázisából szerezték meg 77 millió felhasználó adatait, júniusban pedig a Citigroup jelenetette be, hogy hackerek egy durva hibát kihasználva betörtek a rendszereibe, és ellopták több százezer bankkártyatulajodonos személyes adatát. Akkor a kártyabirtokosok több mint egy százalékát érintő lopásban az ügyfelek neve, számlaszáma, elérhetősége, e-mailcíme vált nyilvánossá, a kártyák netes fizetéshez szükséges lejárati dátumához és biztonsági kódjához nem fértek hozzá.

Az EU is lépne

A hasonló esetek kapcsán Viviane Reding, a Európai Unió igazságügyi biztosa  júniusban ismét figyelmeztette a bankokat és a pénzügyi szektor képviselőit, hogy időben értesíteniük kell ügyfeleiket, amennyiben adataik illetéktelen kézbe kerülhettek. Reding az EU adatvédelmi szabályainak átdolgozását is szorgalmazta, amely szerint minden, az unióban működő vállalatnak kötelessége lenne értesíteni ügyfeleit az adatbiztonság súlyos megsértéséről.