Форум

Безопасность платежей по технологии payPass

Разбор конфликтной ситуации с Банком по неавторизованным операциям по карте с технологией payPass

Добрый день.

Столкнулся с неприятной ситуацией, а именно пропажей карты с технологией pasPass. Пропажу обнаружил только тогда, когда увидел что по карте начались "покупки". Причём "покупки обнаружит только когда просматривал выписку по карте. Никакого уведомления не было.

Естественно тут же заблокировал карту звонком в Банк и написал заявление в полицию.
С квиточком заявления обратился уже в Банк, с заявлениями об отмене данных транзакций.

И вот тут начинается самое интересное.
Вначале отписка банка о том что типа сам дурак, и не хранил карту надёжно. И ссылка на правила хранения PIN-кода.

Я банку "намекнул" что неплохо бы разобраться более подробно в ситуации, а именно в том что все транзакции были на сумму менее 1000р и, 100% проводились по технологии payPass (В этом случае не требуется ввода PIN-кода подтверждения).

Банк в свою очередь опят гнёт своё.

Собственно вопрос. В правилах пользования картой не указано ничего про эту технологию (видимо ещё не успели их обновить).
А вопрос вот какой, кто и как несёт ответственность за такого рода неавторизованный транзакции? И раз Банк допускает такого рода операции (а именно операции по картам, не требующие двухфакторной авторизации, таких как, подпись чека, проверка документов держателя карты оператором терминала оплаты, ведением секретного PIN-кода) то не нарушается ли при этом действие фед.законов об обеспечении безопасности платежей с использованием электронных средств.

З.Ы, "угнаные" суммы не велики. Но сам факт наличия такого рода "дыры" в безопасности платежей не может не напрягать, т.к. хотя сама сумма транзакций, разрешенных технологией payPass, не велика (< 1000р) кол-во этих транзакций не ограничено.

То есть рассматриваем вариант:
1. У держателя карты "крадут" карту при спуске в метро
2. Пока он находится в дороге (а некоторые держатель в дороге проводят до 1,5 часов), осуществляются покупки
3. Об этих покупках держатель карты во время поездки ничего не узнаёт, т.к. находится вне зоны покрытия своего оператора сотовой связи.
4. Как только он узнаёт о транзакциях, он уведомляет об этом Банк. Пишет ВСЕ необходимые заявления.
5. Профит. "Злоумышленник" с покупками, держатель карты с "тратами" и Банк "не виноват".

Прошу помощи у более квалифицированных по законодательству пользователей портала.
 
Полиция может найти похитителя просмотрев камеры в магазинах где он отоваривался.
 
Цитата
Алексей Куликов пишет:
Собственно вопрос. В правилах пользования картой не указано ничего про эту технологию (видимо ещё не успели их обновить). А вопрос вот какой, кто и как несёт ответственность за такого рода неавторизованный транзакции? И раз Банк допускает такого рода операции (а именно операции по картам, не требующие двухфакторной авторизации, таких как, подпись чека, проверка документов держателя карты оператором терминала оплаты, ведением секретного PIN-кода) то не нарушается ли при этом действие фед.законов об обеспечении безопасности платежей с использованием электронных средств.


161-ФЗ

"До заключения с клиентом договора об использовании электронного средства платежа оператор по переводу денежных средств обязан информировать клиента об условиях использования электронного средства платежа, в частности о любых ограничениях способов и мест использования, случаях повышенного риска использования электронного средства платежа."

Так что банк обязан был до первой выдачи карты PayPass добавить в условия пункт про повышенный риск для платежей суммой менее 1 000 руб.

Что в договоре про способ уведомления по 161-ФЗ? Выпиской? СМС? Почему не было СМС? Не подключен по Вашему требованию? Не поступили сообщения?

Слова банка про "Ввод ПИН и сам дурак" выглядят как шаблон без малейшего желания (а может и умения) вникать в суть инцидента, требования закона, и имеют негативный репутационный оттенок. Можно название банка в личку?

Должны или не должны вернуть деньги зависит от того, на каких условиях банк предлагал Вам информирование об операциях. Хотя при отсутствии упоминания про PayPass и риски ,связанные с ним, в договоре, мое мнение, закон будет на Вашей стороне.
Изменено: Dolphina- 05.05.2017 13:18
Выражаю свою огромную поддержку Председателю Банка России Набиуллиной Эльвире Сахипзадовне за ее самоотверженную работу в сложное время. Я с Вами.
 
Вот переписка с Банком на этом же портале
Мнимая безопасность payPass

В банка, после первой отписки, всё же ответили то рассмотрят заявление ещё раз (это ответ из внутреннего часа через клиент-банк)

На данном портале ответ от банка прозвучал как некоторая издёвка (ссылка на то что я должен принимать ВСЕ меры для сохранности карты). То есть, видимо не пользоваться ей вообще. И не выпускать даже, т.к. даже хранение в банковской ячейке - это не гарантия безопасности. За сохранность содержимого ячейки, банк, тоже ответственности не несёт. :(
 
Цитата
Bancomat4ic пишет:
Полиция может найти похитителя просмотрев камеры в магазинах где он отоваривался.


Это если полиция "захочет" это делать smile8)

Но заявление написано было, хотя там от этого и отговаривали...
 
Цитата
Алексей Куликов
А вопрос вот какой, кто и как несёт ответственность за такого рода неавторизованный транзакции? И раз Банк допускает такого рода операции (а именно операции по картам, не требующие двухфакторной авторизации, таких как, подпись чека, проверка документов держателя карты оператором терминала оплаты, ведением секретного PIN-кода) то не нарушается ли при этом действие фед.законов об обеспечении безопасности платежей с использованием электронных средств.

Согласно правил МПС ответственность за фродовые LVP-транзакции (без верификации кардхолдера) относится полностью на эмитента. Выставлять чарджбеки по таким транзакциям запрещено. Так же на эти транзакции распространяется правило "нулевой ответственности" - эмитент должен вернуть кардхолдеру все похищенные мошенниками средства.

То, что российские банки не выполняют правила МПС - незачем, так как в стране полно лохов, которым нравится быть "финансово продвинутыми" и юзать карточки, в том числе бесконтактные. Правда, до первого пересечения с реальностью бытия. smile:)
 
Цитата
slowpoke пишет:
нравится быть "финансово продвинутыми"


К большому сожалению "финансово продвинутыми" нас делает банк "принудительно". Все карты, выпускаются c функцией бесконтактных платежей. И как-то у меня не очень спрашивали моё согласие на данный вид транзакций. (они даже в правилах банка не описаны на текущий момент. Только варианты подписи и Pin-кода).

Все статьи о "безопасности технологии PayPass" ограничиваются фразами "специалистов" о том что суммы до 1000р "не интересны мошенникам и легко могут быть оспорены".

Как оказывается - не легко smile:|
 
Цитата
Алексей Куликов пишет:
И раз Банк допускает такого рода операции (а именно операции по картам, не требующие двухфакторной авторизации, таких как, подпись чека, проверка документов держателя карты оператором терминала оплаты, ведением секретного PIN-кода) то не нарушается ли при этом действие фед.законов об обеспечении безопасности платежей с использованием электронных средств.

Не уверен, но вроде это не банк допускает, а платежная система - МС или VISA.внедряя в свои карты такие технологии.
Туда обращались с жалобой?
 
Цитата
netote пишет:
Туда обращались с жалобой?


Первоначально я планирую получить официальный ответ от своего Банка.
А уже потом обращаться в платёжные системы. (кстати, а это куда писать-то, кто-то знает? smile:oops: )
 
Цитата
Алексей Куликов пишет:
А уже потом обращаться в платёжные системы. (кстати, а это куда писать-то, кто-то знает?Рисунок

Только в свой банк. Платежные системы напрямую с физиками не работают, более того у Вас с ними нет договорных отношений. И последнее, если карта российская и банк-эквайер тоже в России, то операция шла через НСПК, а не Visa или MC.
 
Вообще странная, на мой взгляд, ситуация.

Картами мы пользуемся, т.к. они "более безопасны". То есть есть определённый свод правил, по которым должна проходить оплата. И этот свод правил "гарантирует" аутентичность держателя карты.
(подпись, ввод PIN-кода, и проверка ДУЛ (документа удостоверяющего личность).

Всегда думал что при несоблюдении этих правил ответственность за несанкционированную транзакцию ляжет, сначало на банк-эквайер а уже потом на владельца терминала, с которого данная транзакция была проведена.

Сейчас же, по факту, выясняется что есть пут транзакций, по которым аутентификация плательщика, полноценно не проводится (не запрашивается подпись на слипе (чеке), не запрашивается PIN-код, а уж о проверке ДУЛа вообще молчу). И в этом остаётся виноват "сам плательщик". Априори. Как не соблюдшего размазанный и размытый пункт правил о "добросовестном хранении карты" и обязательства "приложить все усилия для предотвращения кражи".

То есть сам факт того что "неправомерное завладение" картой совершилось виноват "целиком и полностью" только держатель карты. Всё. Точка. Никакого иного прочтения нет.

И как это соотносится с во-первых "презумпцией невиновности" (ну такой наивный я... да...), а во-вторых с ФЗ-161?

Это от некомпетентности или от "злого умысла"?

И в-третьих. По моему наличие данной "услуги" как-то противоречит требованию к банкам о "добросовестном обращении со средствами клиента" и "приложении ими всех усилий для предотвращения незаконного проведения списаний". А это в свою очередь можно квалифицировать как "оказание услуг, не обеспечивающих достаточного уровня безопасности".
 
Цитата
Алексей Куликов пишет:
И как это соотносится с во-первых "презумпцией невиновности"

При чём тут "презумпция невиновности"? Она существует в УК, а здесь ГК.
Для сведения "проверка ДУЛ" при операциях по карте не законна. Операции по карте приравнены к операциям наличными, а по ним эта проверка не производится.
К сожалению, когда появились карты с бесконтактной оплатой я уже не работал с претензионным отделом, поэтому про оспаривание таких операций ничего сказать не могу. Одно могу сказать точно, пока Вы не заявили о пропаже, считается что карта у Вас и вы могли ей сами воспользоваться.
И последнее. В ответе банка говорится о "правилах хранения PIN-кода" Вы же пишете о без ПИНовой операции, так всё-таки вводился ПИН или нет?
Ну и самое последнее. Не видя реальных документов строить какие-либо предположения, основываясь только на словах, считаю не возможным.
 
Цитата
Алексей Куликов
И в этом остаётся виноват "сам плательщик". Априори. Как не соблюдшего размазанный и размытый пункт правил о "добросовестном хранении карты" и обязательства "приложить все усилия для предотвращения кражи".
То есть сам факт того что "неправомерное завладение" картой совершилось виноват "целиком и полностью" только держатель карты. Всё. Точка. Никакого иного прочтения нет.

Согласно правил МПС эмитент обязан либо вернуть в полном объеме деньги кардхолдеру, либо доказать, что кардхолдер вел себя "фродулентно" и "неглижентно". Во втором случае эмитент может слупить с кардхолдера не более 150 Евро.
Однако МПС не несут ответственности за то, что банки из страны вечнозеленых помидоров не выполняют их правила.
 
Цитата
mikhail652007 пишет:
В ответе банка говорится о "правилах хранения PIN-кода" Вы же пишете о без ПИНовой операции, так всё-таки вводился ПИН или нет?


1. Учитывая скорость ответа банка (<1 раб.дня) ответ выл стандартной отпиской. Никто не проверял что и как вводилось.
2. На мою претензию к качеству ответы был получен "живой" отзыв о том что в банке "повторно рассмотрят заявление". По повторному рассмотрению отзыва пока нет.
3. Учитывая что карта была получена менее месяца до её утраты и не пользовалась для снятия наличных - PIN-код вряд ли был известен "злоумышленику".
4. Вряд ли стоит упоминать что PIN-код не был "нацарапан" ни на карте, и не располагался рядом с ней.
5. О транзакциях не было никакого уведомления. О них мне стало известно только когда я сам запросил вписку по карточному счёту через клиент-банк приложение.

Вот как-то так.

НА мой взгляд Банк должен был бы (хотя кому и что он должен smile:) smile:) smile:) ) запросить информацию о транзакции, её типе и порядке проведения в банке-эквайере. Тот должен был бы запросить слипы (чеки) в огранизациях, через терминалы которых была произведена транзакция и уже потом только давать ответ типа "сам дурак".

Но ввиду "экономии времени и ресурсов", как я понимаю, "дешевле" давать каждый раз отписки smile:(

З.Ы, А несёт ли Банк ответственность за такие отписки? То есть если мне первый раз была выдана не соответствующая действительности информация/справка/ответ, предусмотрена ли какая-то ответственность Банка?
 
Карту украли, Вы ее во время не заблокировали. Виноват банк. В чем? Что кто-то совершал покупки по Вашей карте? Это все-равно что обвинять работодателя, что у Вас украли кошелек с зарплатой и требовать выплатить Вам ее повторно. Тут только полиция. Вина Ваша, что позволили украсть, не заметили во время и не заблокировали. Получили такую карту, значит согласились со всеми условиями таких оплат, наверное подпись Ваша есть в договоре выдачи. smile:uncap:
Живем один раз.
 
Цитата
Зачетная фемина пишет:
О транзакциях не было никакого уведомления


А вот, что о транзакциях не было уведомления это можно предъявить, если конечно подключен был мобильный банк, карта новая может Вы его не подключали?
Живем один раз.
 
Цитата
Зачетная фемина пишет:
В чем? Что кто-то совершал покупки по Вашей карте?

Во-первых что не обеспечил должной безопасности проведения платежа. (Компенсацию банк-эммитент может получить у Банка-эквайера)

Цитата
Зачетная фемина пишет:
Вас украли кошелек с зарплатой и требовать выплатить Вам ее повторно

Во-вторых, учитывая что карта позиционируется как безопасная альтернатива наличке, да. Почему - см.пункт первый.

Цитата
Зачетная фемина пишет:
Карту украли, Вы ее во время не заблокировали

У Вас ограбили квартиру. Вы виноваты в том что, во первых не обеспечили её безопасность. Во-вторых. Вовремя не пресекли попытку. Это если следовать Вашей логике.

Цитата
Зачетная фемина пишет:
Получили такую карту, значит согласились со всеми условиями таких оплат, наверное подпись Ваша есть в договоре выдачи.

Интересная логика. Особенно учитывая что правила постоянно меняются. (Я в своих вообще вычитал обязанность каждые 5 дней самостоятельно уточнять в Банке обо всех изменениях в правилах.)
Цитата
5.2.14. Обращаться в Банк для получения сведений об изменениях и дополнениях, внесенных в Правила по банковским картам, Тарифы, Руководство пользователя в срок не реже чем раз в 5 (Пять) дней самостоятельно или через уполномоченных лиц.


И напоследок.
В текущих правилах обслуживания карт нет никаких упоминаний о том, что я согласен с тем, что Банк акцептует ВСЕ транзакции, до 1000р, выполненные по технологии payPass и не имеющие никакого подтверждения держателем карты каким-либо способом, позволяющим его однозначно идентифицировать.

Ещё раз. Моя позиция такова, что за все транзакции, выполненные без дополнительной авторизации, как того требуют действующие правила (подпись слипа, PIN-код, проверка ДУЛ на соответствии имени персонализированной карте с личностью плательщика) лежат в первую очередь на стороне Банка-эквайера, а потом уже на Банке-эмитенте.
Но, учитывая что я не имею возможности писать заявления в Банк-эквайер, т.к. во-первых у меня нет информации о том, каким Банком операция проведена, а во-вторых нет никаких договорных обязательств между мной и этим(и) банками, обращаюсь с заявлениями о несогласии с транзакциями в СВОЙ Банк-эмитент.
И, надеюсь справедливо, рассчитываю на полноценное рассмотрение каждого такого заявления. А не формальной отписки, типа "сам дурак" с отсылкой на пункт правил работы с PIN-кодом.
 
Цитата
Зачетная фемина пишет:
А вот, что о транзакциях не было уведомления это можно предъявить, если конечно подключен был мобильный банк, карта новая может Вы его не подключали?


По моему на основании ФЗ-161 это уведомление должно было быть в любом случае. Разве нет?
То есть ВСЕ расходные транзакции уведомляются априори.
Все приходные и прочие, по заключению доп.платных услуг.
 
Цитата
Алексей Куликов пишет:
По моему на основании ФЗ-161 это уведомление должно было быть в любом случае. Разве нет?То есть ВСЕ расходные транзакции уведомляются априори.

Наверное от банка зависит. Меня не уведомляли ни о чем пока мобильный банк не подключила. А если не плачу за него сразу перестают уведомлять.
Живем один раз.
 
Цитата
Алексей Куликов пишет:
Ещё раз. Моя позиция такова, что за все транзакции, выполненные без дополнительной авторизации, как того требуют действующие правила (подпись слипа, PIN-код, проверка ДУЛ на соответствии имени персонализированной карте с личностью плательщика) лежат в первую очередь на стороне Банка-эквайера, а потом уже на Банке-эмитенте.

Если к карте всегда надо будет паспорт носить, то уж лучше наличка.
Живем один раз.
 
Цитата
Алексей Куликов пишет:
Во-вторых, учитывая что карта позиционируется как безопасная альтернатива наличке

Ну в общем-то безопаснее в вашем случае, у Вас же не все деньги украли, а только часть.
Живем один раз.
 
Цитата
Алексей Куликов пишет:
У Вас ограбили квартиру. Вы виноваты в том что, во первых не обеспечили её безопасность. Во-вторых. Вовремя не пресекли попытку. Это если следовать Вашей логике.

Конечно вор виноват в первую очередь. Вы во вторую. Но банк в краже вообще не виноват.
Вот если бы деньги свистнули, а карточка при Вас нигде не засвечена, тогда можно банк обвинять.
Живем один раз.
 
Цитата
Алексей Куликов пишет:
5.2.14. Обращаться в Банк для получения сведений об изменениях и дополнениях, внесенных в Правила по банковским картам, Тарифы, Руководство пользователя в срок не реже чем раз в 5 (Пять) дней самостоятельно или через уполномоченных лиц.

Что могут тарифы менять в одностороннем порядке по уже выданным картам?
Живем один раз.
 
Цитата
Зачетная фемина пишет:
Если к карте всегда надо будет паспорт носить, то уж лучше наличка.


Именно поэтому существуют PIN-коды.
В данном же случае, ради эфемерного "удобства" при оплате payPass суммами до 1000р. вся безопасность отключена. За это тоже держатель карты ответственность несет?
 
Цитата
Зачетная фемина пишет:
Алексей Куликовпишет:У Вас ограбили квартиру. Вы виноваты в том что, во первых не обеспечили её безопасность. Во-вторых. Вовремя не пресекли попытку. Это если следовать Вашей логике.

Если Вы оставили дверь открытой или окно, то да не обеспечили ее безопасность.
Живем один раз.
 

Все продукты Банки.ру

Показать ещеСкрыть