Co se stane, když Vám zloděj ukradne platební kartu a mobil zároveň: Kolik může vybrat peněz?

Čtvrtek večer, přeplněná tramvaj, a ruka v kapse najednou nahmatá prázdno. Peněženka je pryč. Telefon taky. Srdce vám na vteřinu vynechá úder a hlavou se honí jediná otázka: kolik peněz mi zloděj stihne vybrat, než to stihnu zablokovat?

Odpověď se přitom liší podle toho, co přesně jste ztratili. Dva předměty, které vypadají podobně, totiž chrání vaše peníze úplně odlišným způsobem. Jeden z nich je zranitelnější, než byste čekali.

Plastová karta: kde má slabá místa

Bezkontaktní platby přinesly pohodlí, ale i rizika. V Česku je standardní limit pro platbu bez PINu 500 Kč za jednu transakci. Pokud kartu ztratíte, může ji nálezce v rámci tohoto limitu zneužít.

Ochranou je bezpečnostní počítadlo. Po několika po sobě jdoucích drobných platbách terminál automaticky vyžádá vložení karty a zadání PINu.

Větší záludnost se skrývá v údajích vytištěných na kartě: číslo, datum platnosti a trojmístný kód na zadní straně. Pokud internetový obchod nevyžaduje silné ověření držitele (3D Secure), lze platit i bez fyzické karty.

Co se stane v tramvaji: modelový příklad

Nálezce zkusí v samoobsluze čtyři bezkontaktní nákupy po 490 Kč. První tři projdou, dohromady 1 470 Kč. Při čtvrtém počítadlo sepne a terminál vyžádá PIN, který zloděj nezná.

S nalezeným telefonem je na tom ještě hůř. Zamčená obrazovka a chybějící otisk prstu, sken obličeje nebo kód znamenají, že mobilní peněženka žádnou platbu neautorizuje.

Mobilní peněženka: tokenizace jako štít

Teprve tady se dostáváme k jádru věci. Služby jako Apple Pay a Google Wallet nepoužívají skutečné číslo karty, ale takzvanou tokenizaci. Při platbě se vytvoří náhradní šifrovaný identifikátor (DPAN).

Každá transakce má navíc jedinečný dynamický kryptogram, který nejde znovu použít. K tomu přibývá silné ověření uživatele, tedy biometrie nebo heslo.

Banka MONETA Money Bank k tomu ve své analýze digitálních plateb uvádí: „Při placení mobilem nebo chytrými hodinkami se skutečné číslo karty neukládá do zařízení ani nepředává obchodníkovi. Služba využívá tokenizovaný identifikátor a vyžaduje před každou platbou ověření biometrií či heslem.“

Mýty o zlodějích s čtečkou

Kolují historky o zlodějích s terminálem v kapse, kteří v MHD vysávají účty přikládáním k taškám. Realita je střízlivější. NFC funguje jen na vzdálenost několika centimetrů a každý terminál musí být u banky registrován na konkrétní firmu.

Podezřelé sériové platby by banky zablokovaly a příjemce snadno dohledaly. Neplatí ani představa, že po ztrátě karty přijdete o celé úspory a škodu musíte hradit sami.

Zákon: kolik vás ztráta opravdu stojí

Majitele účtů chrání zákon č. 370/2017 Sb., o platebním styku, vycházející z evropské směrnice PSD2. Odpovědnost za neautorizované platby upravuje jeho § 182.

Pokud vám kartu někdo odcizí a zneužije ji dřív, než ztrátu nahlásíte, vaše spoluúčast je omezena na nejvýše 50 eur, tedy zhruba 1 250 Kč. Zbytek vám banka po prověření vrátí.

Od chvíle, kdy ztrátu nahlásíte, třeba zablokováním karty v mobilní aplikaci, nese případnou škodu celou banka.

Zkušenost uživatelů finančních portálů shrnuje jeden z nich takto: „K bezkontaktní kartě je třeba přistupovat jako k hotovosti do výše jejího limitu. Pořád je to ale bezpečnější než hotovost, protože ji po zjištění ztráty mohu jedním klikem v aplikaci zamknout.“

Pozor ale na hrubou nedbalost. Pokud máte PIN napsaný přímo na kartě nebo jste někomu dobrovolně sdělili kód k telefonu, limit 50 eur neplatí a škodu byste nesli sami.