Злив карток і податкових номерів: які 4 правила захистять ваші гроші після візиту до "Укрпошти"

Конкретні поради юриста, як убезпечити себе

Квитанцію з "Укрпошти" не можна викидати у смітник за жодних обставин через нове правило, яке перетворило простий папірець на потенційну зброю в руках аферистів. Підприємство відреагувало на обурення громадян і трохи пом'якшило норму, але повністю ризики не зникли. Наразі є кілька методів убезпечити себе від них.

"Телеграф" поговорив з юристом, який спеціалізується на фінансових ризиках та захисті персональних даних, який прокоментував ситуацію і дав кілька порад.

"Ідеальна база для вішингу": як шахраї використовують чек

"Укрпошта" з 1 серпня почала друкувати на паперових чеках повне ім'я, податковий номер і номер банківської картки клієнтів. Дані з'являються на квитанціях за пенсію, комуналку та посилки, а викинутий папірець тепер теоретично може стати інструментом для шахраїв.

Про те, чому на чеках взагалі з'явилися ці дані і хто в цій суперечці правий — "Укрпошта" чи Нацбанк, "Телеграф" детально розповідав у матеріалі "Не викидайте чек! Чим небезпечне нове правило Укрпошти і як захистити свої гроші".

Після гучного скандалу і резонансу в мережі Укрпошта повідомила, що частково відмовляється від цієї практики. На чеках за оплату комунальних послуг — газу, води, тепла та електроенергії — персональні дані друкувати більше не будуть, податковий номер для таких платежів не потрібен. Утім на решті чеків інформація нікуди не зникла:

• поповнення банківських карток;
• грошові перекази;
• оплата післяплати (COD);
• поповнення рахунків мобільних операторів;
• оплата за встановлення лічильника, інтернет, дитсадок, школу та інші послуги, які не належать до комунальних.

Але найбільша небезпека криється не в самому папірці, а в тому, що з ним можна зробити далі. Тарас Ковальський, керівник корпоративної практики, партнер компанії "Алєксєєв, Боярчуков та партнери", в ексклюзивному коментарі "Телеграфу" пояснив, що йдеться про порушення базових світових протоколів безпеки.

За словами Ковальського, такий чек — готова база для вішингу, тобто телефонного шахрайства. Схема виглядає так:

• шахрай телефонує людині і звертається до неї на ім'я;
• називає її податковий номер та повний номер картки, щоб викликати довіру;
• жертва вірить, що говорить із "службою безпеки банку" чи навіть НБУ;
• зловмиснику залишається лише виманити CVV-код, термін дії картки або одноразовий пароль з SMS.

Чому не варто залишати чек на касі

Українці звикли залишати квитанції прямо біля кас або викидати їх у смітники поруч із відділеннями. Саме це, за словами експерта, і робить чек небезпечним навіть без жодного зламу баз даних.

Найгірший сценарій: спустошена картка і кредит на чуже ім'я

Ковальський виділяє два найгірші варіанти розвитку подій. Перший — зловмисники за допомогою вішингу виманюють код підтвердження і списують усі кошти з картки, номер якої вже знають.

Другий сценарій стосується не картки, а особистих даних загалом. Маючи ПІБ та ІПН, шахраї можуть спробувати оформити онлайн-кредит у недобросовісних МФО, де вимоги до ідентифікації занижені, або спробувати перехопити мобільний номер жертви, щоб отримати доступ до онлайн-банкінгу.

Чи законно це взагалі: PCI DSS, GDPR і позиція НБУ

На запитання, чи відповідає ситуація законодавству про захист персональних даних, Ковальський відповідає прямо: вимоги НБУ, на яку посилається "Укрпошта", просто не існує.

За його словами, друк відкритого номера картки прямо суперечить одразу трьом нормам:

1. міжнародному стандарту безпеки платіжних карток PCI DSS, який вимагає маскування номера (наприклад, 4149 49** **** 1234);
2. Положенню НБУ №164;
3. принципу мінімізації даних із GDPR та українського законодавства, згідно з яким дані можна виводити лише в мінімально необхідному обсязі.

Проблема, каже юрист, лежить в ІТ-площині самої компанії: під час оновлення процесів термінали просто не налаштували маскування даних і "випльовують" на папір усе, що є в базі транзакції.

Як можна було уникнути ситуації

На думку Ковальського, досягти цілей фінансового моніторингу можна було без ризику для клієнтів — саме так уже працює решта банківського ринку України. Для цього достатньо було:

• оновити програмне забезпечення кас, щоб номер картки автоматично маскувався зірочками, залишаючи лише останні чотири цифри;
• не друкувати податковий номер при звичайній безготівковій оплаті комуналки, адже закон цього не вимагає;
• запропонувати клієнтам електронні чеки через SMS, Viber чи застосунок — закон не зобов'язує видавати документ лише на папері.

Що робити клієнтам "Укрпошти" просто зараз

Юрист радить не панікувати, але поставитися до чека серйозно:

1. Відмовлятися від друку чека, якщо є така можливість, і обирати електронний варіант.
2. Не залишати квитанції на касі та не викидати їх у загальнодоступні смітники біля відділень.
3. Знищувати непотрібні чеки вдома — подрібнити або спалити, а не викинути на вулиці.
4. Не називати телефоном код із SMS, CVV чи термін дії картки, навіть якщо співрозмовник знає ваше ім'я, ІПН і номер картки — справжній банк цих даних по телефону не питає.

Ковальський переконаний: своєю публічною позицією "Укрпошта" фактично спровокувала на себе позапланову перевірку Нацбанку.

Поки регулятор перевіряє компанію, дані клієнтів на чеках продовжують друкувати, а коли ситуація зміниться — поки невідомо.