Σε αντικατάσταση όλων των καρτών που υπήρχαν στο σύστημα “on line” γραφείου παροχής τουριστικών υπηρεσιών στην χώρα μας – περίπου 15.000 σε αριθμό – προχώρησαν οι συστημικές τράπεζες, με αφορμή μερικά μόνον κρούσματα υποκλοπής στοιχείων κατόχων καρτών που έκαναν συναλλαγές με το συγκεκριμένο γραφείο.

Όπως ανέφεραν στελέχη συστημικών τραπεζών στο ΑΠΕ/ΜΠΕ το θέμα που προέκυψε πριν αρκετές εβδομάδες και δεν οφείλεται σε καμία υπαιτιότητα των τραπεζών, οδήγησε για προληπτικούς λόγους στην αντικατάσταση όλων των καρτών που βρισκόντουσαν στο σύστημα της συγκεκριμένης εταιρίας παροχής τουριστικών υπηρεσιών με έδρα την Αθήνα, με αφορμή την υποκλοπή στοιχείων αυτών των καρτών.

Με την αφορμή αυτή στελέχη τραπεζών επαναλαμβάνουν οδηγίες προς τους κατόχους καρτών αλλά και γενικότερα συμβουλές για την σωστή και ασφαλή χρήση των ψηφιακών δικτύων όπως μεταξύ άλλων συχνή αλλαγή του PIN, μη δημοσιοποίηση του κωδικού πρόσβασης σε οποιονδήποτε το ζητήσει, προσοχή στη διάρκεια πληκτρολόγησης του PIN ώστε να μην παρακολουθεί τρίτο πρόσωπο, καθώς και να μην εμφανίζεται ούτε να τυπώνεται το PIN πουθενά.

Το χρονικό της υποκλοπής

Σύμφωνα με ρεπορτάζ που δημοσίευσε η Καθημερινή, πρόκειται για ελληνική εταιρεία που δραστηριοποιείται στον χώρο των online πωλήσεων τουριστικών υπηρεσιών, δηλαδή κρατήσεων αεροπορικών, ακτοπλοϊκών εισιτηρίων, ξενοδοχείων, αυτοκινήτων, ταξιδιωτικών ασφαλίσεων. Αν και τα κρούσματα χρεώσεων πελατών για συναλλαγές που ουδέποτε πραγματοποίησαν ήταν πολύ λιγότερα και συγκεκριμένα μερικές δεκάδες περιπτώσεις, οι τράπεζες υποχρεώθηκαν να λειτουργήσουν προληπτικά και εκτός από την «παρακολούθηση» των εν λόγω καρτών, προχωρούν σταδιακά στην αντικατάστασή τους, ακυρώνοντας σύμφωνα με πληροφορίες όλες τις κάρτες πελατών τους που είχαν ήδη πραγματοποιήσει έστω και μία συναλλαγή κατά το παρελθόν στον σχετικό ιστότοπο.

Η έρευνα εντοπίζεται στο κατά πόσον η εν λόγω επιχείρηση που έχει έδρα την Ελλάδα τηρεί τους κανόνες PCI DSS. Πρόκειται για ένα πρότυπο που έχουν συμφωνήσει τα μεγάλα σχήματα καρτών για την ασφάλεια διαχείρισης στοιχείων συναλλαγών με κάρτες, διασφαλίζοντας ότι όλες οι εταιρείες που δέχονται, επεξεργάζονται, αποθηκεύουν ή μεταφέρουν πληροφορίες καρτών λειτουργούν σε ένα ασφαλές περιβάλλον.

Διευκρινίζεται ότι το συγκεκριμένο πρότυπο επιτρέπει υπό όρους και σε συγκεκριμένες επιχειρήσεις να κρατούν στοιχεία των καρτών των πελατών τους με την προϋπόθεση ότι διαθέτουν την πιστοποίηση PCI DSS και πάντα για συγκεκριμένο χρονικό διάστημα π.χ. έξι μηνών και όχι για μακρύ χρονικό διάστημα.

Στη βάση αυτή η έρευνα που διεξάγεται και αναμένεται να ολοκληρωθεί στα τέλη Μαρτίου, επικεντρώνεται στο εάν η συγκεκριμένη επιχείρηση είχε τη σχετική πιστοποίηση, η οποία θα πρέπει να διευκρινιστεί ότι επικαιροποιείται κάθε χρόνο. Στον βαθμό που διαθέτει τη σχετική πιστοποίηση η έρευνα θα πρέπει να αναδείξει πώς έγινε η διαρροή των στοιχείων των καρτών.

Σημειώνεται ότι για πληρωμές σε περιβάλλον ηλεκτρονικού εμπορίου (e-commerce), απαιτείται από τον εκδότη της κάρτας (π.χ. τράπεζα, ίδρυμα ηλεκτρονικού χρήματος, κ.λπ.), η ισχυρή ταυτοποίηση του κατόχου της και της συναλλαγής του.

Η ισχυρή ταυτοποίηση επιτυγχάνεται μόνο αν χρησιμοποιούνται συνδυαστικά παράγοντες ασφαλείας όπως δακτυλικό αποτύπωμα, κωδικοί e-banking, PIN κάρτας, password, μοναδικός κωδικός μιας χρήσης με μήνυμα sms, κ.λπ. Βασικός κανόνας για την ασφάλεια των online πληρωμών είναι η αποφυγή διενέργειας οικονομικών συναλλαγών πλην του προσωπικού υπολογιστή κάποιου, δηλαδή από χώρους στους οποίους έχουν πρόσβαση πολλοί χρήστες (π.χ. internet café). Οι χρήστες του Διαδικτύου για πληρωμές θα πρέπει επίσης να έχουν απενεργοποιημένη τη λειτουργία «Αυτόματης Καταχώρισης» του browser. Η λειτουργία αυτή αποθηκεύει τους κωδικούς στον υπολογιστή, γεγονός που τους καθιστά έκθετους.

Ως προς τους κωδικούς πρόσβασης που χρησιμοποιεί κάποιος για διαδικτυακές συναλλαγές, αναγκαίο είναι:

• Η συχνή αλλαγή τους.

• Η αποφυγή χρήσης της ημερομηνίας γέννησης, του αριθμού τηλεφώνου ή άλλων προσωπικών στοιχείων που μπορούν να βρεθούν και από άλλα έγγραφα.

• Η αποφυγή χρήσης των ίδιων κωδικών σε περισσότερες από μια ιστοσελίδα, κάρτα κ.λπ.

• Η μη δημοσιοποίηση του κωδικού πρόσβασης σε οποιονδήποτε και υπό οποιεσδήποτε περιστάσεις