Безопасность онлайн-платежей: как защитить свои данные

Замок доказывает меньше, чем вы думаете

Все проверяют значок замка перед вводом номера карты. Он доказывает, что соединение зашифровано, и любой перехватчик данных увидит перемешанные символы. Вот и всё, что он доказывает. Он ничего не говорит о честности магазина и ничего о том, что произойдёт с вашим номером после попадания на сервер продавца. Те защиты, которые действительно важны, находятся за страницей: правила PCI DSS, обязывающие продавцов, работающие с картами, придерживаться строгих стандартов безопасности, и шаг 3D Secure, такой как Verified by Visa или Mastercard SecureCode, который обычно отправляет код подтверждения на ваш телефон. Каждый слой существует потому, что предыдущий может дать сбой.

Платите тем, что не является вашей картой

Apple Pay, Google Pay и PayPal стоят между вами и продавцом не просто так: продавец получает токен, действительный только для одной транзакции, а не ваш реальный номер карты. Если продавца взломают, украденный токен бесполезен. Набирайте номер напрямую — и ваша настоящая карта утекает при утечке данных. Компромисс — пара дополнительных секунд при оформлении против номера карты, который продавец никогда не сможет сохранить. Заключайте этот компромисс каждый раз.

Две привычки определяют большинство результатов

Повторное использование паролей — самая грубая ошибка в онлайн-покупках и самая упрямая, потому что уникальные пароли неудобно запоминать. Менеджер паролей вроде Bitwarden, 1Password или LastPass убирает отговорку: он генерирует и хранит разный пароль для каждого аккаунта. Если один сайт для покупок будет взломан, атакующие получат один аккаунт, а не все. Относитесь к этому как к обязательному, потому что альтернатива — сбросить каждый аккаунт, который когда-либо использовал этот пароль.

Двухфакторная аутентификация работает по той же логике. Даже с украденным паролем аккаунт остаётся закрытым без второго фактора — обычно кода, отправленного на телефон или сгенерированного приложением. Цена — пара секунд при входе. Цена пропуска — список действий ниже, который начинается с блокировки карты и заканчивается 12 месяцами наблюдения за кредитным отчётом.

Виртуальные карты для покупок, которым вы не доверяете

Многие банки предлагают виртуальные номера карт: временные номера, привязанные к вашему реальному счёту, которые истекают после однократного использования или при достижении установленного лимита трат. Используйте их именно для тех покупок, о которых идёт речь на этом сайте: разовые заказы у незнакомых продавцов, международные покупки у новых магазинов, бесплатные пробные периоды, требующие карту. Для пробных периодов установите лимит в $1, чтобы пробный период не превратился в списание. Компромисс — минута настройки для каждой покупки; плата — продавец, который не узнает ничего долгосрочного о вашей настоящей карте.

Фишинг — это проверка грамотности

amazonn.com вместо amazon.com. paypal.security-check.com вместо paypal.com. Одна буква или несколько лишних слов — и вся разница между оплатой и ловушкой. Срочность делает остальное: «Ваш аккаунт будет закрыт!» и «Обнаружена подозрительная активность!» написаны, чтобы вы действовали раньше, чем проверяли. Вложения от неизвестных отправителей враждебны до тех пор, пока не доказано обратное, особенно .exe, .zip или документы с макросами. Одно правило решает большинство случаев: серьёзные компании никогда не запрашивают номер вашей карты, CVV или пароль по электронной почте или SMS. При сомнениях введите адрес в браузере самостоятельно, вместо того чтобы переходить по ссылке.

Ваше устройство — часть транзакции

Все защиты со стороны продавца бессильны перед кейлоггером на вашем компьютере. Оборона неприхотлива: поддерживайте операционную систему в актуальном состоянии, чтобы патчи безопасности закрывали известные дыры; запускайте антивирус, ловящий кейлоггеры и вредоносное ПО для кражи платежей; и относитесь к общественному Wi-Fi как месту для просмотра, а не для покупки. Если платить всё равно необходимо, VPN зашифрует соединение. Экран блокировки — PIN-код, пароль или биометрия — не даёт потерявшему телефону превратиться в средство несанкционированных трат, а функция «Найти iPhone» или «Найти устройство» позволяет найти его или удалить данные на расстоянии. Трение — секунды в день; альтернатива — незнакомец с вашим незаблокированным кошельком.

Если карта уже скомпрометирована

Скорость важнее изобретательности. По порядку:

1. Свяжитесь с банком или эмитентом карты и заморозьте скомпрометированную карту
2. Проверьте последние транзакции и оспорите любые, которые вы не авторизовывали
3. Закажите новый номер карты
4. Смените пароли на всех аккаунтах, использовавших эти же данные для входа
5. Следите за кредитным отчётом в течение следующих 12 месяцев
6. Подайте предупреждение о мошенничестве или заморозку кредитной истории в основных бюро кредитных историй
7. Сообщите в соответствующие органы: FTC в США, Action Fraud в Великобритании

Четвёртый шаг тот, который все пропускают, и именно он превращает украденную карту в украденную личность. Номер карты умирает после одного звонка; повторно использованный пароль — нет.

Правило, побеждающее все чек-листы

Каждый слой на этой странице существует потому, что предыдущий дал сбой, поэтому не воспринимайте их как меню. Создавайте трение там, где сбой наиболее вероятен: менеджер паролей + двухфакторная аутентификация закрывают самую большую дыру за пару секунд при входе, а виртуальная карта покрывает самую сомнительную покупку за минуту, необходимую для генерации. Замок никогда не был защитой. Правило в том, что ваш настоящий номер карты не идёт дальше вашего банка и вашего кошелька, а всё остальное на этой странице — вторая линия обороны на тот день, когда первая даст сбой. О других практических правилах этого сайта — раздел часто задаваемых вопросов.