Skopiowanie danych z karty nie wymaga dziś widowiskowego włamania do banku. Wystarczy terminal, bankomat albo sklep internetowy z luką, przez którą przestępca przejmie numer karty, datę ważności i kod serwisowy. Skimming nie jest jednym technicznie prostym atakiem, tylko całą rodziną metod kradzieży danych płatniczych. Poniżej rozłożone zostało na czynniki pierwsze: jak działa, gdzie najczęściej dochodzi do przejęcia danych, co realnie ogranicza ryzyko i dlaczego część intuicyjnych „zabezpieczeń” daje tylko pozorne poczucie kontroli.
Skimming – co to jest i dlaczego nadal działa
Skimming to kradzież danych karty płatniczej przez przechwycenie informacji z paska magnetycznego albo formularza płatniczego. W klasycznej wersji chodzi o fizyczne urządzenie nakładane na bankomat lub terminal POS, które odczytuje dane z karty. W nowszej wersji, często nazywanej e-skimmingiem albo web skimmingiem, złośliwy skrypt przechwytuje dane wpisywane w sklepie internetowym.
To rozróżnienie ma znaczenie praktyczne. W bankomacie przestępca próbuje skopiować kartę i zdobyć PIN, zwykle przez mikro-kamerę albo fałszywą klawiaturę. W internecie PIN nie jest potrzebny — wystarczą dane typu PAN (numer karty), data ważności i CVV/CVC, aby wykonać część transakcji typu card-not-present.
Skimming działa długo po wprowadzeniu chipów EMV, bo system płatności nie jest jednolity. Karta może mieć chip, zbliżeniowo działać przez NFC, a jednocześnie nadal zawierać pasek magnetyczny na potrzeby starszej infrastruktury. Właśnie ta „zgodność wsteczna” przez lata utrzymywała sens kradzieży danych z paska. Tam, gdzie akceptant albo bankomat nadal dopuszcza fallback do paska, skopiowane dane zachowują wartość.
Skimming nie polega na „kradzieży pieniędzy z karty”. Najpierw kradzione są dane, a dopiero potem przestępca szuka miejsca, gdzie da się je spieniężyć.
Jak działa skimming w praktyce: bankomat, terminal i sklep internetowy
Najgroźniejszy skimming jest niewidoczny dla klienta w chwili płatności. To dlatego wiele ofiar orientuje się dopiero po obciążeniu rachunku.
Skimming bankomatowy
Klasyczny scenariusz jest dobrze znany służbom i operatorom bankomatów, takim jak Euronet czy Planet Cash. Na szczelinę czytnika zakładana jest nakładka odczytująca pasek magnetyczny. Obok montowana jest mikrokamera albo fałszywa nakładka na klawiaturę. Sam odczyt danych z karty nie wystarcza do wypłaty — potrzebny jest jeszcze PIN. Dopiero po połączeniu obu elementów przestępca koduje dane na tzw. białej karcie i wypłaca gotówkę w miejscu, gdzie fallback do paska jest możliwy.
Tu ważny jest niuans: karta z chipem nie staje się bezużyteczna po skopiowaniu paska, ale też nie każda skopiowana karta pozwoli na wypłatę w Polsce. Duża część infrastruktury ogranicza transakcje paskowe. Problem przesuwa się więc geograficznie — przestępcy wykorzystują dane tam, gdzie standardy bezpieczeństwa są słabsze.
Skimming przy terminalu POS
W punkcie sprzedaży skimming może wykonać sam sprzedawca albo osoba mająca chwilowy dostęp do karty. Najprostsze urządzenie to mały czytnik mieszczący się w kieszeni. Karta jest przeciągana „dodatkowo”, poza właściwą transakcją. Dziś ten model jest rzadszy niż kilkanaście lat temu, ale nie zniknął. Wciąż pojawia się tam, gdzie klient oddaje kartę z pola widzenia — na przykład w małych punktach usługowych albo lokalach gastronomicznych poza głównym nurtem rynku.
To właśnie dlatego karta nigdy nie powinna znikać na zapleczu. W nowoczesnym obrocie to nie klient ma ufać, że „zaraz oddadzą”, tylko akceptant ma zorganizować płatność przy kliencie.
E-skimming w sklepie internetowym
Najbardziej niedoceniana odmiana to e-skimming. Przestępca nie dotyka karty ani bankomatu. Włamuje się do sklepu internetowego — na przykład opartego o Magento, WooCommerce albo niestaranie aktualizowany moduł płatności — i wstrzykuje skrypt JavaScript przechwytujący dane wpisywane w formularzu. Użytkownik widzi normalną stronę, certyfikat HTTPS działa, a dane i tak trafiają do przestępcy równolegle z legalną płatnością.
Z perspektywy klienta to najtrudniejsza wersja do wykrycia, bo nie ma fizycznych śladów manipulacji. Z perspektywy sklepu problem jest jeszcze poważniejszy: poza stratą reputacyjną pojawia się kwestia zgodności z PCI DSS i odpowiedzialności za naruszenie bezpieczeństwa.
Dlaczego jedne metody płatności są bardziej odporne na skimming niż inne
Nie każda płatność kartą niesie to samo ryzyko przejęcia danych. Największa różnica dotyczy tego, czy sprzedawca lub urządzenie otrzymuje rzeczywisty numer karty i czy transakcja korzysta ze statycznych danych możliwych do skopiowania.
| Metoda płatności | Czy przekazywany jest rzeczywisty numer karty | Czy używa danych statycznych możliwych do skopiowania | Czy wymaga fizycznego wsunięcia karty | Kiedy ma sens |
|---|---|---|---|---|
| Pasek magnetyczny | Tak | Tak — dane z paska są kopiowalne | Tak | Tylko gdy infrastruktura nie obsługuje EMV; metoda najsłabsza |
| Chip + PIN (EMV) | Tak | Nie w tej samej formie co pasek; używa kryptogramu EMV | Tak | Standard dla płatności stacjonarnych i bankomatów |
| Karta zbliżeniowa NFC | Tak | Transakcja używa danych dynamicznych EMV | Nie | Wygodna przy codziennych płatnościach, ogranicza ryzyko fizycznych nakładek |
| Apple Pay / Google Pay | Nie — używany jest token urządzenia | Nie — transakcja jest tokenizowana i dynamiczna | Nie | Najlepsza opcja tam, gdzie jest dostępna płatność mobilna |
Z punktu widzenia odporności na skimming najlepiej wypadają tokenizowane portfele, takie jak Apple Pay i Google Pay. Terminal nie dostaje pełnego numeru karty, tylko token powiązany z konkretnym urządzeniem. To nie rozwiązuje wszystkich problemów oszustw płatniczych, ale znacząco obniża użyteczność przechwyconych danych.
W praktyce oznacza to prostą zasadę: jeśli jest wybór między wsunięciem karty a płatnością telefonem, bezpieczniejszy jest telefon. Nie z powodu marketingu producentów, tylko przez architekturę tokenizacji i dynamicznej autoryzacji.
Jak ograniczyć ryzyko skimmingu i co naprawdę działa
Najskuteczniejsza ochrona to połączenie nawyków użytkownika z zabezpieczeniami banku. Samo „uważanie” nie wystarcza, bo e-skimming albo wyciek danych po stronie sklepu pozostają niewidoczne.
- Korzystanie z płatności mobilnych zamiast fizycznego wsuwania karty tam, gdzie to możliwe.
- Zasłanianie klawiatury przy wpisywaniu PIN-u w bankomacie i terminalu — nawet jeśli urządzenie wygląda poprawnie.
- Włączenie powiadomień push lub SMS dla każdej transakcji w aplikacji banku, np. w PKO BP, mBanku, ING Banku Śląskim czy Santander Bank Polska.
- Ustawienie limitów dla wypłat z bankomatu i transakcji internetowych, najlepiej osobno dla kanałów.
- Nieużywanie karty na podejrzanych stronach bez 3-D Secure, czyli autoryzacji typu Visa Secure lub Mastercard Identity Check.
Warto też odróżnić zabezpieczenia realne od symbolicznych. Naklejka RFID-blocking w portfelu nie chroni przed klasycznym skimmingiem bankomatowym. To odpowiedź na inny typ lęku, często przesadnie eksponowany marketingowo. Tymczasem faktyczne ryzyko wynika częściej z fizycznych nakładek, kompromitacji sklepu online albo przejęcia danych po stronie akceptanta.
Jeśli karta została z oczu choćby na kilkanaście sekund w miejscu, gdzie można ją przeciągnąć przez drugi czytnik, ryzyko należy traktować poważnie.
Co zrobić po wykryciu skimmingu i kto ponosi odpowiedzialność
Po zauważeniu nieautoryzowanej transakcji kartę trzeba zablokować natychmiast. Nie po analizie historii, nie „po pracy”, tylko od razu w aplikacji lub przez infolinię. W Polsce można też skorzystać z systemu Zastrzegam.pl, prowadzonego przez Związek Banków Polskich, jeśli potrzebne jest szybkie zastrzeżenie instrumentu.
Dalsza kolejność działań jest dość prosta:
- zablokowanie albo zastrzeżenie karty,
- zgłoszenie reklamacji nieautoryzowanej transakcji w banku,
- sprawdzenie historii transakcji z ostatnich tygodni,
- przy podejrzeniu przestępstwa — zgłoszenie sprawy na policję.
W polskim porządku prawnym ważny jest art. 46 ustawy z 19 sierpnia 2011 r. o usługach płatniczych. Co do zasady dostawca usług płatniczych ma obowiązek zwrócić kwotę nieautoryzowanej transakcji, a odpowiedzialność użytkownika przed zgłoszeniem jest ograniczona do równowartości 50 euro, chyba że doszło do umyślnego działania albo rażącego niedbalstwa. Ten ostatni punkt bywa osią sporu.
I tu pojawia się trudniejsza perspektywa. Bank nie zawsze automatycznie uzna każdą reklamację, bo analizuje, czy klient nie ujawnił danych karty, nie zapisał PIN-u na karcie, nie zatwierdził oszustwa w 3-D Secure albo nie zignorował oczywistych sygnałów manipulacji. Z drugiej strony część klientów słusznie podnosi, że nowoczesne oszustwa są trudne do wykrycia nawet dla ostrożnej osoby. Dlatego znaczenie mają nie tylko same fakty, ale też dokumentacja: czas zgłoszenia, treść powiadomień, historia logowań i okoliczności użycia karty.
Najczęstsze pytania
Czy skimming jest jeszcze możliwy przy kartach z chipem?
Tak, ponieważ wiele kart nadal ma pasek magnetyczny, a przestępcy szukają miejsc, gdzie da się wykorzystać dane w trybie fallback. Chip EMV bardzo ograniczył klasyczne kopiowanie kart, ale nie zlikwidował całego problemu.
Czy płatność telefonem jest bezpieczniejsza niż kartą?
Tak, w typowym użyciu Apple Pay i Google Pay są odporniejsze na skimming niż fizyczna karta. Terminal dostaje token, a nie pełny numer karty, więc przechwycone dane są mniej użyteczne.
Jak rozpoznać skimmer w bankomacie?
Należy zwracać uwagę na luźne nakładki, odstającą szczelinę czytnika, nietypowo grubą ramkę i elementy wyglądające inaczej niż reszta urządzenia. Jeśli cokolwiek budzi wątpliwość, bezpieczniej zrezygnować i wybrać bankomat w oddziale banku lub galerii z monitoringiem.
Czy da się odzyskać pieniądze po skimmingu?
W wielu przypadkach tak, ale trzeba szybko zgłosić sprawę do banku i zablokować kartę. Znaczenie mają przepisy ustawy o usługach płatniczych oraz to, czy bank uzna, że nie doszło do rażącego niedbalstwa po stronie użytkownika.
Czy e-skimming dotyczy tylko małych sklepów internetowych?
Nie. Małe sklepy są częstszym celem z powodu słabszej administracji, ale ataki zdarzają się też większym podmiotom korzystającym z podatnych wtyczek lub zewnętrznych skryptów. Rozmiar sklepu nie jest gwarancją bezpieczeństwa.