Mida peaks kaupmees teadma kaardimaksepettustest?

Rahvusvahelises e-kaubanduses on kaardimaksed üks mugavamaid ja kiiremaid viise tehingute tegemiseks. Samas on need sihtmärgiks ka petturitele, mistõttu on kaardimaksete turvalisus ülioluline. Selles artiklis kirjutame lähemalt, mida peaks kaupmees kaardipettustest teadma, kuidas pettuseid ära tunda ja ära hoida.

Kuidas toimub kaardimaksepettus e-kaubanduses?

DPD 2023. aasta e-kaubanduse uuringu järgi teeb igakuiselt veebioste juba üle poole Eesti elanikkonnast, siinsete hulgi- ja jaemüügi valdkonna ettevõtete e-kaubanduse käive ulatub 4 miljardini. E-kaubanduse tõus toob paratamatult kaasa ka suurema internetimaksete pettuste riski.

Euroopa Pangandusjärelvalve (EBA) andmetel on levinuim kaardipettuste tüüp varastatud kaardi andmete kasutamine. Need andmed saadakse sageli õngitsuskirjade või -kõnede teel, kus petturid manipuleerivad inimesi jagama oma kaardiandmeid, viidates näiteks hädaolukorrale või kiireloomulisele turvaprobleemile. Teine levinud meetod on kaardiandmete kopeerimine, mis toimub sageli makseterminalide kaudu, kus petturid kasutavad seadmeid kaardiandmete salvestamiseks. Lisaks sellele võib pettuse aluseks olla füüsilise kaardi vargus, mille järel seda kasutatakse loata maksete tegemiseks.

Kaupmehele võivad peavalu tekitada ka kaardimaksete tagasinõuded (chargebacks). Petturlikud tagasinõuded on näiteks olukorrad, kus tellija nõuab raha tagasi, väites, et tehing polnud tema poolt volitatud, või et tellitud kaup pole saabunud.

Kuidas pettust ära tunda?

Petturid on nutikad ja kohanevad kiiresti, kuid siiski on nende tegevusel mitmeid tunnusjooni, mida terane kaupmees saab ära tunda ja millele aegsasti reageerida. Vaatleme järgnevalt peamisi ohumärke, mida kaupmehed peaksid kaarditehingute puhul tähele panema.

1. Ebatavaline e-posti aadress. Kui tavaliselt sisaldab e-posti aadress inimese ees- ja perenime, siis petturid kasutavad sageli kiiresti loodud ja juhuslikke e-posti aadresse, et varjata oma tegelikku identiteeti ja vältida jälitamist.

2. Sama IP- ja e-posti aadressiga tehtud tehingute suur hulk. Petturid püüavad tavaliselt kaardil oleva raha kiiresti ära kulutada, enne kui kaardi omanik või panga turvasüsteemid kahtlasele tegevusele jälile saavad.

3. Ebatavaliselt suur tehingusumma. Kaupmehel tasub olla valvas, kui tehingute summa on erakordselt suur või erineb tavapärasest ostumustrist. Petturid eelistavad võimalikult kallist kaupa, et nende tegevus oleks maksimaalselt tulus, enne kui kaardi kasutamine blokeeritakse.

4. Ostja asukoht erineb kaardiandmetest. Lisa tähelepanu peaks pöörama, kui ostja asukohariik või tarneaadress ei ühti kaardi väljaandja riigi omaga. Petturid kasutavad sageli vale või ajutist aadressi või suunavad tellimused kolmandatesse riikidesse, kus jälgimine on raskem.

5. Kullerteenuse eelistamine. Petturid valivad tihti kiireima tellimuse kättetoimetamise viisi, kuna nende eesmärk on kaup kätte saada nii kiiresti kui võimalik, enne kui kuritöö avastatakse.

Kahtlase tegevuse avastamisel on kaupmehel mitu võimalust olukorra lahendamiseks. Esmalt võib kliendiga ühendust võtta, et kontrollida andmeid ja ennetada võimalikke probleeme. Kui see ei anna tulemusi, saab kahtlase tehingu tagasi lükata ning jätta kauba välja saatmata. Soovitatav on, et selline õigus oleks selgelt kajastatud e-poe kasutustingimustes.

Kui tekib kahtlus kaardiandmete varguse kohta, tuleb kindlasti teavitada kaardi väljastanud panka.

Meetmed kaardimaksete turvalisuse suurendamiseks

Kaardimaksete turvalisuse tõstmiseks on kasutusele võetud mitmeid meetmeid, millest üks on kaardi CVC-kood. CVC-kood (Card Verification Code) on kaardi tagaküljel asuv kolmekohaline turvakood, mida kasutatakse veendumaks, et makse sooritajal on kaart füüsiliselt käes. See aitab vähendada pettusi, kus kaardiandmed on varastatud, kuid kaarti ennast ei ole.

Euroopa Liidus kasutatakse lisaks CVC-koodile ka 3D Secure (3DS) turvaprotokolli, mis lisab kaardimaksetele täiendava kaitsekihi. See tähendab, et kaardiomanikult nõutakse lisa autentimist (tugev autentimine), näiteks mobiilile saadetud kinnituskoodi sisestamise või internetipanka sisselogimise teel. Tasub tähele panna, et 3DS on kohustuslik ainult Euroopa Majanduspiirkonnas (EMP). See tähendab, et osteldes mõnes Eesti e-poes on 3DS autentimine nõutud, kuid sellist lisakontrolli ei pruugi olla suurtel rahvusvahelistel platvormidel, nagu näiteks AliExpress. Tasub teada, et juhul kui tehing on sooritatud varastatud kaardiga, kuid siiski kinnitatud 3DS-i abil, läheb vastutus pettuse eest kaupmehelt üle kaardi väljastanud pangale.

Uuemad makselahendused, nagu Apple Pay ja Google Pay, pakuvad kaardimaksetele veelgi turvalisemat alternatiivi. Need ei kasuta 3DS-i tavapärasel kujul, vaid tuginevad seadmes olevatele autentimismeetoditele, nagu Face ID või sõrmejälje tuvastus. Selline lähenemine raskendab kaartide väärkasutamist. Samuti on varastatud kaardi lisamine telefoni Walletisse keeruline, kuna protsess eeldab täiendavat kinnitusprotsessi panga veebikeskkonnas.

Euroopa Pangandusjärelevalve andmed näitavad, et kaardimaksete pettuste risk on märkimisväärselt suurem väljaspool Euroopa Majanduspiirkonda tehtud tehingute puhul, kus tugeva autentimise nõuded ei pruugi kehtida. Üldiselt esineb piiriüleste tehingute puhul pettuseid oluliselt rohkem kui kohalike maksetega.

Kuidas tagada turvalised tehingud?

Maksekeskuse kliendid võivad olla kindlad, et nende maksed on turvalised – seda kinnitab meile omistatud maksekaarditööstuse andmeturbe standardi (PCI DSS) turvasertifikaat. PCI DSS esimese taseme nõuetele vastamine näitab, et järgime kõige rangemaid turvanõudeid ning tagame kaardimaksete kaitse kõrgeimal võimalikul tasemel. Täiendava turvalisuse huvides on Maksekeskuse kaudu tehtavate kaardimaksete limiit seatud 1000 eurole tehingu kohta.

Siiski on kaardimaksete puhul veebipoe omanikul vaja olla tähelepanelik. Kõik e-poes tehtud tehingud on kaupmehe vastutusel ja seega peab ta tegema kõik võimaliku, et vältida tehinguid, mis ei ole algatatud kaardi omaniku poolt. Oluline on järgida “tunne oma klienti”põhimõtet – jälgida ostjate ja tellimuste teavet, ning säilitada tehinguid tõendavad dokumendid. Kauba kohaletoimetamisel, või kui klient tuleb sellele ise järele, on kindlasti vaja küsida allkirja – see on ainus viis tõendada, et kaup on ostjale üle antud. Kui kaup on tellitud pakiautomaati, loetakse see üleantuks pärast seda, kui klient on sisestanud kapi uksekoodi.

Veebipoe omanik saab reguleerida ka seda, millistele turgudele ta kaupa välja saadab. Regionaalsete piirangute seadmine võib olla tõhus pettuse riski maandaja.

Kaardipettused on e-kaubanduses risk, kuid teadlikkus ja õiged meetmed aitavad seda minimeerida. Kaupmehed saavad end ja oma kliente kaitsta, rakendades turvameetmeid ning järgides „tunne oma klienti“ põhimõtteid. Meie Maksekeskuses aitame kaupmehi pakkudes turvalist ja usaldusväärset maksesüsteemi, mida toetab PCI DSS sertifikaat ja 3D Secure protokolli kasutamine.