pueblo <n...@n...pl> writes:

> Rozumuję w bardzo prosty sposób - w kontekście startowego posta. Mogę
> płacić kartą w sklepach zbliżeniowo lub tradycyjnie przez terminal w
> sklepie, wypłacać w bankomatach. I tutaj naiwnie zakładam, że nikt
> niepowołany nie będzie mógł wykorzystać jakichkolwiek danych do
> wykonania później transakcji moją kartą.

Niepowołany to może nie. No bo taki np. sprzedawca to jest chyba
powołany, nie?

> Dla mnie to nr, data, CVV, bo jeśli ktoś uzyska te dane, to może bez
> mojej wiedzy wykonać transakcję przez internet. Najbardziej
> niebezpieczne, bo o ile zgubienie karty zauważę dość szybko, to
> nieautoryzowane transakcje przez net mogę zauważyć po tygodniu.

To i tak bardzo szybko.
Rozumiem że chodzi o kod "CVV", który jest nadrukowany na karcie.
Te dane może uzyskać każdy, kto ma kontakt z kartą. Tego kodu akurat nie
wymienia się "elektronicznie" (w czasie zakupów "z obecnością karty"),
ale kamery, pamięć człowieka, ołówek i papier - bez problemu.

>> A jak płacisz w sklepach "stacjonarnych"? W szczególności, w takich,
>> które nie mają czytnika elektronicznego w pinpadzie?
> Sugerujesz, że jakieś dane mojej karty zostają u sprzedawcy? Nie
> rozumiem, co to znaczy "nie mają czytnika w pinpadzie" Podaję kartę
> sprzedwcy, który ją wkłada do terminala, a ja w osobnym urządzeniu
> (pinpadzie) wklepuję pin? Nie przypominam sobie takiej sytuacji.

To dziwne. Używasz karty bardzo sporadycznie, tak?

> No dobra, jakie dane, dla kogo dostępne i gdzie zostawia moja karta po
> płatności w np. Lidlu? Przecież nie CVV. Niech już mają numer karty.
> Czy to wystarczy, żeby ktoś mógł obciążyć moją kartę?

Oczywiście, numer karty i data ważności zostają praktycznie w każdym
sklepie "stacjonarnym" (i w wielu internetowych).

CVV2 (lub CVC2) nie jest używany w transakcjach "z obecnością", więc
(jeśli sprzedawca go nie zapamięta) nie zostaje w sklepie. Ale
transakcje internetowe niekoniecznie wymagają tego kodu, to jest tylko
dodatkowe, opcjonalne zabezpieczenie sprzedawcy. Sklepy, w których
sprzedawca "wklepuje" dane karty do normalnego terminala (tak jakby to
była transakcja "card present, keyed in"), nie mogą nawet użyć tego
kodu.

Tyle że to można reklamować, i sprzedawca będzie "w plecy" (a w każdym
razie powinien być, natomiast w rzeczywistości "w plecy" może być
klient).
--
Krzysztof Hałasa