Skimming polega na nielegalnym kopiowaniu danych karty płatniczej, najczęściej z jej paska magnetycznego. Przy bankomacie sprawcy mogą również próbować przechwycić PIN. Karta nadal znajduje się w portfelu, a jej dane zostają wykorzystane bez wiedzy właściciela. Dlatego brak zgubionego plastiku nie oznacza, że wszystko jest bezpieczne.
Jeżeli zauważysz podejrzany element przed użyciem bankomatu, zrezygnuj z wypłaty i zgłoś problem. Jeśli karta była już używana w podejrzanym urządzeniu albo pojawiła się obca transakcja, nie czekaj na kolejną. Skontaktuj się ze swoim bankiem, zabezpiecz kartę i opisz okoliczności. Poniżej wyjaśniamy, co powinno zwrócić uwagę i jak odróżnić skimming od innych problemów.
Co to jest skimming i dlaczego karta może zostać przy Tobie?
W klasycznym skimmingu celem jest przechwycenie danych zapisanych na pasku magnetycznym. Tak opisuje to Encyklopedia Cyberbezpieczeństwa KNF. Zagrożenie może dotyczyć bankomatu, ale również płatności w punkcie handlowym. Nie musi mu towarzyszyć fizyczna kradzież karty ani przejęcie hasła do bankowości.
To ważna różnica praktyczna. Złodziej nie potrzebuje zatrzymać Twojego portfela, żeby zdobyte informacje miały dla niego wartość. Wypłata może wyglądać zwyczajnie, urządzenie może oddać kartę i gotówkę, a problem zauważysz dopiero przy sprawdzaniu historii. Sam poprawny przebieg jednej operacji nie potwierdza bezpieczeństwa miejsca, w którym użyto karty.
Nie oznacza to jednak, że każda nieznana płatność dowodzi skimmingu. Bank powinien ustalić sposób wykonania operacji i przeanalizować zgłoszenie. Klient nie musi samodzielnie identyfikować urządzenia użytego przez sprawcę. Wystarczy uczciwie wskazać, czego nie rozpoznaje i jakie okoliczności wzbudziły podejrzenia.
Skimming, phishing i zatrzymana gotówka. Różne problemy
| Sytuacja | Co jest zagrożone? | Najważniejsze rozróżnienie |
|---|---|---|
| Skimming karty | Dane karty, a przy niektórych zdarzeniach również PIN | Plastik może pozostać przy właścicielu |
| Phishing | Dane wpisane na fałszywej stronie lub przekazane oszustowi | Nie wymaga korzystania z bankomatu |
| Zatrzymana karta | Kontrola nad fizyczną kartą | Przyczyną może być awaria, status karty albo przestępstwo |
| Obciążenie bez wydania banknotów | Prawidłowe rozliczenie wypłaty | Brak gotówki nie dowodzi automatycznie skopiowania karty |
Jeżeli urządzenie nie oddaje plastiku, skorzystaj z instrukcji co zrobić, gdy bankomat wciągnął kartę. Gdy problemem jest brak banknotów mimo obciążenia, potrzebne jest zgłoszenie niewypłaconej gotówki. Te sytuacje mogą wystąpić razem, ale w rozmowie z bankiem warto opisać każdą osobno.
Jak rozpoznać podejrzany bankomat?
Przed wypłatą przyjrzyj się czytnikowi karty, klawiaturze i otoczeniu ekranu. Niepokoić mogą nietypowo odstające części, niespasowane elementy, ślady ingerencji lub osłona, która wygląda na dołożoną. Wątpliwości warto potraktować jako powód do przerwania operacji, a nie zaproszenie do sprawdzania urządzenia własną kartą.
Nie każda wystająca osłona jest jednak narzędziem przestępcy. Bankomaty mają różne konstrukcje i fabryczne zabezpieczenia. Zdjęcie modelu znalezione w internecie również nie zastępuje kontroli operatora. Nie odrywaj części, nie wkładaj niczego do szczelin i nie próbuj naprawiać czytnika. Możesz uszkodzić urządzenie albo naruszyć ślady potrzebne przy wyjaśnianiu sprawy.
Zwróć uwagę również na otoczenie. Dobrze oświetlone, widoczne miejsce ułatwia ocenę sytuacji, choć nie daje gwarancji. Jeżeli ktoś stoi zbyt blisko, obserwuje klawiaturę albo próbuje kierować Twoimi czynnościami, przerwij wypłatę. Nie musisz tłumaczyć obcej osobie, dlaczego wybierasz inne urządzenie.
Podobne zasady opisuje PKO BP w instrukcji bezpiecznego korzystania z karty. Oględziny są jednym z zabezpieczeń, nie testem wykrywającym każdą próbę oszustwa. Jeżeli urządzenie wygląda prawidłowo, nadal osłaniaj PIN i obserwuj późniejsze operacje.
Osłanianie PIN i kontrola karty w sklepie
Podczas wpisywania PIN zasłoń klawiaturę drugą dłonią. Sama pozycja ciała może nie osłonić jej przed każdym kierunkiem obserwacji. Nie wypowiadaj numeru na głos i nie przyjmuj pomocy wymagającej jego ujawnienia. Osoba podająca się za serwisanta nie powinna nakłaniać Cię do ponownego wpisania PIN w podejrzanym urządzeniu.
W sklepie lub restauracji trzymaj kartę w zasięgu wzroku. Poproś o przyniesienie terminala albo podejdź do stanowiska płatności. Nie pozwalaj zabierać jej na zaplecze. Sprawdź kwotę na ekranie przed zatwierdzeniem i odbierz kartę po zakończeniu operacji. Nie trzeba zakładać nieuczciwości personelu, żeby zachować kontrolę nad danymi płatniczymi.
Jeśli karta zniknęła na chwilę z Twojego pola widzenia i masz konkretne powody podejrzewać nadużycie, powiedz bankowi, co się wydarzyło. Nie oskarżaj publicznie sprzedawcy wyłącznie na podstawie późniejszego obciążenia. Miejsce zakupu i miejsce przechwycenia danych nie muszą być tym samym.
Czy chip i wypłata zbliżeniowa chronią przed skimmingiem?
Chip wykorzystuje zabezpieczenia inne niż pasek magnetyczny. Skopiowanie danych z paska nie jest tym samym co wykonanie działającej kopii układu mikroprocesorowego. Nie należy więc przedstawiać każdej współczesnej karty jako prostego nośnika, który można dowolnie powielić. Jednocześnie chip nie zwalnia z reagowania na ujawnienie danych czy podejrzane obciążenia.
W obsługującym tę funkcję bankomacie wypłata zbliżeniowa pozwala nie wsuwać karty do czytnika. Ogranicza to kontakt z elementem, na którym może znajdować się urządzenie przechwytujące dane z paska. Nadal sprawdzaj otoczenie i osłaniaj PIN, jeśli jest wymagany. Gdy całe urządzenie budzi podejrzenia, wybierz inne, zamiast traktować zbliżenie jako sposób na bezpieczne użycie podejrzanego bankomatu.
Podobnie wypłata bez fizycznej karty nie usuwa wszystkich zagrożeń. Nie przekazuj kodu BLIK osobie, która obiecuje pomoc przy urządzeniu, i sprawdzaj dane operacji w aplikacji. Każda metoda wymaga własnych zasad bezpieczeństwa. Nie warto zamieniać jednej ostrożności na przekonanie, że inna technologia wyklucza oszustwo.
Ustawienia karty, które pomagają szybciej zauważyć problem
Ustaw powiadomienia o płatnościach i wypłatach oraz dopasuj limity do zwykłych potrzeb. Sprawdź oddzielnie limit bankomatowy, płatności w sklepach i zakupów internetowych, jeśli bank je rozróżnia. Niski limit wypłat nie oznacza automatycznie niskiego limitu pozostałych operacji.
Przykład: na co dzień wypłacasz najwyżej kilkaset złotych. Nie potrzebujesz stale utrzymywać znacznie większego limitu tylko dlatego, że raz planujesz duży zakup za gotówkę. Jeśli bank pozwala, zmień ustawienie na czas konkretnej potrzeby i później przywróć zwykłą wartość. Nie traktuj jednak limitu jako pewnej maksymalnej straty, bo znaczenie mają różne rodzaje operacji i sposób ich rozliczania.
Zaglądaj do historii także po powrocie z podróży. Powiadomienie może zostać przeoczone, a obciążenie nie musi pojawić się bezpośrednio po użyciu karty. Nie ignoruj niewielkiej nieznanej kwoty. Ustal, czy odpowiada Twojemu zakupowi, a jeśli nie potrafisz jej wyjaśnić, skontaktuj się z bankiem.
Podejrzenie skimmingu. Blokada czy zastrzeżenie karty?
Czasowa blokada służy między innymi sytuacji, gdy karta zapodziała się w domu i chcesz ją odnaleźć. Zwykle można ją odwołać na zasadach banku. Zastrzeżenie jest trwałe: odnaleziony plastik nie wraca potem do użycia. Przy podejrzeniu skopiowania danych należy zgłosić ryzyko bankowi i zastrzec zagrożoną kartę, a nie odblokowywać ją tylko dlatego, że nadal jest w portfelu.
Jeśli natychmiast dostępna jest jedynie blokada w aplikacji, zastosuj ją jako doraźne zabezpieczenie i od razu skontaktuj się z bankiem w sprawie dalszych działań. Sama zmiana PIN nie usuwa skopiowanych danych. Przykładowy przebieg obu operacji pokazujemy w poradniku blokowania i zastrzegania karty ING. W innym banku nazwy ekranów i zakres blokady mogą wyglądać inaczej.
Korzystaj z numeru znalezionego samodzielnie w aplikacji lub na oficjalnej stronie banku. Nie opieraj kontaktu na doklejonej kartce z numerem „pomocy technicznej”. Zabezpieczenie karty nie wymaga przelania oszczędności na „bezpieczne konto” ani podawania osobie przy bankomacie kodu zatwierdzającego operację.
Co zapisać i przekazać bankowi?
Nie musisz najpierw zdobyć kompletu dowodów. Zacznij od zabezpieczenia karty, a potem uzupełnij dane. Przekaż własne obserwacje, oddzielając je od przypuszczeń. Zamiast twierdzić, że konkretny bankomat skopiował kartę, opisz zauważony element oraz datę korzystania z urządzenia.
| Informacja | Dlaczego pomaga? |
|---|---|
| Lokalizacja, operator i numer bankomatu | Pozwalają wskazać konkretne urządzenie zamiast całej sieci |
| Data i przybliżona godzina użycia karty | Pomagają porównać zdarzenie z zapisami transakcji |
| Opis niepokojącego elementu lub zachowania | Oddziela podejrzenie ingerencji od zwykłej awarii |
| Kwoty, waluty i identyfikatory obcych operacji | Pozwalają zgłosić każdą transakcję, a nie tylko ogólną utratę pieniędzy |
| Moment zauważenia problemu i numer zgłoszenia | Ułatwiają odtworzenie kolejności działań |
Zdjęcie podejrzanego elementu wykonuj tylko wtedy, gdy możesz zrobić to bezpiecznie i bez opóźniania kontaktu z bankiem. Nie fotografuj PIN ani pełnych danych karty. Przy podejrzeniu przestępstwa zawiadom policję. Zastrzeżenie karty, zgłoszenie spornych transakcji i zawiadomienie organów ścigania to różne czynności, więc zachowaj potwierdzenia każdej z nich.
Czy bank odda pieniądze po skimmingu?
Jeśli doszło do nieautoryzowanej transakcji, zastosowanie mają przepisy ustawy o usługach płatniczych, wdrażającej między innymi PSD2. Co do zasady bank powinien zwrócić kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu zdarzenia lub otrzymaniu zgłoszenia. To termin D+1, a nie zawsze dokładnie 24 godziny.
Ustawowy obowiązek ma wyjątki, w tym uzasadnione i udokumentowane podejrzenie oszustwa ze strony płatnika, zgłoszone pisemnie organom ścigania. Liczy się też termin zawiadomienia: konsument powinien działać niezwłocznie, a ustawa co do zasady przewiduje wygaśnięcie roszczeń po 13 miesiącach od obciążenia rachunku bez zgłoszenia, z wyjątkiem dotyczącym nieudostępnienia informacji o transakcji. Nie jest to czas na spokojne odkładanie reakcji.
Szybki zwrot i ostateczna odpowiedzialność są odrębnymi kwestiami. Rzecznik Finansowy wyjaśnia, że samo prawidłowe uwierzytelnienie nie przesądza o zgodzie klienta, a zarzutu rażącego niedbalstwa nie należy traktować jako automatycznego wyłączenia szybkiego zwrotu. Okoliczności sprawy nadal wymagają oceny. Nie można obiecać odzyskania pieniędzy w każdej sytuacji określonej przez klienta jako skimming.
Odpowiedź na reklamację płatniczą zasadniczo powinna nadejść w 15 dni roboczych, a w szczególnie skomplikowanym przypadku w 35 dni roboczych, po przekazaniu wymaganego wyjaśnienia. Nie zastępuje to terminu D+1. Pełną ścieżkę zgłoszenia i dalszego sporu opisuje poradnik o nieautoryzowanych transakcjach. Nie utożsamiaj jej wyłącznie z procedurą chargeback, opartą na zasadach organizacji kartowych.
Co sprawdzić po zastrzeżeniu i wymianie karty?
Zapisz potwierdzenie zastrzeżenia i uzgodnij z bankiem sposób wydania nowej karty. Zapytaj o jej koszt, dostawę oraz możliwość korzystania z pieniędzy do czasu otrzymania plastiku. Nie zakładaj, że stara karta dodana do telefonu będzie nadal działać. Sposób obsługi portfela cyfrowego i wydania nowego numeru zależy od banku.
Nadal obserwuj historię rachunku i porównuj ją z listą zgłoszonych operacji. Jeżeli pojawi się kolejna nierozpoznana pozycja, przekaż ją bankowi z numerem wcześniejszej sprawy. Sama data widoczna w historii nie wystarcza do ustalenia, czy operację zainicjowano przed zastrzeżeniem czy po nim. Poproś bank o wyjaśnienie, zamiast uznawać, że nowe dane także zostały skradzione.
Po wymianie sprawdź potrzebne płatności cykliczne. Dane nowej karty aktualizuj wyłącznie w prawdziwym panelu usługodawcy, bez przechodzenia przez podejrzany link z wiadomości. Przy karcie kredytowej zapytaj dodatkowo, jak bank rozlicza sporne kwoty, odsetki i termin spłaty. Nie wstrzymuj samodzielnie wszystkich płatności za rzeczywiście wykonane zakupy, zakładając, że sama reklamacja zamyka umowę kredytową.
Pytania o skimming
Czy skimming dotyczy tylko bankomatów?
Nie. Dane mogą zostać przechwycone również podczas płatności w punkcie handlowym. Osobnym zjawiskiem jest skimming internetowy, czyli wykradanie danych podczas płatności na stronie. Nie wymaga on nakładki na bankomat i nie powinien być diagnozowany wyłącznie na podstawie wyglądu fizycznej karty.
Czy wystarczy zmienić PIN?
Nie traktuj tego jako rozwiązania podejrzenia skopiowania danych. Zgłoś zdarzenie bankowi i zabezpiecz kartę zgodnie z jego instrukcją. Nowy PIN nie usuwa informacji, które ktoś wcześniej przechwycił.
Czy prawidłowy wygląd bankomatu daje pewność?
Nie. Oględziny pomagają zauważyć część nieprawidłowości, ale nie zastępują zabezpieczeń operatora ani monitorowania rachunku. Zachowuj ostrożność także przy urządzeniu, z którego wcześniej korzystałeś bez problemu.
Czy samo zastrzeżenie karty jest reklamacją wypłaty?
Nie. Osobno wskaż operacje, na które nie wyraziłeś zgody, i poproś o przyjęcie zgłoszenia. Zastrzeżenie ogranicza dalsze używanie karty, ale nie zastępuje opisania obciążeń, które już wystąpiły.
