On 2010-04-08 08:36, Jacek Osiecki wrote:
> Dnia Wed, 07 Apr 2010 23:18:32 +0200, Krzysztof Halasa napisał(a):
>> Jacek Osiecki <j...@c...pl> writes:
>>> Dokładnie, sam też już używam KK citi wyłącznie do płatności
>>> internetowych...
>> Duzo musisz kupowac w sieci zeby mialo to jakis sens.
>
> Wystarczająco dużo - zwłaszcza że jeszcze przez jakiś czas mam tego citka za
> darmo... no i naliczają się mile - nie jakieś zawrotne ilości, ale zawsze ;)
>
>>> Użycie tego syfu w sklepie to skrajne ryzyko :(
>> Duzo wiekszym ryzykiem jest uzywanie karty bez scalaka, gdyz wtedy
>> w przypadku fraudu skopiowana karta (a skopiowac ja jest bardzo latwo)
>> bank nie moze zrobic chargebacku "bez podawania przyczyn", i cale ryzyko
>> spada w praktyce na klienta. Nie zalezy to specjalnie od PINu, i w sieci
>> jest wiele skarg klientow (tak tak, takze z Europy Zachodniej i USA),
>> ktorych bank obciazyl kosztami fraudow bez uzycia PINu.
>
> Jeśli już, to na sklep.
>
>> Jesli uzywamy karty z procesorem, przynajmniej teoretycznie (ale takze
>> praktycznie, jesli mamy do czynienia z sensownym bankiem) posiadacz nie
>> odpowiada za fraudy bez wykorzystania procesora.
>
> Czyli w Polsce klient odpowiada zawsze.
>
>> PIN to sprawa wtorna,
>
> A dla mnie podstawowa. Bo umożliwia złodziejowi znacznie więcej, niż powinien.

I znowu stary temat... Zatem dla przypomnienie: problem ze źle
podzielonym ryzykiem nie byłby (dla klienta) krytyczny, gdyby (a)
ustawienia kart czipowych i terminali były takie, że jeśli
transakcja jest z użyciem czipa to wszystko jedno czy pin, czy
podpis, a gdy tylko z paskiem - to *wyłącznie* podpis, i
jednocześnie (b) wypłaty z bankomatów wyłącznie z użyciem czipa, i
(c) limit wypłat gotówkowych regulowany przez klienta (bezpłatnie!).
Oczywiście zakładam utrzymanie sensownych zasad odpowiedzialności za
transakcje "na podpis".
Wtedy nawet zwiększona odpowiedzialność klienta za operacje pinowe
(=czipowe) nie byłaby krytyczna, bo złodziej, aby wykorzystać
podpatrzony pin *musiałby ukraść* kartę (no, chyba, że opanują
duplikowanie chipów :-). A teraz wystarczy mu zrobić "duplikat
paskowy" i znaleźć bankomat lub terminal, który nie współpracuje z
czipem.

witrak()
PS. A Citi i tak w sumie dosyć pilnuje prób fraudów - pisałem
niedawno, jak zadziałali, gdy mnie ktoś w Grecji chicał orżnąć na
kilka tysięcy EURo przy pomocy "bezchipowego duplikatu".

do góry

Dnia Thu, 08 Apr 2010 10:20:14 +0000, Jacek Osiecki napisał(a):

> Skoro bank jasno mi przekazuje informację że nie będę miał ŻADNEJ
> możliwości skutecznego zareklamowania transakcji z dokonaniem PIN i
> równocześnie uniemożliwia mi zablokowanie transakcji gotówkowych to nie
> muszę widzieć ani jednego fraudu żeby unikać takiego produktu na
> kilometr.

Poczytaj odpowiednie przepisy (link podał Olgierd w innym poście w tym
wątku a także dyskusję jaka miała miejsce kilka miesięcy temu) i przestań
popadać w taką paranoje, bo życia szkoda ;)


--
xbartx

do góry

On 2010-04-08 13:05, kashmiri wrote:
> olgierd (<n...@n...problem>) ma odwage pisac:
>> Dnia Thu, 08 Apr 2010 10:18:07 +0000, Jacek Osiecki napisał(a):
>>
>>>>> widze ze swistak i sreberka sie skonczyly to zaczely sie pociagi. A co
>>>>> konkretnego masz do powiedzenia?
>>
>>>> Konkretnie to Twoje obawy są kompletnie bezpodstawne.
>>>
>>> Bzdury piszesz - nie są bezpodstawne tak długo jak banki mają zapisy
>>> typu "wszystkie operacje dokonane z użyciem PIN są uznawane za dokonane
>>> przez właściciela karty".
>>
>> Temat był wałkowany nie dalej jak 3 miesiące temu. Odsyłam zatem do
>> lektury stosownych przepisów:
>>
>> http://www.nbp.pl/home.aspx?f=/systemplatniczy/regul
acje/dzu12092002.htm
>>
>
> Ściślej: Art. 28, zwł. punkt 5.

Tylko, żeby z tego skorzystać, trzeba spełnić pewne warunki, wśród
których niekoniecznie najłatwiejszym jest bycie lub posiadanie
prawnika :-), który poradzi sobie z zablokowaniem egzekucji tytułu
bankowego. Jeżeli ktoś ma pecha i skubną go na powiedzmy 10kEUR, to
będzie miał tytuł egzekucyjny na powiedzmy ok. 50 kPLN. Przeciętny
klient może nie dożyć wygranej w procesie :-)

witrak()

do góry

Użytkownik "kashmiri" <n...@n...com> napisał w wiadomości
news:hpka5e$gt6$1@news.onet.pl...
> sensei (<n...@n...pl>) ma odwage pisac:
>> Użytkownik "kashmiri" <n...@n...com> napisał w wiadomości
>> news:hpk87u$b7l$1@news.onet.pl...
>>>> PINu nie powinno się podawać w żadnym publicznym miejscu, ani w sklepie
>>>> ani w Internecie bo to dana wrażliwa. PIN to sobie można podawać w
>>>> bankomacie. Ostatnio robiąc transakcję zdalną kartą paniusia chciała
>>>> uzyskać ode mnie kod CVV2 to ją wysłałem na drzewo. Nie życzę sobie
>>>> podawania danych wrażliwych komuś przez telefon a do takich należy
>>>> CVV2
>>>> i PIN. Niech sobie zainstalują taki terminal żeby przez telefon
>>>> wystarczył im numer karty i data ważności.
>>>
>>>
>>> Często do transakcji zdalnej wymagany jest CVV2, wielokrotnie go
>>> podawałem, nigdy nie było problemu. Masz paranoję. W razie czego to
>>> sprzedawca ma obowiązek udowodnić, że autoryzowaleś transakcję.
>>
>> bardzo smieszne wykonam transakcje w Internecie na twoją kartę z
>> wykorzystaniem CVV2 i mozesz bankowi skoczyć obciąży Cię i nijak nie
>> będziesz mógł reklamować.
>
> Dość trudne. Niby co kupisz, żeby nie zdradzić żadnych namiarów na siebie?
> Bo transakcje hazardu online są tak czy inaczej z reguły blokowane...

jest bardzo dużo możliwości począwszy od różnego rodzaju zakupów online na
emaila
(ebooki, audiobooki, muzyka, filmy, etc) a skonczywszy na wszelkiego rodzaju
pornostronach.
Nie jestes w stanie takich transakcji reklamowac i bedziesz placil

do góry

Użytkownik "olgierd" <n...@n...problem> napisał w wiadomości
news:pan.2010.04.08.09.54.44@rudak.org...
> Dnia Thu, 08 Apr 2010 11:14:36 +0200, sensei napisał(a):
>
>>>> co też powiesz? Gwarantem jest nie mój podpis. Niech bank i sprzedawca
>>>> się martwią dlaczego zrealizowali transakcję nie moim podpisem. Jestem
>>>> DUZO bardziej zabezpieczony niz w przypadku podejrzenia/skradzenia
>>>> PIN.
>>>
>>> Tak, a w kolei żelaznej, która przekroczy prędkość bodajże 20 mil na
>>> godzinę będzie takie podciśnienie, że wszyscy podróżni momentalnie się
>>> poduszą, na śmierć.
>>
>> widze ze swistak i sreberka sie skonczyly to zaczely sie pociagi. A co
>> konkretnego masz do powiedzenia?
>
> Konkretnie to Twoje obawy są kompletnie bezpodstawne.
> Powiem nawet więcej: już za 9 miesięcy nie dostaniesz nowej karty bez
> czipy. Co wówczas poczniesz?

no to ja ci powiem ze wlasnie dostalem KK bez chipa z datą ważności 2012.
A obawy do ujawniania PIN w sklepie bede mial zawsze, wole wtedy placic
gotowką.

do góry

Dnia Thu, 08 Apr 2010 15:46:54 +0200, sensei napisał(a):

>> Konkretnie to Twoje obawy są kompletnie bezpodstawne. Powiem nawet
>> więcej: już za 9 miesięcy nie dostaniesz nowej karty bez czipy. Co
>> wówczas poczniesz?
>
> no to ja ci powiem ze wlasnie dostalem KK bez chipa z datą ważności
> 2012. A obawy do ujawniania PIN w sklepie bede mial zawsze, wole wtedy
> placic gotowką.

Ależ oczywiście ujawniać numeru PIN nie wolno. Kodem tym należy się
posługiwać w skrytości.

--
pozdrawiam serdecznie, Olgierd
Lege Artis ==> http://LegeArtis.org.pl <==
[reklama] gdzie zrobić zdjęcie we Wrocławiu? ==> http://foto-krzyki.pl

do góry

Użytkownik "kashmiri" <n...@n...com> napisał w wiadomości
news:hpkda0$q2r$1@news.onet.pl...
> olgierd (<n...@n...problem>) ma odwage pisac:
>> Dnia Thu, 08 Apr 2010 10:18:07 +0000, Jacek Osiecki napisał(a):
>>
>>>>> widze ze swistak i sreberka sie skonczyly to zaczely sie pociagi. A co
>>>>> konkretnego masz do powiedzenia?
>>
>>>> Konkretnie to Twoje obawy są kompletnie bezpodstawne.
>>>
>>> Bzdury piszesz - nie są bezpodstawne tak długo jak banki mają zapisy
>>> typu "wszystkie operacje dokonane z użyciem PIN są uznawane za dokonane
>>> przez właściciela karty".
>>
>> Temat był wałkowany nie dalej jak 3 miesiące temu. Odsyłam zatem do
>> lektury stosownych przepisów:
>>
>> http://www.nbp.pl/home.aspx?f=/systemplatniczy/regul
acje/dzu12092002.htm
>>
>
> Ściślej: Art. 28, zwł. punkt 5.

ten punkt dotyczy tylko braku fizycznego uzycia karty. Jesli ktos fizycznie
uzyje mojej karty w bankomacie podgladajac wczesniej moj PIN na nic zadne
reklamacje. Bank zawsze powie: wyciagnal Pan kase z bankomatu a potem
zadzwonil zeby zglosic kradziez i w dodatku nie dopelnil Pan nalezytej
starannosci w chronieniu swojego PIN. I do widzenia. Sprobuj wygrac taką
sprawę z bankiem...

do góry

Dnia 08.04.2010 olgierd <n...@n...problem> napisał/a:
> Ależ oczywiście ujawniać numeru PIN nie wolno. Kodem tym należy się
> posługiwać w skrytości.

I jak tę 'skrytość' przy kasie w supermarkecie uzyskasz? Ja nie umiem,
zwłaszcza, że wiem, iż obserwują mnie wysokiej jakości kamery telewizji
przemysłowej, które bez problemu odczytają PIN. Te lepsze nawet CVV z
karty. Mogę oczywiście zakryć łapskiem pinpad, martwe pole osłaniając
ciałem, wklepać PIN na ślepo, i tak dalej. Tylko wiesz co? Po chuj,
że tak kolokwialnie powiem, takie kombinacje.

Od kiedy mam karty PINowe, nauczyłem sie znowu płacić gotówką. To
naprawdę nic trudnego! KK jest już tylko do sytuacji, kiedy jest
faktycznie potrzebna - np. płacę nią przez Internet, na bramkach na
autostradzie w Chorwacji, w automacie na dworcu kolejowym we Włoszech,
albo w jakichś nieprzewidzianych sytuacjach. Komfort życia mi się przez
nieużywanie KK naprawdę nie obniżył. W sumie to nie wiem, dlaczego wszyscy
się tak daliśmy wciągnąć w to kartowe szaleństwo - jak tak się dobrze
zastanowić, to nie ma w tym żadnego sensu.
--
Samotnik

do góry

Dnia Thu, 08 Apr 2010 14:06:13 +0000, Samotnik napisał(a):

>> Ależ oczywiście ujawniać numeru PIN nie wolno. Kodem tym należy się
>> posługiwać w skrytości.
>
> I jak tę 'skrytość' przy kasie w supermarkecie uzyskasz? Ja nie umiem,
> zwłaszcza, że wiem, iż obserwują mnie wysokiej jakości kamery telewizji
> przemysłowej, które bez problemu odczytają PIN. Te lepsze nawet CVV z
> karty. Mogę oczywiście zakryć łapskiem pinpad, martwe pole osłaniając
> ciałem, wklepać PIN na ślepo, i tak dalej. Tylko wiesz co? Po chuj, że
> tak kolokwialnie powiem, takie kombinacje.

Niewątpliwie ekipy od monitoringu wraz z kasjerkami zawiązały spisek w
celu pozyskania możliwie dużej liczby kodów pin ;-)

Wiesz, ja też bardzo lubię filmy o Jasonie Bourne, Bondy, "Trzy dni
Kondora", ale traktuję te wszystkie spiskowe teorie jako -- ciekawą i
emocjonującą -- ale jednak fikcję.

--
pozdrawiam serdecznie, Olgierd
Lege Artis ==> http://LegeArtis.org.pl <==
[reklama] gdzie zrobić zdjęcie we Wrocławiu? ==> http://foto-krzyki.pl

do góry

"kashmiri" <n...@n...com> writes:

> Przecież karta Citi może być za darmo bez wyrabiania żadnych limitów.

Ale jesli ktos prawie nie korzysta z karty, to po co mu ona? Do
ponoszenia odpowiedzialnosci za ew. fraudy, ktorych sie wlasnie boi?

> To że bank nie może zrobić chargebacku w żaden sposób nie oznacza, że
> za transakcję płaci klient.

Teoretycznie moze nie. Praktycznie, najczesciej wlasnie tak jest.
Chyba ze klient udowodni, ze to nie on dokonal transakcji, ze nie
pomagal w niej, ze nie dopuscil do zadnego razacego zaniedbania,
i ze nie utracil karty. Czasem wystarczy, ze klient spelni okreslone
warunki, np. ze nie jest to ktorys z kolei fraud, ze tylko nie wyglada
na wine klienta, ze bank nie podejrzewa klienta o wspoludzial itd - ale
jednak brak dowodu, ze transakcji dokonal klient nie oznacza jeszcze, ze
klient za nia nie zaplaci.

> Po pierwsze, klienta przecież chroni fakt, że przy transakcji bez
> PIN-u podpis jest sfałszowany.

To akurat slabo pomaga, bo kto to sprawdzi i jak?
Raczej moze przeszkadzac, jesli podpis jest podobny.

> Poza tym, ryzyko związane z transakcjami karcianymi jest dzielone
> między: bank, acquirera, sprzedawcę i na koniec klienta,

Jasne. Z tym, ze dwaj pierwsi (a zwlaszcza acquirer) placa zwykle
dopiero wtedy, gdy nie maja innego wyjscia.

> przy czym przy oczywistym fraudzie ryzyko dla klienta jest pomijalne
> (poza, być może, zablokowaniem karty bądź jakiejś sumy na koncie).

Ale wiesz ze tym sposobem pomijasz wielu istniejacych ludzi, ktorzy za
takie fraudy jednak zaplacili?

>> Inna sprawa, ze potwierdzanie PINem powinno wystepowac tylko w przypadku
>> weryfikacji PINu przez karte (a wiec chip) i moze jeszcze przy
>> (szyfrowanej) weryfikacji online (takze jesli uzywamy procesora).
>
> Nie zgodzę się. Nie należy klienta uczyć wprowadzania PIN-u na ekranie
> komputera. PIN jest wyłącznie do POS-ów i bankomatów.

"Online" w takim sensie, ze terminal wysyla m.in. zaszyfrowany PIN do
wydawcy karty w czasie transakcji. W ogole nie wnikalem o jaki terminal
chodzi, i w ogole nie myslalem o komputerze klienta - aczkolwiek sa
takie rozwiazania.

>> PINu nie powinno sie podawac przy transakcjach innych niz z uzyciem
>> procesora. Nie jest to jednak zasadnicza roznica, bo nawet przy
>> transakcji chipowej sciezka magnetyczna karty moze zostac skopiowana,
>> a PIN np. podsluchany.
>
> Niby tak, ale 99.99% transkacji z paskiem i PIN-em jest "legit"

Skad te dane?

> - czy
> z powodu 0.01% ryzyka warto blokować pewną funkcjonalność?

Nie jestem pewien czy do konca Cie zrozumialem, ale napisalem, ze
roznica nie jest zasadnicza. PIN to tylko dodatkowe, slabe
zabezpieczenie - jesli ktos twierdzi (patrz regulaminy), ze podanie PINu
gwarantuje przynajmniej wspoludzial klienta, to albo nie wie co mowi,
albo wie, ze klamie.
--
Krzysztof Halasa

do góry