Védőburokban a tranzakció - mi az a PCI DSS?

Mi a PCI DSS szabvány?

 

A PCI DSS szabvány a kártyakibocsátó társaságok által megalkotott és használatra bevezetett biztonsági eljárások összessége az online bankkártyás vásárlások biztonságának garantálására. A cél, hogy a az elektronikus kereskedelemben a kártyaelfogadóknál és a kereskedőknél csökkentsék a bankkártyákkal való nagyarányú visszaélést. A szabvány a védőburok a tranzakció körül. 

 

Miért fontos a szabvány szerinti működés?

 

Mert a szabvány szerinti működés garantálja az online fizetés szereplőinek maximális biztonságát egy olyan környezetben, ahol a leginkább elterjedtek az elektronikus fizetéssel való visszaélések. A csalásokkal valamint a személyes adatok eltulajdonításával kapcsolatos veszélyeknek az elhárítására alakították ki közösen a piacvezető kártyatársaságok - MasterCard, Visa, JCB, AmEx - a Payment Card Industry Data Security Standard (PCI DSS) szabványt 2004-ben.

 

A szabvány a kártyatársaságokkal kötött szerződés keretében egy sor szigorú információbiztonsági követelmény teljesítését követeli meg minden olyan szervezettől, amely a bankkártyák adatainak kezelésével,továbbításával vagy tárolásával foglalkozik, elemei többek között: tűzfalak megléte, vírusvédelmi megoldások, biztonsági rendszerek és alkalmazások fejlesztése és üzemeltetése, a rendszerekkel dolgozók egyedi azonosítása, a rendszerek és folyamatok rendszeres tesztelése, információbiztonsági szabályzat. A gyakorlatban ez azt jelenti, hogy programozók, biztonsági és pénzügyi szakemberek, szervezetek hada őrködik a tranzakciók biztonsága felett.

Önmagában a biztonsági rendszerek fejlesztése és üzemeltetése több tízmillió forintot emészthet fel évente - ez is az egyik magyarázat, miért nem érdemes a kereskedőknek egyenként üzemeltetni ezeket a rendszereket, miért érdemes erre specializálódott szolgáltatóhoz fordulni.

A PCI DSS szabályozás az internetes értékesítési pontokat működtető pénzintézetek, hitel- és bankkártya-feldolgozók valamint kereskedők egyik legfontosabb megfelelőségi követelményrendszere. A szabályozás több mint 160 különböző részletesen definiált, szigorú adatbiztonsági követelménynek való megfelelését és tanúsítvány elkészítésével történő rendszeres bizonyítását írja elő az érintett szervezetek számára. A követelményrendszer teljes körű, mert amíg a támadóknak elég egy pontot találni, a védekezőknek az összeset védeni kell.

A PCI DSS szabvány használatát a kártyakibocsátó társaságok megkövetelik az online bankkártyás fizetések védelme érdekében.

Teendők elveszett vagy ellopott kártya esetén

Mit tegyünk ha elveszik vagy ellopták a kártyánkat, mi múlik a gyorsaságon, hogyan tudjuk védeni, bebiztosítani magunkat?

Arról már írtunk, milyen mértékig kell felelősséget vállalnunk, ha ellopták a bankkártyánkat.

Célszerű azonban mindent megtenni azért, hogy jogszerűen védve legyünk, illetve bizonyítani tudjuk az igazunkat. Ha ugyanis nem jelentjük be, hogy ellopták a bankkártyát, nem igaz, hogy 45 000,- HUF-ig viseljük a felelősséget.

Tehát a kárunk minimalizálása érdekében azonnal vegyük fel a bankkal a kapcsolatot és tiltassuk le bankkártyánkat!

Amint észleljük, hogy nincs meg a bankkártyánk, azonnal le kell tiltatni, telefonon vagy személyesen. Célszerű a bankkártya számot valahol feljegyezve tartani, így könnyebben fog sikerülni a letiltás. A lopás vagy elvesztés tényét jelezhetjük a saját bankunknál, MasterCard és Visa esetében tagbanknál, vagy magánál a kártyatársaságnál.

A letiltáshoz szükséges adatok:

• A kártya száma.
• A kártya lejárata.
• A kártyahasználat fedezetéül szolgáló bankszámla száma.
• Ha a bejelentő ezeket az adatokat nem tudja, akkor rendszerint kártyabirtokos egyéb azonosító adatai segítségével intézkednek a kártya letiltásáról, de ez nehézkesebb.

A kártya letiltását adatok alapján bárki kérheti, nem szükséges személyesen intézkedni.

A bankkártya letiltása visszavonhatatlan blokkolás, rendszerint kérésre sem lehet újra aktiválni. A bankkártya letiltása után új bankkártyát kell igényelni.

Van néhány jó tanácsunk a bankkártya használathoz:

• Ha kártyával vásárol, ne engedje, hogy a kártyát elvigyék a szeme elől - így az adatait nehezebb ellopni.
• Kártyás vásárláskor kérhetnek Öntől személyi azonosító iratot - ez az Ön biztonsága érdekében történik.
• Soha ne adja kölcsön a bankkártyáját!
• A PIN kódját élő ember nem kérheti és nem tudhatja Önön kívül - csak gépeknek adja meg!
• A PIN kódot ne tárolja a bankkártya közelében!

Összességében nem nagy mágia vigyázni a bankkártyára és adataira, ha megtörtént a baj, akkor is tudjuk a veszteségeket minimalizálni. A bankkártyára is vigyázzunk úgy, mint a készpénzünkre, figyeljünk oda, mit írunk alá, hol tároljuk a PIN kódot, akkor nagy baj nem érhet minket.

Sokba kerül a készpénzes fizetés...

Mostanában aktuális téma, hogy mennyibe is kerül nekünk a készpénz, illetve a sárga csekk használata. Sokan nem is tudják, hogy mi minden van ennek hátterében, ezért úgy éreztük, megér egy blogbejegyzést a történet.

A hiedelmekkel ellentétben a készpénz használata koránt sincs ingyen, legfeljebb nem találjuk magunkat szembe a költségekkel nap, mint nap. A magyar gazdaság készpénzigénye jelen pillanatban meglehetősen magas, de optimizmusra adhat okot, hogy egyre több a bank és a hozzájuk tartozó automata, bár ezek főként a nagyobb városokban találhatók. A kártyaelfogadó helyek száma is növekedni látszik, a magyar települések egyharmada azonban még nem rendelkezik egyetlen olyan kereskedővel sem, ahol lehetne bankkártyával fizetni. A kártyás fizetéseket lehetővé tevő, úgynevezett POS-terminálok elterjedése pedig még koncentráltabb, mint az ATM-ek esetében, a fővároson és a megyeszékhelyeken kívül a Budapestet, illetve a Balatont övező településeken találhatunk belőle többet. Az elfogadóhelyek tekintetében ugyanakkor jelentős lemaradásban vannak az állami szervezetek is: a napi ügyintézések során sok helyen nem használhatjuk bankkártyáinkat, pedig hasznos lenne megteremteni a feltételeket, hogy a parkolásnál, a kórházakban, a tömegközlekedésben, az önkormányzati, vagy akár a rendőrségi ügyintézésben is lehetőségünk legyen így fizetni.

Íme néhány konkrét adat, hogy jobban értsük, mennyi is az annyi, azaz milyen költségei vannak a készpénz, illetve csekkhasználatnak:

- Csak a forgalomban lévő készpénzek cseréjére évente 7 milliárd forintot költ a jegybank.

- A forgalomban lévő készpénz meghaladja a GDP 8 százalékát.

- Évente 103 milliárd forintot - a GDP mintegy 0,4 százalékát- is megtakaríthatnánk azzal, ha kevesebb készpénzt és több bankkártyát, elektronikus fizetési módot használnánk.

- Magyarországon a kiskereskedelmi egységek alig 25 százaléka fogad el bankkártyát, szemben a Nyugat-Európában jellemző 60-70 százalékos, vagy afeletti arányokkal.

A készpénzkímélő fizetési formák elterjedéséhez azonban az infrastruktúra mellett a pénzügyi kultúra fejlődése is elengedhetetlen. A magyar kártyabirtokosok 15 százaléka csak készpénzfelvételre használja a plasztikot, és mindössze 34 százalékuk fizet hetente legalább egy alkalommal egy kereskedelmi egységben kártyájával. Ez az adat akkor lesz még érdekesebb, amikor mellérakjuk azt is, hogy egyrészt a hazai bankkártya piac már több mint 15 éves, tehát ennyi idő alatt már be kellett épüljön a mindennapokba, másrészt a magyarországi háztartások 85 százaléka rendelkezik bankkártyával. A kártyahasználat ilyen módon látható elhanyagolása több kérdést is felvet. Az első, és szerintünk legfontosabb, hogy vajon miért nem használja a kártyáját a magyar, ha van neki? A válasz véleményünk szerint abban rejlik, hogy sokan nincsenek tisztában azzal, hogy a készpénz, illetve sárga csekk használata nincs ingyen, bármennyire is úgy látszik. A készpénz-átutalási megbízás díját ugyanis a fizetési mód kedvezményezettjei (elsősorban a szolgáltatók, beszedők) fizetik, akik viszont az ezzel kapcsolatos költségeiket is meg akarják téríttetni, így azokat végső soron az összes fogyasztó fizeti meg az alapszolgáltatásra (pl. gáz-, víz-, villany- stb. használatra) vonatkozó számla részeként. Mindez úgy történik, hogy mi ezt nem vesszük észre, mert nincs külön részletezve mondjuk egy villanyszámlán, hogy a teljes díjból mennyi az, amit a sárga csekkes befizetés miatt ránk terhel a szolgáltató.

Mivel a fentebb olvasható számok elég elrettentőek, már napvilágot látott néhány megoldási javaslat, ami visszaszorítaná a készpénz illetve sárga csekk használatát. Például, ha fizetőssé tennék azt. Vagy olyan megoldással, hogy a Postán a befizetőkkel fizettetnék meg a készpénz-átutalási megbízás feladásakor a felmerülő költségeket (a legdrágábbak  az autótörlesztő részletek, akár 300 forintba is kerülhetnek, szemben a csoportos beszedési megbízással, ami nagyjából 45 forint átutalásonként), vagy esetleg továbbra is a kedvezményezettek fizetnék, ahogy most is, azzal a különbséggel, hogy a fogyasztóknak kiküldött számlákban ezt külön részletezik, tehát láthatóvá teszik. Emellett azt is megfogalmazzák, hogy mennyivel jár jobban a fogyasztó, ha teszem azt áttér a csoportos beszedési megbízásra. Természetesen a készpénz használat visszaszorításának elérésére is vannak tervek. Ehhez leginkább arra lenne szükség, hogy egyrészt sokkal gyorsabban szaporodjanak a POS-terminállal felszerelt üzletek, másrészt az online fizetési megoldásokat is népszerűvé és vonzóvá kellene tenni mind a fogyasztók, mind a kereskedők számára.

Mi, az Escalionnál ezért támogatjuk az online fizetést, mert úgy gondoljuk, eljött az ideje, hogy Magyarország felzárkózzon nyugati szomszédai mellé a kártyahasználatban. Gazdaságosabb, kényelmesebb, gyorsabb, és biztonságosabb kártyával fizetni, ezek pedig cseppet sem elhanyagolható tényezők.

Mi online fizetünk, próbálja ki Ön is!

Források:

http://www.mnb.hu/Root/Dokumentumtar/MNB/Kiadvanyok/mnbhu_mnbtanulmanyok/mnbhu_mt_84/mt_84.pdf

http://www.mfor.hu/cikkek/85_milliardot_sporolnank__ha_nem_lenne_sarga_csekk.html

Az online bankkártyás fizetés biztonsága

Mennyire biztonságos az online kártyás fizetés, tévhitek eloszlatása, mire figyeljünk?

Szeretnénk néhány információval segíteni azoknak, akiknek kétségeik vannak online fizetés biztonságával kapcsolatban.

A kártyával történő fizetés, mint iparág, biztonsági alapelveit a nagy kártyatársaságok (Mastercard, Visa) által bevezetett, majd szabványosított  szabályok határozzák meg. Ezek folyamatosan szigorodnak és terjednek ki az új és új kártya elfogadási módokra. (legújabb pl. a paypass)

Ha a biztonság szempontjából nézzük a folyamatot, akkor 3 fő mozzanatot kell vizsgálni:

-          hogyan győződünk meg arról, hogy valóban a jogosult kártyatulajdonos használja-e a kártyát

-          a kártya és tranzakciós adatokat ki és hogyan kezeli (kezelheti) a kereskedő oldalán

-          a kártyatulajdonos számláján végzett műveletek megfelelnek-e a bankok illetve kártyatársaságok előírásainak.

Ez az utolsó mozzanat tipikusan a kártyatársaságok és az ún. acquirer bankok (ahova a pénz megérkezik, a fogadó bank) kezelésében történik és évtizedek alatt biztonságuk az egyéb banki operációk szintjére emelkedett.  

Az első szempontot vizsgálva viszont érdemes megtanulni egy kifejezést, a CNP-t (Card Not Present - a kártya nincs jelen). Ilyenkor a beazonosítás  úgy zajlik le, hogy a kártya,  a kártyatulajdonos és a kereskedő nincs egy helyszínen. Az internetes kártyaelfogadás is ebbe a kategóriába tartozik, ami egyébként  már évtizedek óta létezik és eredetileg a telefonos vásárlás hívta életre.

A CNP tranzakcióknál a kártyatársaságok nyomására  ma már rendkívül szigorú és bonyolult eljárásokat használnak az internetes fizetési szolgáltatók a csalók kiszűrésére.

Nem csak a kártya biztonsági adatainak kell egyeznie, de figyelik, hogy mi a kártya kibocsátási országa, milyen címet ad meg a vásárló, éppen melyik országból használják a kártyát (és hol használták tipikusan korábban), de akár a felhasználó által a webshop-ban választott nyelv is szempont lehet.  

Maguk a kártyatársaságok is bevezettek új eljárásokat a tökéletesebb vásárló azonosítás érdekében. Ha valahol azt látjuk, hogy Verified by Visa  vagy MasterCard  SecureCode, akkor ott már ilyen rendszerek működnek. A statisztikák azt mutatják, hogy az online vásárlók értékelik ezt és emelkedik azon kereskedők forgalma, akik bevezetik ezeket az extra ellenőrzéseket.

Nem beszéltünk még az adatkezelés biztonságáról.  Itt is van egy bűvös rövidítés a PCI DSS (Payment Card Industry Data Security Standard).

Ma már csak az bonyolíthat kártyás fizetéseket a web-en, aki teljesíti ezeket az előírásokat. Jelentős informatikai beruházási költségű, évente független auditorok által ellenőrzött rendszer az, ami ennek megfelel.

Ezen a ponton jutottunk el az Internetes fizetési szolgáltatók megjelenéséhez.

Amíg egy bolt, ha kártyás fizetés elfogadása mellett  dönt, csak aláír egy megfelelő szerződést az egyik ún. acquirer bankkal (elfogadó bank), kifizeti a POS kártyaelfogadó terminál 100-300 ezer Forintos üzembe helyezési költségét, addig egy webáruház ha saját maga akarna megfelelni a PCI DSS előírásainak,  akkor több 10 millió forintos beruházásra kényszerülne.  

Itt lép be a IPSP (internet payment service perovider, online fizetési szolgáltató),  aki rendelkezik ilyen rendszerrel és tanúsítványokkal a biztonsági szabványok betartásáról. Átveszi a kereskedőtől a fizetési folyamatot és gondoskodik a tranzakció lebonyolításáról, (csak az IPSP kezeli a kártya adatokat, a kereskedő nem), majd a bevételek kereskedő számlájára utalásáról. Persze ilyen szolgáltatást bankok is kínálnak, de az IPSP-k általában felülmúlják Őket a csalásvédelmi szolgáltatások, az  IT rendszerek összekötésében mutatott rugalmasság, a több országban nyújtott szolgáltatás vagy az új fizetési módok használhatóságának területén, mivel ennek a tevékenységnek a specialistái.

Fogyasztóvédelem - a chargeback

Mit tehetünk, ha úgy érezzük, kár ért minket netes vásárlás során?

A „chargeback” a fogyasztóvédelem egyik hatékony eszköze

A panaszkezelés egyik eszköze a „chargeback”. Ezt a fogalmat csak az online bankkártyás fizetéssel kifizetett vásárlások során lehetséges értelmezni. Ezek az esetek, amikor úgynevezett card not present (nincs jelen a bankkártya) jellegű tranzakció történik.

A kártyakibocsátó (vásárló bankja) akkor kezdeményez „chargeback” tranzakciót, vagyis az elfogadó által benyújtott pénzügyi követelés visszavonását, amikor a kártyabirtokos (vásárló) vitatja a tranzakciót, és az érvényes szabályok alapján megállapítható, hogy a követelés visszaterhelhető az elfogadóra (kereskedő).

Egyszerűbben szólva, ha a vásárló online bankkártyás fizetéssel fizetett és úgy érzi, nem azt az összeget vonták le tőle, vagy nem kapta meg a terméket, vagy szerinte nem is vásárolt ilyen összegért, a saját bankjában eljárást indíthat és visszakövetelheti a pénzét. A banknak kötelessége az esetet kivizsgálni és a vitatott tranzakciót "visszahúzni" a kereskedőtől.

A „chargeback” eljárás  nem a bank ellen irányul. A „chargeback” eljárás lényege, hogy a bank egy már végrehajtott terhelést a számlatulajdonos utasítására visszavon, és ezzel egyidejűleg az adott kereskedő számláját megterheli. A bankot így nem éri veszteség, mert a számlatulajdonos számláján jóváírt összeget ráterheli a kereskedő számlájára. Sőt a „chargeback” eljárással a bank még bevételre is szert tesz, mert általában a kereskedők kötelesek a „chargeback” eljárás banki költségeit megtéríteni.

Alapvetően maga az eljárás nem kerülhet pénzébe a fogyasztónak.

A kereskedő, amellett, hogy jogos panasz esetén a számláját megterhelik a vitatott összeggel, rendszerint büntetést kap és viseli az eljárás költségeit. Ha a chargeback arány meghaladja a vásárlások 1-2%-át (kártyatípustól függően), a kereskedőtől megvonhatják az online bankkártyás fizetési lehetőséget.

Források:

http://pitee.wordpress.com/2010/01/14/chargeback/

http://en.wikipedia.org/wiki/Chargeback

Mi online fizetünk! - első blogbejegyzése

Sok szeretettel köszöntünk minden kedves érdeklődőt!

Ezt a blogot azért hoztuk létre, hogy a bankkártya használat érdekességeiről, előnyeiről írjunk. Tudod miért hasznos a bankkártya? Ugye biztonságos az online vásárlás? Mit tehetsz, ha úgy érzed, bankkártyás vásárlás közben megkárosítottak vagy valamit gyanúsnak találsz? Ilyen és ehhez hasonló kérdésekre szeretnénk Neked választ nyújtani, hogy Te is magabiztosan jelenthesd ki: „Mi online fizetünk!”

Hitel- vagy bankkártya?! CVC kód?! Ha eltévednél az online fizetés labirintusában, fordulj hozzánk és mi kivezetünk. Kérdezz tőlünk!

Első hasznos lecke: tudtad-e, hogy ha elveszíted a bankkártyádat, legfeljebb 45 000, - Ft-ig vállalod te a felelősséget, a többit a bank fizeti?

Ha a bankkártya elveszett vagy ellopták, azonnal jelezni kell a banknak és le kell tiltatni. Ezért célszerű, ha a kártyaszámot valahol feljegyezzük. A hatályos jogszabályok alapján a letiltás előtt legfeljebb 45 000,- Ft-ig keletkezik károd, letiltás után pedig egyáltalán nem, mert a banknak meg kell térítenie.

Ha azonban bizonyítható, hogy a kártyabirtokos szerződésszegő volt, vagy súlyos gondatlanságot követett el, akkor a teljes felelősséget viselnie kell.

Jogforrás: 232/2001. (XII. 10.) Korm. rendelet