Чеки «Укрпошти»: 4 правила, які вбережуть ваші гроші від шахраїв

Після скандалу з друком персональних даних на квитанціях «Укрпошта» частково відмовилася від цієї практики: на чеках за комунальні послуги (газ, воду, тепло, електроенергію) податковий номер більше не друкують. Однак на квитанціях за поповнення карток, мобільного зв’язку, оплату інтернету, дитсадка чи школи інформація залишилася.

Експерт із фінансових ризиків Тарас Ковальський, партнер компанії «Алєксєєв, Боярчуков та партнери», називає це безпрецедентним порушенням базових правил фінансової безпеки. За його словами, чек із відкритим 16-значним номером картки, ПІБ та індивідуальним податковим номером стає «ідеальною базою для вішингу».

Схема шахрайства проста: зловмисник телефонує, називає жертву на ім’я, її податковий номер і номер картки — це викликає довіру. Далі лишається виманити CVV-код, термін дії картки або одноразовий пароль із SMS. При цьому зламувати банківські бази не потрібно: достатньо зібрати викинуті чеки біля відділень або кас. Зібрані квитанції шахраї перепродають у даркнеті або використовують для обдзвону.

Найгірші сценарії — списання всіх коштів із картки або оформлення онлайн-кредиту в недобросовісних МФО на чуже ім’я, якщо зловмисники мають ПІБ та ІПН. Також можливе перехоплення мобільного номера для доступу до онлайн-банкінгу.

Ковальський наголошує: вимоги Нацбанку, на які посилається «Укрпошта», насправді не існує. Друк відкритого номера картки суперечить міжнародному стандарту PCI DSS, який вимагає маскування цифр, а також принципу мінімізації даних згідно з GDPR та українським законодавством. Проблема, на думку юриста, в ІТ-налаштуваннях компанії: термінали просто не були оновлені для маскування даних.

Що робити клієнтам просто зараз, щоб захистити свої гроші:

1. Якщо є можливість, відмовляйтеся від паперового чека та обирайте електронний варіант. 2. Не залишайте квитанції на касі та не викидайте їх у смітники біля відділень. 3. Знищуйте непотрібні чеки вдома — подрібніть або спаліть. 4. Ніколи не називайте по телефону код із SMS, CVV чи термін дії картки, навіть якщо співрозмовник знає ваше ім’я, ІПН і номер картки. Справжній банк таких даних не питає.

Юрист прогнозує, що через публічну позицію «Укрпошти» Нацбанк проведе позапланову перевірку, яка «гарантовано закінчиться приписами та санкціями». Поки регулятор розбирається, дані клієнтів на чеках продовжують друкувати.