Skimming to termin, który w ostatnich latach często pojawia się w kontekście kradzieży pieniędzy z kont bankowych. W internecie wiele osób wpisuje zapytanie „skimming co to”, szukając odpowiedzi na pytania: co to jest skimming, na czym polega skimming i jak się przed nim uchronić. Nic dziwnego – zjawisko to stanowi realne zagrożenie dla każdego użytkownika kart płatniczych. W poniższym artykule wyjaśniamy, czym jest skimming, podajemy skimming przykłady działania przestępców, opisujemy jak dochodzi do takiej kradzieży oraz jak się przed nią bronić. Na koniec przedstawiamy, co zrobić w przypadku padnięcia ofiarą skimmingu i jakie konsekwencje grożą sprawcom zgodnie z Kodeksem karnym1.
Skimming - co to jest?
Co to jest skimming? Najprościej mówiąc, jest to przestępcza metoda kradzieży danych z kart płatniczych (debetowych lub kredytowych) poprzez ich skopiowanie. Przestępcy instalują specjalne urządzenia – tzw. skimmery – które potrafią odczytać i zapamiętać dane zapisane na pasku magnetycznym karty. Często towarzyszy temu przechwycenie kodu PIN ofiary. W efekcie złodzieje tworzą duplikat karty i mogą nim posługiwać się tak, jak oryginałem, obciążając konto bankowe niczego nieświadomej ofiary. Skimming pochodzi od angielskiego słowa to skim, oznaczającego m.in. zeskrobywanie – w tym kontekście chodzi o „zbieranie” danych z karty.
Skimming to jedno z najgroźniejszych oszustw związanych z obrotem bezgotówkowym – obok takich metod jak rodzaje phishingu czy fałszowanie kart płatniczych. Polega na bezprawnym sklonowaniu karty, by następnie ukraść z konta pieniądze ofiary. Przestępcy kopiują zawartość paska magnetycznego (a czasem nawet dane z chipa) naszej karty oraz poznają nasz PIN, po czym wytwarzają nielegalną duplikat. Duplikat ten w elektronicznych systemach bankowych zachowuje się identycznie jak oryginał – dlatego dokonane nim transakcje obciążają konto prawdziwego posiadacza karty. Ofiara często długo nie zdaje sobie sprawy z kradzieży, dopóki nie zauważy brakujących środków.
W ostatnich latach skimming stał się coraz powszechniejszy również w Polsce. Przykładowo, w 2015 r. odnotowano tylko 189 przypadków skimmingu, natomiast już w ciągu pierwszych trzech kwartałów 2016 r. było ich aż 1876. To pokazuje, jak gwałtownie wzrosła skala tego procederu. Również ostatnie dane Policji potwierdzają, że problem nadal istnieje – w ubiegłym roku Komenda Główna Policji zarejestrowała 1068 przypadków skimmingu. Choć wprowadzenie technologii chipowej EMV utrudniło kopiowanie kart, złodzieje wciąż znajdują sposoby, by wykorzystać sklonowane karty (np. wypłacając pieniądze w krajach, gdzie transakcje paskiem magnetycznym są akceptowane). To wszystko sprawia, że warto dokładnie wiedzieć, czym jest skimming i jak się przed nim chronić.
Skimming: przykłady
Jak w praktyce wygląda skimming? Poniżej przedstawiamy kilka typowych scenariuszy – skimming przykłady, z jakimi można się spotkać:
- Skimming w bankomacie (skimming bankomatowy) – to najczęstszy wariant. Przestępcy montują na bankomacie specjalną nakładkę na szczelinę, do której wkłada się kartę. Nakładka zawiera ukryty skaner, który odczytuje dane z paska magnetycznego karty, gdy ofiara wsuwa ją do bankomatu. Dodatkowo montowana jest miniaturowa kamera (np. w obudowie górnej części bankomatu) albo fałszywa klawiatura nakładkowa – w celu zapisania wprowadzanego kodu PIN. Dla użytkownika sam proces wypłaty nie różni się niczym od normalnego, a bankomat działa pozornie zwyczajnie. Ofiara otrzymuje gotówkę i nie podejrzewa, że jej dane zostały właśnie skradzione. Tymczasem złodzieje odzyskują z urządzenia skimmingowego zapisane informacje i PIN-y, aby tworzyć klony kart.
- Skimming w sklepie lub restauracji (skimming POS) – w tym przypadku do kradzieży dochodzi podczas płacenia kartą w punktach usługowych. Zdarza się, że nieuczciwy kelner lub sprzedawca posiada przenośny skimmer wielkości małego terminala. Gdy zabiera naszą kartę „na zaplecze” pod pretekstem dokonania płatności, w rzeczywistości przeciąga ją przez skimmer, kopiując dane. Innym przykładem są zmodyfikowane terminale płatnicze – przestępcy potrafią zainstalować wewnątrz legalnego terminala dodatkowy układ, który zapisuje dane kart klientów. Ofiara nie widzi nic podejrzanego – transakcja zostaje normalnie zaakceptowana, a rachunek zapłacony. Dopiero po pewnym czasie okazuje się, że dane z karty „wyciekły” i posłużyły do wykonania nieautoryzowanych transakcji.
- Inne warianty skimmingu – złodzieje wciąż udoskonalają swoje metody. Zdarzało się instalowanie fałszywych bankomatów w ruchliwych miejscach – urządzenie wyglądało jak prawdziwy bankomat i służyło wyłącznie do przechwytywania danych z kart klientów (nie wypłacając przy tym pieniędzy). Inną odmianą jest tzw. skimming cyfrowy, gdzie przestępcy atakują strony internetowe sklepów – włamują się na serwer i wstrzykują złośliwy kod, który przechwytuje dane kart wprowadzane przez klientów podczas zakupów online. Tego typu ataki (określane czasem jako formjacking) dotknęły nawet duże firmy na świecie. Choć cyfrowy skimming różni się techniką od opisywanego fizycznego kopiowania kart, cel jest ten sam – kradzież informacji potrzebnych do użycia cudzej karty płatniczej.
Przykłady skimmingu pokazują, że złodzieje mogą zaatakować zarówno w świecie fizycznym (bankomat, sklep), jak i cyfrowym. Warto zauważyć, że często za tego typu przestępstwami stoją zorganizowane grupy o międzynarodowym zasięgu. Głośno było np. o sprawie grupy obcokrajowców, którzy instalowali nakładki skimmingowe na bankomatach w kilku polskich miastach. W wyniku ich działań wielu klientów straciło pieniądze z kont, a sąd skazał wspólników gangu na kary 2,5 oraz 6 lat pozbawienia wolności za udział w procederze. Takie wyroki pokazują, że skimming jest traktowany przez wymiar sprawiedliwości bardzo poważnie.
Tabela: Porównanie metod kradzieży danych finansowych
(Skimming vs. phishing jako przykłady różnych technik)
Metoda | Na czym polega | Przykładowe sytuacje |
---|---|---|
Skimming | Kopiowanie danych karty płatniczej za pomocą ukrytych urządzeń na bankomacie lub terminalu (kradzież „techniczna”) | Nakładka skanująca na bankomacie; kelner kopiujący kartę przenośnym skimmerem |
Phishing | Podstępne wyłudzenie danych (np. logowania do banku lub numerów karty) poprzez podszywanie się pod zaufaną instytucję (kradzież „socjotechniczna”) | Fałszywy e-mail z banku z linkiem do strony wyłudzającej dane; SMS od oszusta z prośbą o podanie kodu BLIK |
Powyższa tabela obrazuje dwie odmienne metody kradzieży w finansach. Skimming opiera się na wykorzystaniu specjalistycznego sprzętu i ma charakter fizyczny – ofiara traci dane z karty wskutek działania urządzeń zamontowanych przez przestępców. Phishing natomiast polega na oszustwie socjotechnicznym – ofiara sama, będąc wprowadzona w błąd, ujawnia swoje poufne informacje (np. dane logowania lub karty). Obie metody są groźne, a przestępcy często stosują ich kombinacje (np. wysyłają fałszywe powiadomienia z banku, by nakłonić do określonego działania). Dlatego warto znać różne rodzaje phishingu i być wyczulonym zarówno na podejrzane wiadomości, jak i nietypowe elementy urządzeń do płatności.