Bankomaty, platební karty a trestná činnost

Typický bankomat ve svých útrobách shromažďuje hotovost o hodnotě (průměrně) kolem jednoho milionu korun. Proto se tedy jak samotný bankomat, tak případně klienti, kteří z něj zrovna vybírají, stávají cílem pachatelů trestné činnosti. Podle evropského úřadu ENISA dochází ročně ke ztrátám v objemu kolem 12 mld. korun a trestná činnost tohoto typu zažívá prudký nárůst.^[1]

V některých případech jsou „obětí“ pouze data o platební kartě (zejména PIN kód potřebný k uskutečnění transakce), jindy se jí stává její držitel, v některých případech celý bankomat.

Krádeže bankomatů

V několika případech došlo k odcizení samotného bankomatu. Typicky zločinci k vytipovanému bankomatu (takovému, který stojí samostatně a není zabudován do zdi) přijedou s (většinou silnějším nebo nákladním) automobilem, na jehož zadní část mají připevněno pevné lano, jehož druhý konec upevní kolem bankomatu, a následně bankomat vyrvou ze své instalace a odjedou s ním, táhnouce jej za vozidlem, popřípadě jej pár stovek metrů od místa činu naloží na korbu.

Bankomaty, které mají být přístupné běžně „z ulice“, jejich zřizovatelské banky instalují zabudované do zdi, tak, aby pro zloděje nebylo možné je ničím obmotat či jinak zajistit. Nacházejí se i samostatně stojící bankomaty, ty jsou ale instalovány uvnitř jiných prostor (například nákupních center, lobby či ve vstupních halách samotných bank, pojišťoven či jiných institucí nebo ve vyšších patrech jiných budov). Přesto v několika případech měli zloději tu drzost probourat si cestu k bankomatu i přes skleněné dveře, které jsou nejčastěji u obchodních domů a lobby bankovních poboček.

Tento hrubý trestný čin bývá vždy prováděn organizovanou skupinou a většinou je dobře vytipován a naplánován. Typicky k němu dochází na ne příliš rušných a sledovaných místech a za tmy. Jeho nevýhodou je to, že zákonitě způsobí hluk a přivolává pozornost případných lidí v okolí; v případě probourání se k bankomatům uvnitř zabezpečených prostor (které bývají i sledovány kamerovým systémem) se navíc okamžitě spouští alarm, přivolávající policii. Výhodou bývá to, že v případě úspěchu padne zločincům do rukou celý obsah hotovosti, který je v bankomatu umístěn.

Dostatečným řešením proti odcizení bankomatů by mohla být instalace trackovacího zařízení, které by dokázalo hlásit svou polohu jeho zřizovatelské bance či policii, nebo zařízení pro znehodnocení bankovek permanentní barvou v případě zjištění násilné manipulace s bankomatem.

Krádeže platebních karet

Kapsáři ve svém lupu (v příručních a nákupních taškách, v peněženkách) nezřídka nacházejí i platební kartu. K jejímu zneužití (tedy výběru hotovosti) však potřebují kód PIN. V některých neuvážených případech jej lidé nechávají napsaný na papírku v peněžence nebo dokonce přímo na kartě, čímž výběru peněz zlodějem již nestojí nic v cestě. Ve většině ostatních případech je krádež karty cílená a kombinovaná s některým ze způsobů zjištění PIN kódu v okamžiku, když jej klient banky zadává.

Naopak, je-li (jedním z níže uvedených způsobů) nejdřív zjištěn PIN kód, může být výběr proveden též z vyrobeného plagiátu karty^[2] a to (po odeslání citlivých dat elektronickou formou) i z bankomatu v jiné zemi, vzdáleného stovky kilometrů od místa, kde k odcizení dat došlo.

Skimovací zařízení

Pachatelé trestné činnosti taktéž do bankomatů instalují tzv. skimovací zařízení (z angl. data skimming – sbírání dat), které jsou schopny zjistit PIN kód při běžném použití bankomatu. Skládá se z části, která umí číst magnetické karty při jejich vložení do bankomatu, a zařízení, které dokáže snímat PIN kód zadaný uživatelem bankomatu. Tím je buď nainstalovaná minikamera nebo upravená klávesnice. Podle policie ČR se případy skimmingu v Česku vyskytují zejména v Praze a Středočeském kraji.^[3] Zvláštností této metody je to, že nemusí dojít k fyzickému odcizení karty či jakémukoli násilí – pachatel se ke své oběti vůbec nemusí ani přiblížit a naopak, oběť se o tom, že byla okradena, může dozvědět až o týdny později, z výpisů z účtu. I přesto jde o podvod, za který v Česku hrozí 5 až 10 let vězení.^[4] Podle policie jsou skimovací zařízení nejčastěji instalována ve velkých městech, zejména v Praze, a paradoxně do důvěryhodně působících bankomatů přímo u bankovních poboček, nezřídka sledovaných kamerami.^[5] V Česku bylo v roce 2007 zaznamenáno 54 případů „útoků na bankomaty“ v porovnání z přibližně 7000 případy zneužití platebních karet,^[2] v Evropě o rok později bylo případů skimmingu více než 10 tisíc.^[1]

Na skimmingu z bankomatů podle informací policie pracují dobře sehrané gangy, působící mezinárodně, s přesně rozdělenými rolemi.^[4] K odčerpání peněz většinou dochází v jiné zemi, než ve které byly údaje o platební kartě odcizeny, a nemusí jít nutně o výběr hotovosti z bankomatu – může být použit k zaplacení zboží nebo úhradě či rezervaci služby, která je případně vzápětí (po dohodě s jejím nic netušícím poskytovatelem) stornována a částka následně přeposlána na anonymní účet.

Skimovací zařízení ve vstupu pro kartu

Jedná se o zařízení, které dokáže přečíst data z magnetických platebních karet a buďto je zaznamenat do paměti nebo je následně posílá (např. formou SMS) pachateli.^[4] Aby mohlo fungovat, musí být toto zařízení instalováno přímo do otvoru pro kartu. Je těžko rozpoznatelné – běžný uživatel bankomatu si pravděpodobně ničeho podezřelého nevšimne.

Jako ochranu proti tomuto „skimmingu“ banky instalují tzv. antiskimovací zařízení. Otvor pro vložení karty je vybaven plastovým nástavcem, který instalaci skimovacího zařízení fyzicky znemožňuje. Bývá buď stříbrné barvy nebo v podobě zeleného poloprůhledného plastu (u kterého by přítomnost cizího zařízení byla hned vidět). Podle policie ČR tato antiskimovací zařízení nemají 100% funkčnost,^[4][6] ale v současnosti mají být nainstalovány na všech bankomatech v České republice^[4] (instalace hromadně probíhala v roce 2007 v reakci na vzestup skimmingu).^[6]

Vhodným opatřením proti podlehnutí tomuto typu podvodu tedy je vždy zkontrolovat existenci tohoto antiskimovacího zařízení u bankomatu a v případě zjištění čehokoli podezřelého kontaktovat policii.

Toto skimovací zařízení dokáže skenovat každou platební kartu s magnetickým proužkem – novější karty s elektronickým čipem přečíst nedokáže (Aktualizace 2010: Zdá se, že již dokáží skimovat i karty s čipem). Banky proto již několik let při expiraci karet svých klientů vydávají tyto nové čipové karty. Protože však nelze zaručit, že každý bankomat na světě je vybaven jen čtečkou čipu (zejména v USA, Kanadě apod. jsou bankomaty vybaveny pouze čtečkou magnetického proužku), vydávají banky platební karty s čipem, ale současně na zadní straně karty je k záznamu dat použit magnetický proužek - tzv. hybridní platební karty. Dalším problémem je umístění čtečky čipu v bankomatu. Pokud je totiž umístěna tak, že platební karta musí projít nějakým otvorem do bankomatu, je pravděpodobné, že pachatelé na tento otvor umístí nástavec s vlastní čtečkou a opět si mohou data z magnetického proužku nahrát. Ideální by zřejmě byla platební karta pouze s čipem, která by se používala bezkontaktním způsobem s čtecím zařízením na bankomatu.

Falešné klávesnice

Jiným trikem pro zjištění PIN kódu je manipulace s numerickou klávesnicí, která k jeho zadání slouží, popřípadě celou spodní deskou (pultíkem) bankomatu.^[7] A to buď použitím speciální fólie, na klávesnici umístěné,^[zdroj?] která umožňuje buď zjištění zadaných číslic kódu (bez anebo i včetně jejich pořadí), nebo přímo vyjmutí klávesnice a instalování její přesné kopie se „štěnicí“, která by sled stisknutých kláves (a s nimi potažmo i zadaný PIN kód) dovedla zjistit.

Klávesnice (stejně jako ostatní části bankomatu) jsou záměrně konstruovány bytelně a proti jakékoli neautorizované manipulaci. Pokud je zároveň součástí bankomatu i bezpečnostní kamera, demontáž/montáž klávesnice jako i pravděpodobnost úspěchu výsledného podvodu to pachateli znemožní nebo velmi ztíží.

Termální otisk

V případě vyťukání PINu na klávesnici u bankovního terminálu (typicky ve frontě na bankomat nebo v supermarketu s možností platit kartou) lze po následném nasnímání klávesnice pomocí infrakamery zjistit nejen, jaké číslice byly zmáčknuty, ale i v jakém pořadí (poslední stisknuté mají silnější termální otisk). Uváděná pravděpodobnost úspěšného zjištění čtyřčíselné kombinace je 85 % a termální otisk lze zaznamenat až řádově minutu po použití.^[8] Nejméně nápadná infrakamera má podobu krytu na iPhone a lze ji běžně koupit (i anonymně).

Opatřením, které zásadně snižuje uhádnutí PINu tímto způsobem, je při nebo těsně po jeho zadání přiložit prsty na náhodné zbylé klávesy.

Mikrokamery sledující zadávání PIN kódu

V několika případech (např. před několika lety v Kladně-Rozdělově) se pachateli nebo pachatelům trestné činnosti podařilo instalovat přímo do bankomatu miniaturní kameru, která dokázala sledovat zadávání PIN kódů uživateli bankomatu.

Proti tomuto způsobu zjištění PINu se doporučuje krýt si ruku při jeho zadávání druhou rukou, popř. čepicí, peněženkou či jiným předmětem. Toto doporučení je účinné i proti možnosti, že zadávání PIN kódu se bude snažit sledovat jiná osoba.

Falešný bankomat jako takový

O případech celých falešných bankomatů se okrajově zmiňuje článek on-line verze Lidových novin v rubrice byznys (resp. toliko o tom, že se tyto případy vyskytly).^[1]

Dočasné znepřístupnění výdeje bankovek

Jako další trik pro okradení uživatelů bankomatů (konkrétně těch typů, které vracejí kartu před vydáním hotovosti) byl odhalen postup, kdy zloděj nejdříve záměrně dočasně zaklíní či jinak znemožní funkčnost té části bankomatu, která se stará o fyzický výdej přepočítaných bankovek klientovi (v jednom případě z Prahy byla použita hliníková deska s lepicím papírem).^[9] Když potom jeho „oběť“ projde procesem výběru hotovosti a bankomat jí vydá kartu a nakonec chce předat hotovost, vlivem záměrně způsobené poruchy tak nemůže učinit. Pokud klient během typicky 1–2 minut, po které mu bankomat hotovost nabízí, zpanikaří a od bankomatu odejde, má zloděj možnost přijít, odblokovat výdej hotovosti a tu pak neoprávněně odebrat.

Dostatečnou prevencí proti tomuto triku je o jeho existenci vědět (jako též o skutečnosti, že bankomat hotovost nabízí jen omezenou dobu, po jejímž uplynutí hotovost zasune zpět a transakci stornuje). Klient by po tuto dobu měl zůstat u bankomatu, případně zavolat na u něj uváděné servisní číslo pro oznámení poruchy, nebo policii. Vzhledem k tomu, že pachatel u této metody musí být fyzicky poblíž, aby mohl následně hotovost vybrat, je v takovém případě vhodné všimnout si a zapamatovat si podobu osob, které se v takovém případě v okolí nacházejí.

Oloupení samotného uživatele bankomatu

Postupem, který zloději taktéž dokáže zpřístupnit hotovost, kterou si jeho oběť vybrala z bankomatu, je buď jeho přepadení poté, co výběr již proběhl, nebo přinucení jeho oběti, aby tento výběr učinila. Od předchozích zločinů se liší jednak tím, že PIN může po celou dobu zůstat zločinci neznámá, ale především tím, že se jedná o násilný trestný čin s vyššími sazbami a větší „společenskou nebezpečností“ (a přitom menším lupem než při odcizení samotného bankomatu, při kterém nemusí být nikomu vyhrožováno násilím), a též nutně musí dojít ke kontaktu mezi pachatelem a obětí, která jej tímto může popsat či později identifikovat.

Přepadení po výběru z bankomatu

Případy loupežného přepadení oběti, která právě využila služeb bankomatu, mají pro zločince stejné parametry jako přepadení náhodné oběti – pouze s větší pravděpodobnosti, že jeho oběť bude mít u sebe vyšší hotovost. Výhoda spočívá v tom, že si násilník může (v rámci cesty, kterou jeho oběť od výběru urazí) vybrat místo, na kterém k přepadení dojde. Nevýhoda je v tom, že jeho oběť většinou nevybrala maximum z toho, co mohla, popřípadě nemusela bankomat použít k výběru hotovosti vůbec.

Přepadení při výběru z bankomatu

Výběr z bankomatu může být též pro jeho uživatele znepříjemněn tím, že mu předchází únos, popřípadě k němu zločinec přistoupí při vložení bankovní karty a pod pohrůžkou násilí jej donutí vybrat hotovost, kterou následně odcizí. Oproti přepadení „ex post“ má tento zločin výhodu v tom, že může své oběti přikázat výběr maximální (tj. limitní denní nebo týdenní) částky. Nevýhoda spočívá v tom, že se celý trestný čin musí odehrát u bankomatu – nikoli v některé tmavé postranní uličce, kde by mohl zůstat nezpozorován. Proto k němu dochází spíše za tmy a nezřídka před půlnocí, kdy si zločinec může od své oběti vynutit zopakování výběru pro další den a tím obejít omezení denního limitu.

Bezkontaktní karty

Některé karty vybavené bezkontaktním čipem RFID mohou umožňovat čtení bez nutnosti fyzicky odcizit samotnou kartu. Data o kartě mohou být rychle zkopírována na jinou programovatelnou čipovou nebo magnetickou kartu a ta následně použita k platbě nebo službě cashback (čerpání z karty na pokladnách některých obchodů, kde vybíraná částka je vyšší než účet a zbytek je vyplacen zákazníkovi jako hotovost).^[10] Podle reportáže Channel 13 s Waltem Algostinowitzem, specialistou na bezpečnostní zabezpečení kreditních karet, stačí k přečtení informací na kartě vybavení, jež lze objednat a koupit na internetu do 100 dolarů,^[11] podle Thomase Skory, německého bezpečnostního experta, dokonce běžný smartphone vybavený technologií NFC.^[12]

Není známo, že by šlo bezkontaktně odcizit i PIN klienta, přesto existuje řada situací (zejména pro malé platby), kde zadání PINu není vyžadováno. Banky mají většinou nastavena pravidla, kdy, tedy po kolikáté bezkontaktní platbě, vyžadovat PIN, bez ohledu na částku. Tato pravidla jsou ale u každé banky jiná, nejsou nijak sjednocena je možné, že v některých případech tento limit není nastaven.

Prevencí proti bezkontaktnímu přečtení karty je nosit ji ve speciálním pouzdře, které ji proti přečtení dokáže blokovat.

Phishing

Odkazy

Reference

Externí odkazy

• Policie varuje před podvody při výběru z bankomatů
• Nový trik vykradačů bankomatů: zalepení otvorů na peníze
• Skimming, Na stopě, ČT
• Beware of these Insane ATM Scams, ukázky skimovacích zařízení