PayPal i zgody na pobieranie pieniędzy
Dodanie rachunku bankowego jako źródła płatności w PayPal, pozwala pobierać z niego pieniądze poprzez polecenie zapłaty. Odrębnym rozwiązaniem są zgody udzielane konkretnym sprzedawcom na płatności automatyczne. Użytkownik zezwala wtedy na regularne obciążenia realizowane za pośrednictwem PayPal. Nie musi osobno zatwierdzać każdej kolejnej należności. Tak działają między innymi opłaty za internetowe serwisy z filmami i muzyką oraz prenumeraty czasopism. Problem pojawia się wtedy, gdy zgoda na powtarzające się płatności zostaje udzielona nieświadomie albo wskutek wprowadzenia klienta w błąd.
Samo pobranie pieniędzy, może przebiegać poprawnie pod względem technicznym. Nie oznacza to jednak, że właściciel rachunku świadomie chciał ponosić te koszty. Na wyciągu bankowym widnieje wówczas PayPal, choć przyczyna obciążenia nie musi mieć związku z przejęciem jego konta.
- Rachunek jako źródło płatności pozwala PayPal pobierać należności bezpośrednio z banku.
- Zgoda dla sprzedawcy umożliwia mu inicjowanie kolejnych płatności, bez każdorazowego potwierdzenia przez klienta.
- Lista płatności automatycznych pozwala sprawdzić aktywne upoważnienia i usunąć te, których użytkownik nie rozpoznaje.
Numer IBAN i płatności bez konta PayPal
Pierwszy opisany sposób oszustwa, polega na wykorzystaniu cudzego numeru IBAN, czyli międzynarodowego numeru rachunku bankowego. Wiele sklepów internetowych, umożliwia płatność za pośrednictwem PayPal bez posiadania konta w tej usłudze. Kupujący korzysta wtedy z płatności jako gość i wybiera polecenie zapłaty. Przestępca może wpisać numer rachunku zdobyty na przykład podczas wycieku danych z innego sklepu. Według przekazanego materiału PayPal przy takich zamówieniach zazwyczaj nie sprawdza, czy nazwisko kupującego odpowiada nazwisku właściciela rachunku.
Pieniądze zostają pobrane z prawdziwego konta bankowego osoby, która nie złożyła zamówienia i nie korzystała przy nim ze swojego konta PayPal. Jej konto w usłudze płatniczej pozostaje nienaruszone. Numer IBAN nie jest przy tym informacją występującą wyłącznie w bankowości elektronicznej. Znajduje się również na fakturach, umowach i potwierdzeniach przelewów. Temat ujawniania informacji o klientach opisano także w materiale o wycieku danych klientów salonów samochodowych w Niemczech.
- Nieuprawnione polecenie zapłaty, należy niezwłocznie zgłosić bankowi i wystąpić o zwrot pobranej kwoty.
- W przypadku podstawowego polecenia zapłaty SEPA, termin zwrotu wynosi 8 tygodni od obciążenia rachunku.
- Jeżeli pobranie pieniędzy nastąpiło bez zgody właściciela, nieautoryzowane obciążenie można co do zasady zakwestionować w ciągu 13 miesięcy.
- Podejrzenie oszustwa należy przekazać również PayPal.
- Na późniejsze monity lub wezwania do zapłaty należy odpowiedzieć pisemnym sprzeciwem, wskazując wykorzystanie cudzej tożsamości.
- Opisane działania obejmują także zgłoszenie sprawy policji.
Pakiet za 2 euro i ukryty abonament
Drugi mechanizm wykorzystuje nieprzejrzyste warunki zakupu. Nie wymaga włamania do konta ani kradzieży hasła. Klient zamawia pakiet próbny za 2 euro albo dostęp do usługi na kilka dni. Informacja o zawarciu drogiego miesięcznego abonamentu znajduje się jednak w drobnym druku, lub jest ukryta przy nieczytelnie przygotowanym przycisku płatności. Pierwsze zatwierdzenie zakupu staje się jednocześnie techniczną zgodą na kolejne obciążenia. Sprzedawca może następnie powoływać się na udzielone upoważnienie.
PayPal pobiera należności w kolejnych miesiącach automatycznie, ponieważ sprzedawca dysponuje zgodą na płatności cykliczne. Klient często zauważa problem dopiero po pobraniu kilku opłat. W tym przypadku źródłem strat jest ukryty abonament, a nie przejęcie danych logowania. Przekazany materiał zaleca natychmiastowe wyłączenie upoważnienia do dalszego pobierania pieniędzy w ustawieniach konta PayPal.
- Otworzyć ustawienia konta PayPal.
- Przejść do części dotyczącej płatności.
- Odszukać płatności automatyczne lub upoważnienia do pobierania należności.
- Wybrać odpowiedniego sprzedawcę i anulować zgodę na kolejne obciążenia.
Fałszywe strony PayPal i kody potwierdzające
Trzeci scenariusz rozpoczyna się w sklepie internetowym stworzonym od początku przez oszustów. Przestępcy nie muszą przejmować działającej witryny innego sprzedawcy. Sami przygotowują ofertę z wyjątkowo tanimi produktami. Po wybraniu płatności PayPal kupujący trafia na wierną kopię strony logowania. Wpisywane tam dane są równocześnie wprowadzane przez system sprawców na prawdziwej stronie usługi. Następnie klient podaje kod otrzymany wiadomością tekstową lub w aplikacji. Oszuści natychmiast wykorzystują go do zatwierdzenia drogich zakupów.
Uwierzytelnianie dwuskładnikowe nie powstrzymuje tego konkretnego ataku, jeżeli użytkownik przekazuje kod na fałszywej stronie, a sprawcy od razu używają go w prawdziwej usłudze. Powiązane zagrożenia opisano w artykule o próbach wyłudzania danych użytkowników PayPal. Szerszego kontekstu dostarcza również materiał o operacji przeciw cyberprzestępcom i zabezpieczeniu danych logowania.
Kontrola wyciągów bankowych pozwala szybciej zauważyć obce obciążenia.
Przegląd płatności automatycznych w PayPal umożliwia odnalezienie nieznanych upoważnień.
Sprawdzenie danych sprzedawcy ma znaczenie szczególnie przy wyjątkowo tanich ofertach w nieznanych sklepach.
Korzystanie z aplikacji PayPal jest jednym ze sposobów ograniczenia kontaktu z podrobionymi stronami logowania wskazanych w materiale.
Kontrola adresu w przeglądarce przed wpisaniem danych pomaga wykryć drobne różnice między prawdziwą a fałszywą witryną.
Po przekazaniu danych na podrobionej stronie należy niezwłocznie zmienić hasło oraz powiadomić PayPal i bank.
Sposób reakcji zależy od mechanizmu oszustwa. Wykorzystanie cudzego numeru IBAN wymaga zakwestionowania obciążenia w banku. Ukryty abonament wiąże się z koniecznością cofnięcia zgody na dalsze płatności automatyczne. Ujawnienie danych na fałszywej stronie wymaga zmiany hasła i zawiadomienia instytucji obsługujących płatności. Brak włamania na konto PayPal nie wyklucza nieuprawnionego pobrania pieniędzy z powiązanego z nim rachunku bankowego.
FAQ
Czy oszuści potrzebują hasła do PayPal, aby pobrać pieniądze z rachunku bankowego?
Nie zawsze. W opisanym mechanizmie płatności jako gość przestępcy wykorzystują cudzy numer IBAN do zlecenia polecenia zapłaty. Konto PayPal właściciela rachunku może pozostać nienaruszone.
Na czym polega zgoda na płatności automatyczne w PayPal?
Umożliwia sprzedawcy regularne pobieranie należności za pośrednictwem PayPal. Użytkownik nie musi zatwierdzać każdej kolejnej płatności osobno.
Jak zakup próbny za 2 euro może prowadzić do kolejnych opłat?
Warunki oferty mogą przewidywać miesięczny abonament, choć klient widzi przede wszystkim informację o tanim pakiecie próbnym. Pierwsze zatwierdzenie może jednocześnie udzielać sprzedawcy zgody na powtarzające się obciążenia.
Gdzie można wyłączyć zgodę na pobieranie kolejnych opłat?
W ustawieniach konta PayPal, w części dotyczącej płatności automatycznych lub upoważnień do pobierania należności. Należy odnaleźć odpowiedniego sprzedawcę i anulować jego upoważnienie.
Czy kod potwierdzający chroni przed fałszywą stroną PayPal?
W opisanym ataku sprawcy przechwytują kod wpisany na podrobionej stronie i natychmiast wykorzystują go w prawdziwej usłudze. W takim przypadku dodatkowe potwierdzenie nie zapobiega zatwierdzeniu transakcji przez oszustów.
Ile czasu jest na zakwestionowanie polecenia zapłaty?
Dla podstawowego polecenia zapłaty SEPA termin zwrotu wynosi 8 tygodni od obciążenia rachunku. Jeżeli płatność nie była autoryzowana, można ją co do zasady zakwestionować w ciągu 13 miesięcy.
Co zrobić po wpisaniu danych na fałszywej stronie?
Należy niezwłocznie zmienić hasło oraz poinformować PayPal i bank o przekazaniu danych oszustom.
Jak zareagować na wezwanie do zapłaty po wykorzystaniu cudzego numeru IBAN?
Należy złożyć pisemny sprzeciw i wskazać, że doszło do wykorzystania cudzej tożsamości. Podejrzenie oszustwa trzeba również zgłosić PayPal. Sprawę można zgłosić policji.
Źródło: FOCUS online
