W dniu 26.08.2010 21:33, Marvin pisze:
>> Czy wobec powyższego naprawdę jest się czym martwić jeśli transakcję
>> akceptujesz PINem ? IMO nie.
>
> Mam dużo watpliwości a ponieważ przeszedłem przez jeden fraud, jestem
> ostrożny.
>
> Czy platyny, czarne wizy, DC, Ameksy itp. "prestiż" też będą na pin?

Tego nie wiadomo, ale sam standard EMV to standard MC i Visy, o DC czy
Amex nie ma mowy. Co do Visy- tutaj bywa różnie, podobno Visa Platinum z
ING ma chip skonfigurowany tak, żeby prosił o podpis.

Michał

do góry

fiki <b...@g...com> writes:

>> Akurat. Zycie wielokrotnie weryfikowalo ta piekna teorie i niestety
>> zwykle nie bylo to z korzyscia dla klienta. Moze nieco lepiej jest
>> w USA, tam _pod_pewnymi_warunkami_ raz na jakis czas cos takiego moze
>> przejsc.
> podaj jakies konkrety.

Nigdy nie widziales np. na tej grupie niczego takiego?
Ludzie maja problemy nawet z reklamacja transakcji bez obecnosci karty
(co normalnie powinno byc formalnoscia). Reklamacja fraudu dokonanego
skopiowana karta magnetyczna prawie zawsze konczy sie niepowodzeniem,
nawet jesli sa dowody na to, ze nie dokonal tego dany klient. Bank
typowo twierdzi, ze klient mogl byc wspolnikiem.

> ja moge podac konkretna podstawe na przykladzie
> kart polbanku:
> http://polbank.pl/karty-kredytowe/download/regulamin
-kart-kredytowych.pdf
> strona 7:
> "6. Bank ponosi pełną odpowiedzialność
> za Transakcje dokonane z użyciem utraconej Karty lub Minikarty Era
> PayPass do czasu zgłoszenia
> Bankowi jej utraty, z wyjątkiem Transakcji, do których doszło z winy
> Posiadacza lub Użytkownika,
> w szczególności, gdy nie dopełnił on obowiązków określonych w ust. 1
> powyżej lub w § 29 ust. 5."

Otoz to. Podczas reklamacji bank jest jednoczesnie strona i sedzia,
kiepski uklad, bo trudno udowodnic, ze nie bylo jego zadnej winy.
Przed sądem to nieco inaczej moze wygladac, ale przed sądem PIN takze
nie ma magicznego znaczenia.

> natomiast np dla kart mbanku autoryzowanych pinem:
> http://www.mbank.pl/download/regulaminy/Regulamin_wy
dawania_i_uzywania_kart_kredytowych_w_mBanku.pdf
> "4. Wszelkie transakcje dokonane z u&yciem PIN traktowane sa przez
> mBank jako transakcje
> dokonane przez U&ytkownika karty."

IOW, w praktyce dokladnie tak samo jak transakcje "card present" bez
PINu.

> podejrzenie pinu w sklepie jest banalnie proste.

Owszem, przeciez nie twierdze ze to jest super zabezpieczenie. Ono ma
sens wtedy, gdy ktos np. zgubi karte, albo gdy zlodziej ja ukradnie, ale
nie mial wczesniej okazji podejrzec PINu.

Jesli podejrzal PIN, sa rozne opcje, mozna zastanowic sie gdzie
dokladnie to sie stalo, moze kamery pokaza zlodzieja, a moze nawet
placil wlasna karta? :-)

> tak wiec banki wprowadzajac autoryzacje pinem przerzucily calkowicie
> odpowiedzialnosc na klienta. podejrzenie pinu np w supermarkecie jest
> banalne(dodatkowo monitoring etc.)

Nie "przerzucily". Juz wczesniej tak bylo, przynajmniej w praktyce.

Oczywiscie transakcje, za ktore odpowiada sprzedawca, to zupelnie inna
sprawa (zazwyczaj, bo ludzie miewaja problemy i z takimi).
--
Krzysztof Halasa

do góry

Jacek Osiecki <j...@c...pl> writes:

> Na pewno czesciej bylo na korzysc klienta niz przy transakcjach z uzyciem
> PINu.

Szczerze mowiac, spotkalem sie tylko z przypadkami, w ktorych bank nie
uznal reklamacji. Oczywiscie mam na mysli fraudy "card present".

> W dodatku przy PINie bank nie ma za bardzo podstaw do chargebacku -
> nie ma wymowki pt. "sprzedawca zle sprawdzil zgodnosc podpisow".

Bank ma dokladnie takie same podstawy do chargebacku w obu przypadkach -
tzn. zadne.
Chyba ze karta chipowa, a transakcja z wykorzystaniem paska (+ zdaje sie
wszystkie karty w danym BINie musza byc chipowe).

> A skoro
> moze obciazyc klienta albo wylozyc kase (swoja lub ubezpieczyciela, co wiaze
> sie i tak z obciazeniem banku) to oczywiscie ze obciazy klienta.

Takie ubezpieczenia to jest pic na wode, sluza tylko do pobierania
dodatkowych oplat.

> Ustawa ustawa, a bank bankiem i ma ja gdzies. Do tego ma bandyckie
> narzedzie, przy uzyciu ktorego moze zrujnowac kogo tylko zechce.

Jasne. Z tym, ze to nie zalezy od PINu.

> No i wlasnie w tym rzecz: bank przy PINie nie ma podstaw by przerzucic
> koszty na sprzedawce.

Moze miec, i prawie na pewno ma w przypadku skimmingu, jesli oryginalna
karta byla chipowa.

> I tu włsnie ZONK - zawsze bedzie odpowiadal klient - mowa oczywiscie o
> typowym przekrecie czyli kradziona karta + podgladniety PIN.

To jest nietypowy fraud. Typowy fraud "card present" to _podrobiona_
karta. Roznica jest zasadnicza w przypadku chipow.

> A przez koniecznosc podawania PINu byle gdzie, duzo latwiej jest
> go podejrzec :(

Haslo tez latwiej podejrzec jesli sie go uzywa. Mamy nie uzywac hasel?

> Jeszcze rozumiem gdyby banki potrafily wprowadzic mozliwosc ustawienia kilku
> PINow - np. osobny do transakcji gotowkowych, osobny do transakcji ponizej
> jakiegos limitu i osobny do wiekszych transakcji. Ale gdzie tam, nic z
> tego.

Kalkulacja. Ale ja nie jestem fanem bankow, nic z tych rzeczy.

> No i do tego niektore banki (citi) nie chca pozwolic na zablokowanie
> transakcji gotowkowych...

Nie tylko Citi BTW. To jest problem - ale ma sie on nijak do kwestii
chip + PIN vs. pasek + podpis.
--
Krzysztof Halasa

do góry

Dnia Thu, 26 Aug 2010 19:46:54 +0200, Marvin napisał(a):

> Zgadzam sie. Banki id? po najmnjieszej linii oporu "Zróbmy karty na PIN
> nawet gdy kupuje sie bilet MZK w automacie za 1z?" i bedziemy mieli
> spokój. Osobi?cie karte polbanku przed?u?e tak d?ugo jak sie da, czyli
> gdzie? do 10/2012. Ale generalnie meczy mnie taka urani?owka. A potem?
> Co? sie znajdzie. A jak nie to te? nie wielka strata, zawsze moge
> p?aciae gotówk? lub kart? niekredytow?. Nawet mniej bede wydawa?.
> Niestety z bankami postepuje tak jak one z klientami.

Czyli po wprowadzeniu chipów do wszystkich kk zaczniesz płacić debetówką
z chipem? Możesz wyjaśnić co to zmieni?


--
xbartx

do góry

Dnia Thu, 26 Aug 2010 21:42:27 +0200, Michal napisał(a):

> Tego nie wiadomo, ale sam standard EMV to standard MC i Visy, o DC czy
> Amex nie ma mowy. Co do Visy- tutaj bywa różnie, podobno Visa Platinum z
> ING ma chip skonfigurowany tak, żeby prosił o podpis.

Hmmm mam wrażenie, że zostaliście jakoś zauroczeni tym podpisem, ale tak
jak już wspomniało kilka osób, nie ma większego znaczenie opcja PIN/
podpis jeżeli dojdzie do jakiegoś fraudu. Bank w pierwszej kolejności
będzie chciał przenieść winę na klienta i forma autoryzacji transakcji
jest sprawą drugorzędną, żeby nie powiedzieć pomijalną.

--
xbartx

do góry

>
> Hmmm mam wrażenie, że zostaliście jakoś zauroczeni tym podpisem, ale tak
> jak już wspomniało kilka osób, nie ma większego znaczenie opcja PIN/
> podpis jeżeli dojdzie do jakiegoś fraudu. Bank w pierwszej kolejności
> będzie chciał przenieść winę na klienta i forma autoryzacji transakcji
> jest sprawą drugorzędną, żeby nie powiedzieć pomijalną.


Zauroczeni? Chyba jednak nie. Wyobraź sobie, masz kartę citi. Golda z
limitem 40k. Autoryzując pinem pozwalasz ew. złodziejowi wybrać 20k z
bankowatu po zeskanowaniu paska i podejrzeniu pinu. Jak się podpisujesz, nie
ma takiej opcji.

Ta dyskusja miałaby mniejsze znaczenie, gdyby karty z chipem nie maiły paska
magnetycznego, a umowy z bankiem, jak np. wymienione wyżej, nie zakładałyby
z góry odpowiedzialności klienta. Gdyby były 2-3 piny do różnych operacji i
możliwość definiowania limitów dla kart. Dało by się też zrobić
potwierdzanie dużych kwot kodem nadsyłanym smsem itd.

No ale banki wolą dopisać 2 linie do umowy i potem męczyć delikwenta w
sądzie. Dzisiaj nawet jest jakiś tekst o Eurobanku w portalu gazeta.pl.

M.

do góry

> Czyli po wprowadzeniu chipów do wszystkich kk zaczniesz płacić debetówką
> z chipem? Możesz wyjaśnić co to zmieni?


Odrobinę. Taką, że będę miał na przypisanym do karcie koncie niewiele
pieniędzy, zamiast wielkiego limitu z kredytówki.
M.

do góry

W dniu 27.08.2010 09:11, xbartx pisze:
> Dnia Thu, 26 Aug 2010 21:42:27 +0200, Michal napisał(a):
>
>> Tego nie wiadomo, ale sam standard EMV to standard MC i Visy, o DC czy
>> Amex nie ma mowy. Co do Visy- tutaj bywa różnie, podobno Visa Platinum z
>> ING ma chip skonfigurowany tak, żeby prosił o podpis.
>
> Hmmm mam wrażenie, że zostaliście jakoś zauroczeni tym podpisem, ale tak
> jak już wspomniało kilka osób, nie ma większego znaczenie opcja PIN/
> podpis jeżeli dojdzie do jakiegoś fraudu. Bank w pierwszej kolejności
> będzie chciał przenieść winę na klienta i forma autoryzacji transakcji
> jest sprawą drugorzędną, żeby nie powiedzieć pomijalną.

Ależ z mojej strony jest 100% poparcia dla chip & PIN :) Odpowiadałem
jedynie na pytanie, czy Amex i DC też wprowadzą chip- na razie się na to
*raczej* nie zanosi. Poza tym cały czas pozostaje USA- kraj, gdzie
wdrożenie technologii EMV (terminale, banki, wymiana kart) jest podobno
wielokrotnie droższe niż koszty fraudów z paska... Mam wrażenie, że
dopóki USA nie ruszy z kopyta, to nasze karty pozostaną "hybrydowe" i
paska i tak się nie pozbędziemy...

Michał

do góry

W dniu 27.08.2010 09:36, Marvin pisze:
>>
>> Hmmm mam wrażenie, że zostaliście jakoś zauroczeni tym podpisem, ale tak
>> jak już wspomniało kilka osób, nie ma większego znaczenie opcja PIN/
>> podpis jeżeli dojdzie do jakiegoś fraudu. Bank w pierwszej kolejności
>> będzie chciał przenieść winę na klienta i forma autoryzacji transakcji
>> jest sprawą drugorzędną, żeby nie powiedzieć pomijalną.
>
>
> Zauroczeni? Chyba jednak nie. Wyobraź sobie, masz kartę citi. Golda z
> limitem 40k. Autoryzując pinem pozwalasz ew. złodziejowi wybrać 20k z
> bankowatu po zeskanowaniu paska i podejrzeniu pinu. Jak się podpisujesz, nie
> ma takiej opcji.

Zgadza się- ale to problem Citi, które nie pozwala wyłączyć możliwości
transakcji gotówkowych. Wiele banków pozwala. Poza tym zeskanowanie
paska + podejrzenie PINu- ciężka sprawa.

Wielokrotnie mniej prawdopodobne niż zeskanowanie paska i wykonywanie
lewych transakcji.

> Ta dyskusja miałaby mniejsze znaczenie, gdyby karty z chipem nie maiły paska
> magnetycznego, a umowy z bankiem, jak np. wymienione wyżej, nie zakładałyby
> z góry odpowiedzialności klienta.

Ale te umowy zakładają odpowiedzialność klienta bo musza... regumamin
musi jasno określać to, w jaki sposób klient autoryzuje transakcje i
które go obciążają. Swoją drogą- zajrzyj do Aliorowego regulaminu, jest
nadzwyczaj miło napisany.

? Gdyby były 2-3 piny do różnych operacji

Najlepiej 10 i jeszcze pliczek gotówki na wszelki wypadek ;) Bez jaj...

> i
> możliwość definiowania limitów dla kart.

O to już prędzej- podstawa. Ja na swojej KK w ogóle wyłaczyłem
transakcje gotówkowe (przy okazji super zabezpieczenie przed różnymi
"pseudobezgotówkowymi" pomyslami pokroju poczty polskiej, gdzie jest
niby terminal, naklejki a działa on jak oddział banku... ).

> Dało by się też zrobić
> potwierdzanie dużych kwot kodem nadsyłanym smsem itd.

Jak dużych i jaki sens wtedy miałoby akceptowanie kart? Duże kwoty
potwierdzane są zwykle przez bankowy system monitoringu. Poza tym- karty
nie są bo nie mogą być w 100% bezpieczne. Ich bezpieczeństwo polega też
na tym, że istnieją skuteczne procedury reklamacyjne, tyle, że nie
zawsze polskie banki są ich świadome.

> No ale banki wolą dopisać 2 linie do umowy i potem męczyć delikwenta w
> sądzie. Dzisiaj nawet jest jakiś tekst o Eurobanku w portalu gazeta.pl.

Jeszcze raz trzeba podkreślić, że chip & PIN na pewno nie jest złotym
lekarstwem na wszystkie fraudy, ale na pewno killerem na ich większość.
Dlaczego- to już było omawiane na grupie wielokrotnie.

Michał

do góry

W dniu 2010-08-27 12:02, Marvin pisze:
> Odrobinę. Taką, że będę miał na przypisanym do karcie koncie niewiele
> pieniędzy, zamiast wielkiego limitu z kredytówki.

Dobre banki pozwalają do KK ustawiać limity. Mając limit np. 100k PLN
możesz sobie ustawić dzienny limit 500 PLN. Co więcej sporo banków
pozwala ustalać odrębne limity dla poszczególnych typów transakcji
(gotówkowe/bezgotówkowe/internet itp.) i to zarówno limity kwotowe jak i
ilościowe (np. jedna transakcja dziennie, jak ktoś podpatrzy PIN przy
kasie i ukradnie kartę to i tak jej nie wykorzysta).

Oczywiście ww. ustalenia są dosyć paranoiczne ale jeśli ktoś chce to się
jak najbardziej da.


--
Mithos

do góry