Vlákno názorů k článku Mýty a fakta o bezkontaktním placení od PM - Dobrý den, vzhledem k tomu, že se článek tváří...

Dobrý den,
vzhledem k tomu, že se článek tváří jako kompletní rozbor situace, mohl by se autor článku (nebo jeho odborný poradce, od nějž čerpal informace) vyjádřit i k těmto bodům:

1. Uvádíte, že "Vzhledem k tomu, že všechny bezkontaktní transakce v Česku jsou ověřované online" - odkud tento údaj čerpáte? Standard pro bezkontaktní platby offline platby umožňuje a minimálně ze začátku některé české banky offline platby používaly. Opravdu jsou nyní všechny bezkontaktní platební transakce (např. u mBank) online?

2. V článku je málo rozebráno zneužití kradené karty, kdy banky často nenastavují žádný kumulativní limit pro podlimitní platby, tedy do blokace je možné ukradenou kartou platit ve více malých platbách bez zadávání PIN. Jedinou ochranou by tak měl být limit 150 EUR vyplývající z legislativy.

3. Mezi další "akademické" problémy patří vyčtení základních údajů o kartě - držitel, platnost, číslo karty (mimo CVV/CVC kódu) mobilním telefonem s podporou NFC, což by mohlo stačit v některých případech pro platbu přes Internet, kde není vyžadováno CVV/CVC (ale to už je jednodušší si tu kartu vyfotit). Zmíněn není ani "centimetrový" Man-in-the-Middle útok s dvojicí mobilů a tunelováním dat jinou technologií. První z problémů je obdobou toho, co bylo popsáno v anglickém videu, v textu článku je ale tento problém zlehčován. Takže, opravdu nelze z českých karet vyčíst číslo karty, platnost a jméno držitele, nebo jen nezaplatíte díky absenci znalosti o CVC/CVV kódu?

Ad 2: Více znamená maximálně čtyři, bezkontaktní karty musí vyžadovat PIN při každé páté podlimitní transakci. Z toho pak zjistíte, že kumulativní limit existuje, a je v nejhorším případě 2000.

To platí bohužel jen u konkrétní banky, že by to tak bylo všeobecně je rozšířený omyl. Některé banky pro karty limit počtu plateb bez PIN ani maximální částku opravdu nastaveny nemají, jiné dovolí na některých kartách zaplatit jen 500 Kč bezkontaktně za den (pak karta další platbu odmítne) zatímco a u jiného typy karty to takto neomezují, apod. Zajímavé je, že se tak většinou chovají ty banky, které přenášejí odpovědnost na držitele karty.

Dobrý den,
ad 1) Minimálně kombinace FIO MC PayPass a terminálů ČS,a.s. prováděla původně transakce offline. Nicméně po cca 2 měsících od zavedení těchto karet u došlo ke změně a transakce jsou online, možná v souvislosti s touto politikou. Ale i tak bych byl s generalizací opatrný, týká se to jen acquirera (tedy banky, provozující platební terminál, tedy v zahraničí je možné platit offline) nebo i issuera (tedy soft offline limit nastaven na 0)? Je skutečně online transakce vynucována, nebo je preferována? Pokud jde o issuera, platí tato pravidla i pro organizační složky zahraničních bank, které nechávají karty vyrábět v zahraničí (mBank), atd.?

ad 2) Tuto stránku znám, ale co tam uvedeno není je fakt, že některé banky nastavují minimálně soft online limit na "nekonečno", resp. limity neaplikují (mimochodem, když už tu stránka tady vyplavala tak by bylo vhodné opravit si tam překlep "omline").

Zkušenost ze čtvrtka 27.6.2013 - FIO MC PayPass a terminál ČS u Dr. Max ..... platba není do tohoto okamžiku v IB jakkoli zaznamenána.