בעוד בעולם נכנסים תקני תשלום מחמירים כמו EMV – התקן המחייב בגוגל פיי ובאפל פיי, לצד השירות המחמיר באבטחה שלו פייפאל, אפליקציות התשלומים של הבנקים בישראל אינן מציגות את התקנים המחמירים או לפחות הבנקים לא משתפים אותם.
היחידה שמצהירה על תקן אבטחה ספציפי היא פייבוקס של דיסקונט. התקן נקרא PCI DSS. הוא תקן שנוצר על ידי 5 חברות כרטיסי האשראי הגדולות (ויזה, מסטרקארד, JCB, Discover ואמריקן אקספרס) כדי להבטיח הגנה על נתוני כרטיסי אשראי בכל סביבה בה הם מאוחסנים, מועברים או מעובדים. התקן כולל דרישות שונות ליישום בקרות אבטחת מידע במטרה ליישם הגנה בארגונים המטפלים בפרטי כרטיסי אשראי באמצעים שונים כגון קופה רושמת, ארנקים אלקטרוניים, אתרי אינטרנט, מכונות ממכר אוטומטיות וכספומטים.
חברת סליקה שומרת את פרטי האשראי באופן מוצפן ומעבירה אותם לשרתי PayBox בעזרת מערכת טוקנים כך שכל התקשורת בינה לבין האפליקציה מבוצעת בפרוטוקול בטיחותי. זאת הסיבה שלאחר הזנת אמצעי התשלום בפעם הראשונה, לא מבקשים להזין אותם מחדש – בהתאם לשאר האפליקציות
בפפר, לשעבר פפר פיי, מצהירים על התקנים אך מציינים בכלליות באתר שלהם כי "חלק מתפיסת אבטחת המידע של בנק לאומי, השקענו משאבים רבים כדי שכל המידע הרגיש יהיה מוצפן, ואנחנו מפקחים באופן קבוע על הגישה למאגרי המידע בטכנולוגיות האבטחה המתקדמות ביותר". עם זאת, התגלו פרצות אבטחה בעבר במוצרים של פפר, כמו בעיות באבטחה באתר תדמית וקבלת מספרי טלפונים של משתמשים באמצעות הזנת פרטי משתמש בפפר אינווסט. מומלץ להשתמש בזיהוי באמצעות טביעת אצבע.
בביט של בנק הפועלים גם לא מציינים תקן ספציפי, רק שהאפליקציה עומדת בסטנדרטים המקובלים והבינלאומיים של אבטחת מידע. גם כאן אפשר להשתמש בטביעת אצבע. השנה עם זאת התלוננו לקוחות ביט שמתחזה גונב להם את הכסף. בבנק טענו שלא מדובר בפריצה לאפליקציה אלא בגניבה של פרטי האשראי והפרטים האישיים ממאגר אחר. אז חל ויכוח בין חברת האשראי לביט מי אחראי לספוג את ביטול העסקה. טענה נוספת הייתה שהמוקד לא פתוח 24 שעות, מה שמקשה לבטל את העסקה הזדונית – אף שאותרה. מקרה אחר היה הודעה שהופצה בוואטסאפ על פריצה לחשבונות ביט. זו התבררה כפייק ניוז
מה לעשות אם פרצו לכם לאפליקציה
בכל מקרה, במקרה שפרצו לכם לאפליקציה, בטלו מיד את כרטיס האשראי, דווחו לבנק ולחברה המפעילה את האפליקציה. יש לדרוש מחברת האשראי לבטל את העסקה. זו תעביר את המידע לבעלת האפליקציה.
ועדי הורים, אפליקציות התשלומים נלחמות עליכם
מהן העמלות על אפליקציות התשלומים ואיך לא לשלם אותן
תוכן עניינים; ניתן להקליק על הקישור הרלבנטי
הסבר מורחב: איך שומרים על אפליקציית תשלום
אפליקציות תשלום נוחות, אבל הן מחוברות לחשבון הבנק או לכרטיס, ולכן הגנה על הטלפון היא חלק מההגנה על הכסף. נעילת מסך, עדכוני מערכת ואימות דו שלבי הם הבסיס. רוב ההונאות לא פורצות לאפליקציה, אלא משכנעות את המשתמש לאשר העברה או למסור קוד, ולכן החשדנות חשובה לא פחות מהטכנולוגיה.
דוגמה להמחשה: נניח שמגיעה הודעה מ"קונה" שמבקש לשלם על מוצר ושולח קישור "לקבלת הכסף". אם הקישור מבקש פרטי כרטיס או קוד, זה סימן אזהרה. בקבלת תשלום אמיתית לא צריך למסור קוד או פרטי אשראי.
מה עושים אם העברתי כסף לנוכל?
פונים מיד לבנק ולחברת האפליקציה ומגישים תלונה במשטרה. ככל שפונים מהר יותר, יש יותר סיכוי לעצור.
האם להגדיר תקרה?
כן. תקרה יומית נמוכה מקטינה את הנזק האפשרי.
איך מזהים אפליקציה אמיתית?
מורידים רק מחנות האפליקציות הרשמית ובודקים את שם המפתח.
מה עם טלפון שאבד או נגנב?
חסמו מיד את הגישה לאפליקציות דרך הבנק או החברה, החליפו סיסמאות ונתקו את המכשיר מהחשבונות מרחוק אם אפשר. ככל שהחסימה מהירה יותר, הסיכוי לנזק קטן.
צעדים מעשיים
- הפעילו נעילת מסך ואימות דו שלבי
- הגדירו תקרת העברה נמוכה
- לעולם אל תמסרו קוד שקיבלתם ב-SMS
- בדקו את פירוט התנועות פעם בשבוע
- רשמו מראש את מספרי החירום של הבנק והאפליקציה
להרחבה: הונאה בנקאית דרך מיילים והודעות – איך זה עובד, כיצד להתגונן? | ניהול חשבון בנק – איך לנהל אותו נכון
שאלות ותשובות
? מהו תקן PCI DSS?
לפי המדריך, זה תקן שיצרו חברות כרטיסי האשראי הגדולות כדי להגן על נתוני כרטיסים. הוא חל בכל מקום שבו הנתונים נשמרים או מועברים.
? איזו אפליקציה מצהירה על תקן אבטחה?
לפי המדריך, פייבוקס מצהירה על תקן PCI DSS. האפליקציות האחרות לא פרסמו תקן ספציפי.
? האם אפליקציה בלי הצהרה היא בהכרח פחות בטוחה?
לא בהכרח. היעדר פרסום לא מוכיח שאין אבטחה, אבל הוא מקשה על הלקוח להעריך אותה.
? מה המשתמש יכול לעשות כדי להגן על עצמו?
להגדיר נעילת מסך, לא לשתף קודים ולבדוק כל בקשת תשלום. רוב ההונאות מתחילות בהטעיית המשתמש.
? למה התקנים בעולם מחמירים יותר?
לפי המדריך, בעולם נכנסו תקני תשלום מחמירים כמו EMV. בארץ הבנקים לא תמיד חושפים את התקנים שלהם.