V Hongkongu zmizelo za nákupy iPhonů 30 milionů. Chyběl jeden ověřovací krok
Hongkongská policie eviduje přes patnáct set hlášení o neoprávněných platbách kartou za iPhony 18 Pro. Podle policejního komisaře se transakce obešly bez dodatečného ověření. Apple má svůj platební proces prověřit.
Start prodeje iPhonu 18 Pro v Hongkongu provázel enormní zájem a jak se ukazuje, nejen ze strany zákazníků. Deník South China Morning Post informoval, že tamní policie eviduje už 1 503 hlášení o podezřelých platbách kartou spojených s nákupy nových iPhonů. Dohromady jde o více než třicet milionů hongkongských dolarů, v přepočtu zhruba 3,8 milionu dolarů amerických.
Čísla přitom rychle rostou. Ještě před dvěma týdny se hovořilo přibližně o dvanácti stech hlášeních, v úterý jich bylo o tři sta víc. Dobrou zprávou pro poškozené je, že všechny sporné transakce byly zrušeny, takže o peníze nikdo nepřišel. Horší zprávou je mechanismus, kterým se podvody podařilo provést.
Policejní komisař Joe Chow Yat-ming to popsal nezvykle přímočaře. Podle něj se u dotčených nákupů neuplatnila bezpečnostní opatření, která Apple u online obchodu používá, a transakce nevyžadovaly ověření. Pachatelům tedy stačily odcizené údaje z platební karty. Nepotřebovali heslo, nepotřebovali potvrzení v bankovní aplikaci a nepotřebovali jednorázový kód. Zadali čísla a objednávka prošla.
To je u částek v řádu desítek tisíc korun za kus poměrně znepokojivé zjištění. Drtivá většina evropských obchodů dnes u plateb kartou vyžaduje silné ověření, tedy kombinaci něčeho, co znáte, a něčeho, co vlastníte. Právě proto, aby samotná znalost čísla karty nestačila. V hongkongském případě tenhle krok z nějakého důvodu chyběl a podvodníci toho využili ve velkém.
Policie proto požádala Apple, aby svůj platební proces podrobně prověřil a podobným situacím do budoucna zabránil. Apple se zatím veřejně nevyjádřil. Z pohledu zákazníka je to nicméně dobrá připomínka, že odpovědnost za bezpečnost nákupu nese i obchodník, nejen banka a držitel karty.
Hongkong je navíc specifický trh. Nové iPhony tam mají silnou druhotnou hodnotu a existuje tam zavedený řetězec překupníků, kteří zařízení vykupují a posílají dál do pevninské Číny. Podvodně pořízený telefon se tak dá proměnit v hotovost prakticky okamžitě a bez složitého hledání kupce. To z nových iPhonů dělá ideální cíl pro karetní podvody, mnohem atraktivnější než třeba elektronika, která se prodává pomalu.
V Česku je situace v tomhle ohledu poměrně příznivá. Na platby kartou na internetu se u nás vztahuje evropská úprava platebních služeb, která silné ověření zákazníka u většiny transakcí přímo vyžaduje. Pokud tedy platíte kartou vydanou českou bankou, obvykle musíte nákup potvrdit v mobilní aplikaci nebo kódem. Výjimky existují u drobných částek a u některých opakovaných plateb, u nákupu telefonu za desítky tisíc korun se ale neuplatní.
Co s tím můžete udělat jako běžný uživatel? V první řadě pravidelně kontrolovat výpis z karty a nespoléhat na to, že si podvodné platby všimnete sami. Většina bank dnes nabízí okamžitá upozornění na každou transakci a je rozumné je mít zapnutá. Pro online nákupy se vyplatí používat virtuální kartu s nastaveným limitem, případně Apple Pay, kde se obchodníkovi skutečné číslo karty vůbec nepředá.
Na místě je také obezřetnost u toho, kde číslo karty vůbec zadáváte. Ke zneužití údajů obvykle nedojde při samotném nákupu, ale mnohem dřív, třeba při zadání na podvodné stránce. Zrovna teď se například šíří falešná předobjednávková stránka iPhonu Duo, která sbírá mimo jiné uložené přihlašovací údaje.
Případ je zajímavý i tím, jak dobře ukazuje rozdíl mezi bezpečností zařízení a bezpečností celého procesu. iPhone sám o sobě patří k nejlépe zabezpečeným zařízením na trhu, šifruje data, chrání klíčenku a vyžaduje biometrii. To všechno je ale k ničemu, pokud někde na konci řetězce chybí jeden ověřovací krok v platební bráně. Bezpečnost je tak silná jako její nejslabší článek, a tím nebývá hardware.
Uvidíme, jestli Apple na výzvu hongkongské policie zareaguje nějakou změnou. Pravděpodobnější je, že se dodatečné ověření u rizikových objednávek tiše zapne a nikdo se o tom nedozví. Pro poškozené je každopádně podstatné, že transakce byly zrušeny a peníze se vrátily. Pro zbytek z nás je to připomínka, že u kartových údajů platí stejné pravidlo jako u hesel: čím méně míst je zná, tím lépe.
