Zloději okrádají řidiče na benzínkách. Pomocí kuličky alobalu natankují na váš účet
Na benzínkách ve Francii se objevil nový podvod. Pachatelé vloží do držáku pistole alobal, který znemožní ukončení transakce. Pak natankují na váš účet palivo až za 3750 korun, a to bez PIN kódu.
Trik za tisíce korun: Alobal znemožní ukončit platbu
Pátek 3. dubna, čerpací stanice Hyper U v městečku Challans na západě Francie. Řidič přiloží kartu k samoobslužnému stojanu, zadá PIN, natankuje a odjede. Netuší, že v držáku tankovací pistole leží malý smotek alobalu. Ten brání pistoli správně dosednout, takže stojan nezaznamená ukončení tankování. Karetní transakce zůstává otevřená.
Stačí několik desítek sekund: další člověk přijde ke stejnému stojanu, zvedne pistoli a natankuje palivo na účet zákazníka, který právě odjel. Nepotřebuje jeho kartu ani PIN. Využívá již autorizovanou platbu, která se formálně neuzavřela, a může čerpat palivo až do vyčerpání zbývajícího předautorizačního limitu – v tomto případě 150 eur, tedy zhruba 3750 Kč.
Incident v Challans se naštěstí podařilo odhalit včas díky všímavému řidiči, který obsluze nahlásil potíže s vrácením pistole. Vedoucí stanice Christophe Grondin následně na stojany umístil varovné cedule a potvrdil, že zbývající část předautorizované sumy může nepozorovaně vyčerpat někdo jiný, pokud převezme pistoli „velmi rychle“.
Proč pachatelé nepotřebují PIN a jak podvod funguje
Celý podvod stojí na jednom principu: samoobslužné stojany ukončují karetní transakci až ve chvíli, kdy zaznamenají vrácení pistole do držáku. K tomu slouží mechanický nebo bezkontaktní snímač. Když pistole správně dosedne, řídicí systém stojanu vyhodnotí tankování jako ukončené a předá údaje potřebné k vypořádání platby. Alobal v držáku může tento signál narušit, takže systém dál považuje tankování za probíhající.
PIN se přitom zadává pouze při původní autorizaci karty. Samoobslužné pumpy používají takzvanou předautorizaci: banka nejprve ověří, zda má zákazník na účtu dostatek prostředků nebo volného úvěrového limitu, a příslušnou částku zablokuje. Po ukončení tankování se následně zaúčtuje skutečná cena paliva.
Pachatel tedy nezadává novou platbu. Pokračuje v odběru paliva v rámci již autorizované transakce. Technická dokumentace výrobce stojanů Gilbarco uvádí výchozí autorizační timeout 60 sekund. Po tuto dobu tak systém může nechat transakci otevřenou, než ji sám ukončí.
Nejde přitom o skimming, tedy o kopírování dat z magnetického proužku karty. Nejde ani o phishing, ani o krádež karetních údajů. Pachatel nemusí mít vaši kartu v ruce ani kopírovat její data. Podvod se odehrává na úrovni fyzického signálu stojanu a způsobu, jakým systém vyhodnocuje konec tankování.
Podvodníci tento trik využívají převážně v noci nebo v obdobích s nízkým provozem, kdy se mohou kolem stojanů pohybovat bez větší pozornosti okolí.
Hrozí stejný podvod i v Česku?
Ve veřejně dostupných zdrojích se nepodařilo dohledat český případ stejného triku s alobalem. To ale neznamená, že by jej nebylo možné technicky zopakovat. Samoobslužné čerpací stanice s předautorizací totiž běžně fungují i v Česku.
Kancelář finančního arbitra ve svém slovníku pojmů výslovně uvádí samoobslužné čerpací stanice jako typické místo, kde se předautorizace používá. ORLEN ve svém manuálu pro tankování rozlišuje standardní čerpací stanici s obchodem a samoobslužnou čerpací stanici s předautorizací. U druhé varianty si řidič nastaví maximální částku a po ukončení tankování se zaúčtuje skutečná cena.
ČSOB u služby Tankuj popisuje podobný princip: zákazník zvolí částku v rozmezí 100 až 10 000 Kč, banka ji zablokuje a po dokončení tankování se zaúčtuje skutečná útrata. Samoobslužná stanice ORLEN uvádí v manuálu příklad s předautorizací 5500 Kč.
Princip předautorizace je tedy podobný jako ve francouzském případě. Konkrétní limity se ale liší podle provozovatele a použitého systému. Univerzální český limit neexistuje. Záleží na konkrétní síti a platebním systému. Samotná předautorizace ale představuje podobný princip, a proto stojí za to věnovat pozornost tomu, zda stojan tankování skutečně ukončil.
Jak se bránit přímo u stojanu
Nejslabším místem celého řetězce není zabezpečení karty ani šifrování platby. Je jím okamžik, kdy po tankování odcházíte od stojanu. Právě tehdy má prevence největší smysl.
- Zkontrolujte držák pistole před tankováním. Pokud v něm něco překáží – například smotek alobalu, papír nebo jiný neobvyklý předmět – odstraňte to, případně použijte jiný stojan a upozorněte obsluhu.
- Po tankování se ujistěte, že pistole správně dosedla. Neodcházejte, dokud ji nevrátíte do držáku a stojan nepotvrdí ukončení tankování. Samotné kliknutí nemusí být u všech typů stojanů spolehlivým potvrzením.
- Vyžádejte si účtenku. Její vytištění může být užitečným signálem, že stojan tankování ukončil. Pokud ji stojan nevydá, ověřte na displeji, zda je proces skutečně dokončen.
- Zkontrolujte částku na výpisu. Pokud se konečná zaúčtovaná suma liší od ceny natankovaného paliva, ověřte, zda nejde pouze o dočasnou blokaci předautorizované částky.
Zní to banálně, ale právě proto může trik fungovat. Lidé po natankování často jednoduše odjedou, aniž by se přesvědčili, že stojan celý proces správně ukončil.
Co dělat, když vám strhli víc peněz
Pokud na výpisu najdete vyšší částku, než odpovídá vašemu tankování, nejprve rozlište dvě situace. Dočasně blokovaná částka v rámci předautorizace se může lišit od konečné ceny. To je běžné a banka blokaci po vypořádání transakce zpravidla uvolní. Pokud je ale i konečně zaúčtovaná částka vyšší, než kolik jste skutečně natankovali, můžete platbu reklamovat.
Kontaktujte banku – uveďte datum, čas, částku, místo tankování a případně autorizační kód z účtenky. Požádejte o chargeback – jde o reklamační proces, prostřednictvím kterého lze za určitých podmínek požádat o vrácení peněz za karetní transakci. Komerční banka při reklamaci požaduje příslušný formulář a doklad o transakci z internetového bankovnictví. ČSOB i Air Bank popisují chargeback jako standardní nástroj pro řešení některých sporných karetních plateb.
Uschovejte účtenku – může posloužit jako důkaz o místě a částce tankování. Global Payments ji rovněž uvádí mezi důležitými podklady při reklamaci karetní transakce. Pokud dočasně blokovaná částka nezmizí ani po sedmi dnech, ČSOB doporučuje kontaktovat banku a poskytnout jí údaje o transakci. Doba uvolnění blokace se ale může lišit podle banky, provozovatele a konkrétního platebního systému.