Pavogti kortelės iš piniginės sukčiui visai nereikia: pakanka gauti jos duomenis ir reikiamą patvirtinimą, o tada kortelę galima pridėti prie savo telefono skaitmeninės piniginės ir mokėti parduotuvėje. „NordVPN“ tyrimas rodo, kad susidomėjimas šiuo metodu auga – diskusijų apie pavogtų kortelių įkėlimą į mobiliąsias pinigines per metus padaugėjo beveik tris kartus.
Kortelės savininkui gali atrodyti, kad viskas gerai: kortelė piniginėje, telefonas rankoje. Todėl pranešimas, kad kortelė pridedama prie naujo įrenginio, yra toks svarbus. Jei žmogus pats to nedarė, tai gali reikšti, kad svetimas asmuo bando gauti galimybę leisti jo pinigus.
„NordVPN“, priklausančios „Nord Security“, tyrėjai pastebėjo, kad pogrindyje vertinami ne vien kortelių numeriai. Vis svarbiau, ar pavogtus duomenis pavyks panaudoti realiai: susieti su skaitmenine pinigine, įveikti patvirtinimą ir atlikti mokėjimus.
Nusikaltėliams reikia ne tik kortelės numerio
Pridedant kortelę prie „Apple Pay“, „Google Pay“ ar kitos skaitmeninės piniginės paprastai atliekamas patikrinimas. Priklausomai nuo banko ir taikomos tvarkos, gali prireikti vienkartinio kodo, patvirtinimo banko programėlėje ar kito tapatybės patikrinimo.
Todėl vien pavogtas numeris negarantuoja, kad kortelė atsidurs sukčiaus telefone. Nusikaltėliai stengiasi gauti ir trūkstamą patvirtinimą: viliodami duomenis netikrose svetainėse, apsimesdami banko darbuotojais arba mėgindami perimti su kortele susietą telefono numerį.
Pavojinga situacija atsiranda, kai žmogus įtikinamas, esą kodą turi padiktuoti savo pinigams „apsaugoti“. Iš tiesų tuo kodu gali būti patvirtinamas veiksmas, kurio jis pats neinicijavo.
„NordVPN“ technologijų vadovas Marijus Briedis atkreipia dėmesį, kad nusikaltėliams vis svarbiau rasti silpnąją grandį – patvirtinimo procesą, prieigą prie sąskaitos ar su kortele susietus tapatybės duomenis.
Svetimas telefonas gali tapti mokėjimo priemone
Kai kortelė sėkmingai pridedama prie nusikaltėlio įrenginio, ja galima mokėti per skaitmeninę piniginę. Tyrime minima, kad šitaip perkamos ir prekės ar dovanų kortelės, kurias vėliau galima perparduoti.
Tai savaime nereiškia, kad buvo įsilaužta į „Apple Pay“ ar „Google Pay“. Esminis momentas gali būti ankstesnis – kai sukčius neteisėtai gauna leidimą susieti svetimą kortelę su savo įrenginiu. „Apple“ nurodo, kad po kortelės patvirtinimo bankas ar jo įgaliotas paslaugų teikėjas sukuria konkrečiam įrenginiui skirtą mokėjimo identifikatorių. Todėl svarbu tikrinti ir kortelės sąsajas su įrenginiais.
Tyrėjai užfiksavo ir „paruoštų“ kortelių kategoriją: pardavėjai jas reklamuoja kaip turinčias didesnę tikimybę sėkmingai susieti su skaitmeninėmis piniginėmis. Tokius pažadus reikėtų vertinti kaip nusikaltėlių reklamos teiginius, o ne patvirtintą kiekvienos parduodamos kortelės savybę.
Kiek kainuoja kortelės duomenys
Analizuotose prekyvietėse pavogtų mokėjimo kortelių duomenų kainos mediana siekė apie 9 eurus, arba maždaug 10 JAV dolerių. Mediana yra vidurinė kainos reikšmė, todėl tai nėra vienoda visų kortelių kaina.
Kai kartu parduodama daugiau asmeninės informacijos, suma didėja. Kortelės duomenys su asmens identifikaciniu numeriu ir gimimo data vidutiniškai kainavo apie 17 eurų, o platesni rinkiniai, apimantys vardą, elektroninį paštą, telefono numerį ar adresą, – daugiau kaip 20 eurų.
Daugiau nei 70 proc. analizuotų skelbimų buvo susiję su JAV. Todėl šios kainos apibūdina tyrimo imtį ir neturėtų būti suprantamos kaip konkretus Lietuvos gyventojo kortelės duomenų įkainis.
Pirkėjams itin svarbu ir tai, ar kortelė dar veikia. Kaip aktyvios reklamuotos kortelės kainavo maždaug 20 eurų, o senesnės, tikėtina, jau užblokuotos duomenų partijos buvo siūlomos dideliais kiekiais – maždaug po 1,8 euro.
Užblokavus kortelę, pavogti asmens duomenys niekur nedingsta
Pogrindinėje prekyboje vertės gali turėti net nebeveikiančios kortelės įrašas, jei su juo parduodama asmeninė informacija. Tyrime tokie duomenų rinkiniai buvo siūlomi maždaug už 90 euro centų.
Kortelę galima pakeisti, bet gimimo data, adresas ar kiti tapatybės duomenys gali būti naudojami tolesniems bandymams apgauti. Sukčius, žinantis dalį tikros informacijos, gali skambėti įtikinamiau, tačiau vien tai, kad skambinantysis žino jūsų vardą ar kitus duomenis, nepatvirtina jo tapatybės.
Svarbiausias signalas – veiksmas, kurio neatlikote
Gavus netikėtą prašymą patvirtinti veiksmą, būtina perskaityti jo aprašymą. Jei nesijungiate prie banko, nepridedate kortelės ir neatliekate mokėjimo, patvirtinimo kodų vesti nereikia. Šią taisyklę savo saugumo rekomendacijose pabrėžia ir „Swedbank“.
Jeigu pranešama, kad kortelė jau pridėta prie nepažįstamo įrenginio, verta nedelsiant:
- užblokuoti kortelę banko programėlėje, jei tokia galimybė prieinama;
- susisiekti su banku oficialiu jo numeriu ir pranešti apie neatpažintą susiejimą;
- paprašyti patikrinti bei panaikinti neleistinas kortelės sąsajas su skaitmeninėmis piniginėmis ir peržiūrėti naujausias operacijas.
Bankas gali padėti užblokuoti kortelę ar jos naudojimą skaitmeninėje piniginėje. Įtariant sukčiavimą svarbu kreiptis iš karto, nelaukiant, kol sąskaitoje atsiras daugiau nepažįstamų mokėjimų.
Ką iš tikrųjų parodė tyrimas?
„NordVPN“ tyrėjai, pasitelkę „NordLayer Intelligence“, išanalizavo daugiau nei 24 tūkst. kortelių skelbimų iš devynių tamsiojo interneto prekyviečių ir apie 3 900 unikalių pranešimų iš nusikaltėlių forumų bei „Telegram“ kanalų. Duomenys surinkti 2026 metų vasarį, pasikartojantys skelbimai pašalinti.
Beveik trigubas diskusijų augimas rodo stiprėjantį nusikaltėlių susidomėjimą šiuo metodu. Jis nereiškia, kad tiek pat padaugėjo sėkmingų vagysčių ar nukentėjusių žmonių.
Kortelės turėjimas savo rankose vis dėlto nėra pakankamas saugumo patikrinimas. Neatpažintas pranešimas apie jos pridėjimą prie telefono gali tapti pirmuoju perspėjimu – dar prieš pastebint svetimą pirkinį sąskaitos išraše.
