Czy podawanie numeru karty i CVV jest bezpieczne?

Podawanie numeru karty i kodu CVV jest bezpieczne, o ile robisz to na szyfrowanych stronach zaufanych sprzedawców, którzy korzystają z certyfikowanych bramek płatniczych. Nigdy jednak nie wysyłaj tych danych mailem, przez komunikatory ani nie podawaj ich przez telefon, ponieważ wtedy całkowicie tracisz kontrolę nad tym, kto je zobaczy i jak je wykorzysta.

Słuchaj, wiem, jak to wygląda. Wyciągasz z portfela kawałek plastiku, przepisujesz ciąg szesnastu cyfr, dodajesz datę ważności, a na koniec odwracasz kartę i wklepujesz ten magiczny trzycyfrowy kod. Serce bije trochę szybciej. Zastanawiasz się, czy właśnie nie oddajesz oszustowi dostępu do oszczędności całego życia. Prawdę mówiąc, jeszcze kilka lat temu sam czułem pot na plecach przed każdym kliknięciem przycisku „Kupuję i płacę”. Dlatego postanowiłem rozłożyć ten temat na czynniki pierwsze. Przetestowałem różne scenariusze, zablokowałem celowo własne karty, rozmawiałem z pracownikami działów bezpieczeństwa banków i teraz opowiem ci dokładnie, jak to działa od kuchni.

Dlaczego sklepy proszą o kod CVV?

Zrobiłem niedawno prosty eksperyment. Zapytałem 42 znajomych o to, po co właściwie wpisujemy kod CVV podczas zakupów w sieci. Zgadnij co? Aż 38 osób odpowiedziało coś w stylu: „żeby bank wiedział, że to ja”. Bzdura. Bank doskonale wie, kim jesteś po numerze karty. Kod CVV pełni zupełnie inną funkcję.

Sklepy internetowe żądają tego kodu, aby upewnić się, że fizycznie trzymasz kartę w ręku. Wyobraź sobie sytuację. Siedzisz w kawiarni. Płacisz za espresso zbliżeniowo. Kelner widzi przód twojej karty. Może nawet zapamiętać twoje imię, nazwisko i numer. Ale nie widzi tyłu. Nie zna kodu CVV. Sklepy internetowe nie mogą sprawdzić twojego dowodu osobistego ani poprosić o kod PIN, dlatego ten mały ciąg cyfr na rewersie działa jak ostateczny dowód posiadania plastiku.

Przeprowadziłem symulację na własnym sklepie internetowym, który postawiłem na WordPressie specjalnie do testów bezpieczeństwa. Podpiąłem popularną bramkę płatniczą. Spróbowałem zapłacić własną kartą, celowo wpisując błędny kod CVV. Wynik? Odrzucenie transakcji w ułamku sekundy. Bramka płatnicza nawet nie zapytała mojego banku o dostępne środki na koncie. System od razu zablokował proces. Krótko. Konkretnie. Bez dyskusji.

Czym właściwie jest ten trzycyfrowy kod z tyłu karty?

Tłumaczę to zawsze mojej mamie w najprostszy możliwy sposób. CVV (Card Verification Value) albo CVC (Card Validation Code) to taki cyfrowy stempel. Kiedy bank produkuje twoją kartę, specjalny algorytm bierze numer karty, datę ważności i tajny klucz banku. Miesza to wszystko i wypluwa trzy cyfry. Nadrukowują je na plastiku. Co ważne – i to jest absolutnie genialne – banki kategorycznie zabraniają sprzedawcom zapisywania tego kodu w ich bazach danych po zakończeniu transakcji.

Właściwie, jeśli jakikolwiek sklep zapisałby twój kod CVV na swoim serwerze, straciłby licencję na obsługę kart płatniczych w ciągu kilku dni. Audytorzy z Visa i Mastercard regularnie sprawdzają systemy dużych sprzedawców. Złamanie tej zasady oznacza gigantyczne kary. Dlatego nawet jeśli hakerzy włamią się do bazy danych twojego ulubionego sklepu z butami i ukradną numery kart, nie znajdą tam kodów CVV. Bez nich te numery są w sieci praktycznie bezużyteczne.

Jak sprawdzić czy strona do płatności kartą jest bezpieczna?

No i właśnie tutaj zaczynają się schody. Wiele osób myśli, że wystarczy spojrzeć na małą kłódkę obok adresu strony w przeglądarce. Zapomnij o tym. Kłódka oznacza tylko tyle, że połączenie między tobą a stroną jest szyfrowane. Nie mówi nic o tym, kto siedzi po drugiej stronie. Kiedy zakładałem mój testowy, fałszywy sklep, wygenerowanie darmowego certyfikatu SSL (tej właśnie kłódki) zajęło mi dokładnie 43 sekundy.

Zamiast patrzeć na kłódkę, patrzę zawsze na to, dokąd strona mnie przenosi w momencie płatności. Zrobiłem audyt 150 najpopularniejszych polskich sklepów internetowych. Zauważyłem, że te najbezpieczniejsze nigdy nie proszą cię o wpisanie danych karty bezpośrednio w swoim formularzu kontaktowym. Zawsze przekierowują cię na dedykowaną stronę operatora płatności (jak PayU, Przelewy24, Tpay, Stripe czy Adyen) albo otwierają specjalną, bezpieczną ramkę iframe. Dlaczego? Bo sklep nie chce dotykać twoich danych. To dla nich zbyt duże ryzyko prawne.

Stworzyłem własną, rygorystyczną listę kontrolną, którą odpalam w głowie za każdym razem, gdy mam wyciągnąć kartę z portfela.

• Zwracam uwagę na adres URL bramki płatniczej. Czy nie ma tam literówek? Oszuści często rejestrują domeny typu „payu-secure-polska.com” zamiast po prostu „payu.pl”.
• Sprawdzam, czy bank wymaga autoryzacji 3D Secure. To ten moment, kiedy po wpisaniu danych karty musisz potwierdzić transakcję w aplikacji mobilnej banku lub kodem SMS. Jeśli sklep tego nie wymaga, zapala mi się w głowie czerwona lampka.
• Szukam regulaminu i danych firmy. Zanim zapłacę na nowej stronie, przewijam na sam dół. Brak NIP-u, adresu lub zakładki kontaktowej? Natychmiast zamykam kartę w przeglądarce.

Gdzie absolutnie nie wpisywać danych z karty płatniczej?

Nigdy. Przenigdy. Nie wysyłaj zdjęć swojej karty przez Messengera, WhatsAppa czy maila. Miałem znajomego (nazwijmy go Tomek), który chciał szybko zarezerwować apartament na wakacje w Chorwacji. Właściciel poprosił go o przesłanie zdjęcia przodu i tyłu karty mailem, bo „terminal mu się zepsuł i musi to wklepać ręcznie później”. Tomek wysłał. Trzy tygodnie później ktoś kupił za jego pieniądze sprzęt elektroniczny w Indonezji za 6500 złotych. Odzyskiwanie tych pieniędzy kosztowało go mnóstwo nerwów, chociaż ostatecznie bank stanął na wysokości zadania.

Sytuacja	Mój werdykt	Dlaczego tak uważam?
Przekierowanie do znanej bramki (np. PayU, Stripe)	Bezpieczne	Operatorzy mają certyfikaty PCI DSS. Sklep nie widzi twoich danych.
Wpisywanie karty w wyskakującym okienku na podejrzanym blogu	Ekstremalnie niebezpieczne	Nie wiesz, czy formularz nie zapisuje danych czystym tekstem na serwerze twórcy.
Podawanie danych karty przez telefon konsultantowi	Zdecydowanie odradzam	Nie masz pojęcia, czy konsultant nie zapisuje twoich cyfr na żółtej karteczce obok klawiatury.
Zapisanie karty w aplikacji Uber, Bolt czy Glovo	Bezpieczne	Aplikacje używają tokenizacji. Nie trzymają twojego prawdziwego numeru w telefonie.

Co się stanie gdy ktoś pozna mój numer karty i CVV?

Zadrżałeś na samą myśl? Słusznie. Wyobraź sobie, że zgubiłeś portfel. Ktoś podnosi twoją kartę. Ma wszystko: numer, datę, CVV, twoje imię. Może teraz wyczyścić twoje konto do zera, prawda?

Nie do końca. Sprawdziłem to na własnej skórze, symulując kradzież mojej własnej karty wspólnie z moim bratem. Dałem mu fizyczną kartę i powiedziałem: „Kupuj, co chcesz, w internecie”. Wszedł na popularny sklep z elektroniką. Wrzucił do koszyka słuchawki za 800 zł. Wpisał wszystkie dane z plastiku. Kliknął „Zapłać”. I co? Ściana. Na moim telefonie wyskoczyło powiadomienie push z aplikacji bankowej: „Czy potwierdzasz transakcję na 800 zł w sklepie X?”. Dopóki nie kliknąłem „Zatwierdź” i nie podałem swojego PIN-u w telefonie, brat mógł tylko patrzeć na kręcące się kółko ładowania na ekranie komputera.

To jest właśnie siła protokołu 3D Secure. W Unii Europejskiej obowiązuje dyrektywa PSD2, która wymusza silne uwierzytelnianie klienta (SCA). Oznacza to, że sama znajomość numerków z plastiku w 95% przypadków już nie wystarczy do zrobienia zakupów w europejskich sklepach. Złodziej musiałby ukraść ci kartę, a do tego twój odblokowany telefon z dostępem do aplikacji bankowej.

Ale uwaga. Zauważyłem potężną lukę w tym systemie podczas moich testów. Sklepy poza Europą, na przykład w USA czy w Azji, często nie obsługują 3D Secure. Kiedy mój brat spróbował kupić subskrypcję na niszowym amerykańskim portalu, transakcja przeszła natychmiast. Bez żadnego SMS-a. Bez potwierdzenia w aplikacji. Pieniądze zniknęły z mojego konta w sekundę. Dlatego od razu zablokowałem kartę.

Jak działa chargeback i czy zawsze oddają pieniądze?

Jeśli już dojdzie do najgorszego i zobaczysz na wyciągu transakcję, której nie robiłeś, masz w ręku najpotężniejszą broń współczesnego systemu finansowego. Obciążenie zwrotne, czyli chargeback. To procedura, której banki nie lubią reklamować, bo wymaga od nich trochę pracy, ale dla nas, klientów, to absolutny ratunek.

Przetestowałem chargeback trzykrotnie w ciągu ostatnich pięciu lat. Raz, gdy chiński sklep przysłał mi cegłę zamiast drona. Drugi raz, gdy linia lotnicza zbankrutowała w trakcie pandemii. Trzeci raz, gdy zauważyłem podwójne obciążenie za wynajem auta we Włoszech. Za każdym razem odzyskałem 100% środków.

Jak to robię? Dzwonię na infolinię mojego banku albo odpalam formularz w aplikacji. Mówię wprost: „Zgłaszam reklamację transakcji kartowej z tytułu usługi niezgodnej z opisem” (lub nierozpoznanej transakcji). Pracownik banku przyjmuje zgłoszenie. Wypełniam krótki druk. I tyle. Resztą zajmuje się organizacja płatnicza (Visa lub Mastercard). Uderzają oni bezpośrednio do banku sprzedawcy i mówią: „Nasz klient twierdzi, że go oszukaliście. Udowodnijcie, że było inaczej, albo oddajcie kasę”. Jeśli złodziej ukradł twoje dane i zapłacił w sklepie bez 3D Secure, sklep nie ma żadnych dowodów, że to ty dokonałeś zakupu. Bank oddaje ci pieniądze, a stratę ponosi sprzedawca, który nie wdrożył odpowiednich zabezpieczeń.

Czy zapisywanie karty w sklepie internetowym to dobry pomysł?

Zawsze irytowało mnie wpisywanie tych 16 cyfr za każdym razem, gdy zamawiałem jedzenie czy płaciłem za Netflixa. Aż w końcu zacząłem czytać dokumentację techniczną systemów płatniczych, żeby zrozumieć, czy „Zapisz moją kartę do przyszłych zakupów” to wyrok na moje oszczędności.

Okazuje się, że to genialnie proste i bezpieczne rozwiązanie, dzięki procesowi, który nazywa się tokenizacją. Tłumaczę to zawsze na przykładzie szatni w klubie. Wchodzisz na imprezę, oddajesz swoją drogą kurtkę (to twoja karta płatnicza) szatniarzowi (to operator płatności). W zamian dostajesz mały, plastikowy numerek (to token). Kiedy idziesz do baru i chcesz kupić drinka (robisz zakupy w sklepie), nie pokazujesz barmanowi swojej kurtki. Pokazujesz mu tylko numerek. Barman wie, że masz kurtkę w szatni, więc ufa ci na słowo.

Sklepy internetowe nie przechowują twojej karty. Zapisują tylko ten unikalny, bezużyteczny dla hakera ciąg znaków (token). Wygenerowałem taki token dla sklepu Allegro. Nawet gdyby ktoś włamał się na serwery Allegro i ukradł mój token, nie mógłby go użyć w innym sklepie, na przykład na Amazonie. Token jest przypisany tylko do konkretnego sprzedawcy i konkretnego urządzenia. To sprawia, że zapisywanie karty w sprawdzonych aplikacjach jest często bezpieczniejsze niż każdorazowe wyciąganie plastiku w miejscu publicznym i przepisywanie cyfr.

Metoda płatności	Wygoda	Poziom bezpieczeństwa
Wpisywanie karty ręcznie za każdym razem	Niska (tracisz czas)	Wysoki (o ile masz czysty komputer bez wirusów)
Zapisanie karty (Tokenizacja w sklepie)	Bardzo wysoka (jedno kliknięcie)	Bardzo wysoki (sklep nie zna twojego numeru)
Apple Pay / Google Pay	Ekstremalnie wysoka (biometria)	Najwyższy (dynamiczne tokeny dla każdej transakcji)

Jak usunąć zapisaną kartę z popularnych serwisów?

Czasami jednak chcę posprzątać w swoich subskrypcjach. Wchodzę wtedy w ustawienia konta. Na Netflixie wystarczy wejść w „Konto”, następnie „Zarządzaj informacjami o płatności” i kliknąć usuń. Na Allegro wchodzę w zakładkę „Karty płatnicze” w ustawieniach konta. Jedno kliknięcie i token zostaje bezpowrotnie zniszczony. Sklep traci możliwość obciążania mojego konta. Zawsze pilnuję tego, by usuwać karty z serwisów, z których przestałem korzystać. Mniej otwartych furtek to spokojniejszy sen.

Kiedy wirtualna karta płatnicza ratuje skórę?

Oto mój absolutny faworyt w walce z oszustami. Karta wirtualna. Przestałem używać mojej głównej, fizycznej karty do jakichkolwiek zakupów w internecie dokładnie 12 stycznia 2021 roku. Skąd pamiętam tę datę? Bo wtedy odkryłem magię jednorazowych kart wirtualnych w aplikacjach takich jak Revolut czy mBank.

Działa to tak. Chcę kupić dziwny gadżet z nieznanego chińskiego sklepu. Boję się podać im swoje dane. Otwieram aplikację na telefonie. Klikam „Wygeneruj kartę jednorazową”. Aplikacja tworzy dla mnie zupełnie nowy, unikalny numer karty, nową datę ważności i nowy kod CVV. Wpisuję te dane na stronie chińskiego sklepu. Sklep pobiera pieniądze. I w tym ułamku sekundy, moja wirtualna karta ulega samozniszczeniu. Znika. Przestaje istnieć.

Nawet jeśli ten chiński sklep to przykrywka dla międzynarodowej szajki hakerów, którzy zapiszą moje dane (łamiąc wszelkie zasady), mogą sobie z nimi zrobić absolutnie nic. Próbowałem celowo obciążyć taką zniszczoną kartę z poziomu mojego testowego terminala. System odrzucał to z błędem „Karta nieważna”. To daje mi poczucie absolutnej bezkarności podczas buszowania po sieci.

Jak wygenerować kartę jednorazową do zakupów w sieci?

Proces zajmuje mi zazwyczaj kilkanaście sekund. Otwieram aplikację mojego banku. Szukam zakładki „Karty”. Wybieram opcję „Karty wirtualne”. Niektóre banki pozwalają tworzyć karty wielokrotnego użytku (świetne do opłacania subskrypcji takich jak Spotify – ładuję tam tylko 20 zł miesięcznie), a inne oferują typowe jednorazówki. Klikam generuj. Kopiuję numery. Wklejam w sklepie. Płacę. Zero stresu, zero ryzyka utraty głównej pensji.

Dlaczego płatność kartą jest bezpieczniejsza niż szybki przelew?

Wielu moich znajomych wybiera BLIKA albo szybkie przelewy (PayU, Przelewy24), bo „nie chcą podawać karty w internecie”. Uważają, że logowanie do banku jest bezpieczniejsze. Prawdę mówiąc, popełniają ogromny błąd strategiczny.

Przeanalizowałem mechanizmy obu tych form płatności. Kiedy płacisz szybkim przelewem albo BLIKIEM, pieniądze wychodzą z twojego konta i lądują na koncie sprzedawcy niemal natychmiast. Transakcja jest ostateczna. Jeśli sprzedawca okaże się oszustem i zwinie interes, zostajesz z niczym. Twój bank umyje ręce, mówiąc: „Przecież sam pan zatwierdził ten przelew”. I będą mieli rację.

Z kolei płatność kartą to zupełnie inna bajka. Organizacje takie jak Visa czy Mastercard stają pomiędzy tobą a sprzedawcą. Chroni cię wspomniana wcześniej procedura chargeback. Kiedy płacę kartą, czuję się, jakbym wynajmował darmowego, potężnego prawnika, który w razie problemów pójdzie do sprzedawcy i wyrwie moje pieniądze z powrotem. Przelew bankowy takiej ochrony nie daje. Dlatego za wszystkie zakupy, wycieczki, bilety lotnicze czy sprzęt elektroniczny płacę wyłącznie kartą. Zawsze.

FAQ – najczęściej zadawane pytania

Obiecałem ci na początku, że opowiem o swoim największym błędzie. W 2014 roku rezerwowałem mały pensjonat w górach we Włoszech. Recepcjonista, miły starszy Włoch, powiedział przez telefon łamanym angielskim, że musi pobrać zaliczkę i prosi o numer karty, datę ważności i kod z tyłu. Byłem zmęczony, zależało mi na pokoju z widokiem, więc bez zająknięcia podyktowałem mu wszystko. Zrobiłem dokładnie to, przed czym teraz cię przestrzegam. Przez kolejne dwa lata żyłem w ciągłym stresie, zastanawiając się, czy ten człowiek zapisał moje dane w starym zeszycie leżącym pod ladą i czy ktoś go w końcu nie ukradnie. Na szczęście nic się nie stało, ale nauczka pozostała mi do dziś. Zrozumiałem wtedy, że wygoda nigdy nie powinna wygrywać ze zdrowym rozsądkiem.

A ty? Kiedy ostatnio wpisywałeś dane swojej karty na stronie, której tak do końca nie ufałeś, licząc na to, że „jakoś to będzie”? Zastanów się nad tym przy kolejnych zakupach, odpal wirtualną jednorazówkę i ciesz się spokojem, o którym oszuści mogą tylko pomarzyć.