Karšu datu un sensitīvu autentifikācijas datu elementi:

Kā pārliecināties par atbilstību PCI DSS prasībām?

Banka tirgotājus reizi gadā informē par darbībām, kas jāveic, lai nodrošinātu atbilstību PCI DSS standartiem, un prasības apskatāmas tabulā.

Tirgotāji tiek iedalīti četros līmeņos atkarībā no viena karšu zīmola (t.i. MC, VISA, Amex u.tml.) karšu norēķinu darījumu skaita gadā. 1. līdz 3. līmeņa tirgotājiem par savu atbilstības statusu ir jāinformē sava karšu pieņemšanu apkalpojošā banka. 4. līmeņa tirgotājiem ir ļoti ieteicams aizpildīt Pašnovērtējuma anketu (SAQ) un nosūtīt to savai karšu pieņemšanu apkalpojošai bankai.

Svarīgi! Tirgotājiem ir nepieciešams veikt:

• Drošības auditu, ko veic sertificēts auditors, kas rīkojas kā kvalificēts drošības eksperts (QSA) pie pakalpojuma sniedzējiem, kas minēti PCI DSS oficiālajā Interneta vietnē.
• Tīkla skenēšanu, ko veic kvalificēts tīkla skenēšanas risinājumu nodrošinātājs, kurš rīkojas kā sertificēts tīkla skenēšanas pakalpojuma nodrošinātājs (ASV) vai kvalificēts drošības eksperts (QSA). Sertificēts tīkla skenēšanas pakalpojuma nodrošinātājs (ASV) var veikt skenēšanu tiešsaistes tirgotājiem un tirgotājiem ar fiziskām tirdzniecības vietām, bet tiem nav tiesību veikt ikgadējos auditus.
• Iekšējo auditu, kura ietvaros jāatbild uz pašnovērtējuma anketā (SAQ) iekļautajiem jautājumiem. Anketas saturs ir atkarīgs no tehniskā risinājuma.

PCI DSS prasības un mērķi

Zemāk tabulā redzamās 12 prasības un mērķi jums palīdzēs saprast, kādas svarīgas darbības ir jāveic, lai nodrošinātu atbilstību PCI DSS noteikumiem.

Lai saņemtu plašāku informāciju, apmeklējiet https://www.pcisecuritystandards.org/

Biežākie Chargeback iemesli:

• kartes lietotājs attiecīgo darījumu nav veicis (bieži vien krāpniecības pazīme);
• regulārais maksājums tiek atcelts;
• preces neatbilst aprakstam;
• precēm ir brāķis vai defekts;
• netiek sniegta atbilde uz kupona pieprasījumiem.

Chargeback var veikt arī citu iemeslu dēļ, piemēram, preču/pakalpojumu nesaņemšanas gadījumā.

Ieteikumi, kā izvairīties no chargeback:

• Lai izvairītos no pretenzijām saistībā ar preču nepiegādāšanu, ir ļoti ieteicams izmantot piegādes pakalpojumu, kurā izsniedz piegādes apstiprinājumu.
• Lai izvairītos no pretenzijām saistībā ar saplīsušām precēm, vienmēr jāiegādājas pārvadāšanas apdrošināšana, ja preces ir trauslas. Noteikti skaidri nosakiet termiņus, kādos šādas pretenzijas tiks izskatītas.
• Ir divi veidi, kā rīkoties ar pretenzijām par preču saplīšanu, ja tas nav noticis pārvadāšanas rezultātā: ja precei ir garantija, prasīt klientam, lai tas nepastarpināti sazinās ar ražotāju; piedāvāt klientam, lai tas nosūta preci jums atpakaļ. Nodrošiniet, lai jūsu preču atgriešanas politikā būtu ļoti skaidri noteikti termiņi un atgriezto preču autorizācijas process.
• Ja klients apgalvo, ka nekad nav pasūtījis attiecīgo produktu, jums jābūt klienta pasūtījuma skaidrai dokumentācijai.
• Lai jums būtu precīzi fiksētas visas sarunas, saraksti vienmēr veiciet pa e-pastu.
• Noteikumiem un nosacījumiem jābūt skaidri izklāstītiem tīmekļa vietnē, kur attiecīgie pakalpojumi tiek sniegti. Informācija, kas klientam jāsniedz pirms līguma noslēgšanas, ir norādīta patērētāju tiesību aizsardzības noteikumos. Šie noteikumi attiecas uz jebkuru personu, kas pārdod preces vai sniedz pakalpojumus saskaņā ar distances līgumu, un tie ir saistoši.
• Informācijai jābūt sniegtai skaidri un saprotami un jāatbilst izmantotajiem distances saziņas līdzekļiem. Sniedzamā informācija ietver konkrētus datus par attiecīgajām precēm vai pakalpojumiem, to cenu (ieskaitot PVN un citus nodokļus) un piegādes maksām, kā arī informāciju par klienta atteikuma tiesībām. Jāuzrāda arī jūsu uzņēmuma pilna kontaktinformācija.
• Ja klienta pasūtītās preces vai pakalpojumi varētu nebūt pieejami, jums jāinformē klients, vai esat gatavs pasūtīto preču vai pakalpojumu vietā nodrošināt citas tādas pašas kvalitātes un cenas preces vai pakalpojumus.

Ko nozīmē "autorizācija":

• Konta numurs ir derīgs.
• Karte nav pieteikta kā nozaudēta vai nozagta (lai gan tā joprojām var būt nozaudēta, nozagta vai ar to var būt izdarītas nesankcionētas darbības (proti, notikusi pretlikumīga kartes datu iegūšana vai nokopēšana), bet kartes lietotājs to nezina).
• Ir pieejami darījuma apmaksai pietiekami līdzekļi.

Ko nenozīmē "autorizācija":

• Autorizācija nenozīmē, ka persona, kas ievada vai nosauc kartes numuru, ir kartes tiesīgais lietotājs - joprojām pastāv risks, ka persona, kas ievada vai nosauc kartes numuru, ir karti vai nu nozagusi, vai savādāk prettiesiski to ieguvusi.
• Pastāv arī risks, ka pircējs izmanto kartes numuru, nesankcionēti to iegūstot, bet pati karte var nebūt pircēja rīcībā.

Lai arī ir svarīgi katram darījumam saņemt autorizāciju, tā vien no krāpniecības riska un pretenzijām nepasargās. Risks pastāv arī tad, ja autorizācija ir veikta.

Biežs krāpnieku mērķis ir tālāk uzskaitītās preces, jo tās ir vērtīgas un tās var pārdot tālāk:

• Elektronika
• Sadzīves tehnika
• Dārglietas
• Datori
• Mēbeles
• Preces, kuras var viegli un ātri realizēt par naudu

Ja jūs nodarbojaties ar šādu preču tirdzniecību, aicinām būt ļoti uzmanīgiem pirms preču nodošanas vai nosūtīšanas. It īpaši iesakām veikt visus pasākumus, lai pārbaudītu, vai pircējs ir patiesais kartes lietotājs.

Tālāk minēti darījumu piemēri, kuros jābūt īpaši piesardzīgiem. Bieži vien tieši vairāku faktoru kopums liecina par, iespējams, krāpnieciskām darbībām.

1. Iepērkas pirmo reizi - noziedznieki vienmēr meklē jaunus tirgotājus, no kuriem nozagt.
2. Neparasti lieli pasūtījumi - tā kā zagtām kredītkartēm un konta numuriem ir ierobežots izmantošanas laiks, noziedznieki vēlas veikt pēc iespējas lielākus pirkumus.
3. Vienas preces vairāku veidu pasūtījums - vienas un tās pašas preces vairāki eksemplāri ļauj noziedzniekiem gūt lielāku peļņu.
4. Steidzama vai vienas dienas piegāde - noziedznieki vēlas savas krāpnieciski iegūtās preces saņemt pēc iespējas drīzāk ātrai tālākpārdošanai, un paaugstinātās piegādes maksas viņiem nerūp.
5. Piegāde ārpus tirgotāja darbības valsts - reizēm krāpnieciskos darījumos iegūtās preces piegādā noziedzniekiem ārpus mītnes valsts.
6. Neatbilstība - informācija pasūtījuma datos, piemēram, neatbilstība starp rēķina adresi un piegādes adresi, apgabala tālruņa kodi nesakrīt ar tuvumā esošo pasta nodaļu kodiem, e-pasta adreses, par kuru īstumu rodas šaubas, neparasts pasūtījumu veikšanas laiks.
7. Vairāki darījumi ar vienu karti īsā laika posmā - tas var būt mēģinājums iztukšot karti, pirms tiek slēgts tai piesaistītais konts.
8. Nosūtīšana uz vienu un to pašu adresi, veicot darījumus ar vairākām kartēm - tas var liecināt par konta numuru ģenerēšanu, izmantojot speciālu programmatūru vai pat veselu partiju zagtu karšu.
9. Vairāki darījumi ar vienu karti vai līdzīgu karti ar vienu un to pašu rēķina adresi, dažādām piegādes adresēm - tas var liecināt par darbību organizētā grupā (pretstatā atsevišķas personas darbībai).
10. Tiešsaistes darījumos no vienas IP (interneta protokola) adreses tiek izmantotas vairākas kartes - vairāk par vienu vai divām kartēm varētu liecināt par krāpniecisku shēmu.
11. Pasūtījumi no interneta adresēm, kas izmanto bezmaksas e-pasta pakalpojumus - šādi e-pasta pakalpojumi neietver nekādus rēķinus, kā arī nenotiek nekādi auditācijas pieraksti un pārbaudes, ka kontu ir atvēris patiesais kartes lietotājs.

Tirgotāji var samazināt krāpniecisku pirkumu un reklamāciju iespējamību tiešsaistes darījumos, veicot šādus pasākumus:

• lūgt norādīt kartes lietotāja bankas nosaukumu - krāpniekiem, kuri ir prettiesiski ieguvuši konta datus, šādas informācijas nebūs. Ja pircējs kavējas norādīt savas bankas nosaukumu, jāievēro piesardzība;
• palūgt pircējam pa faksu atsūtīt savas vadītāja apliecības kopiju;
• preču nesaņemšanas risks īpaši jāizvērtē, ja tās nosūta uz pasta abonementa kastīti;
• pēc preču piegādāšanas saņemt no kartes lietotāja parakstītu kvīti par veikto piegādi;
• daudz dažādu preču pasūtījumu gadījumā pēc pasūtījuma veikšanas piezvanīt kartes lietotājam, lai apstiprinātu pasūtījumu. Var arī palūgt pircējam atkārtot visus pirkuma datus mutiski. Bieži vien, ja pasūtījums ir krāpniecisks, pircējs nespēj apstiprināt šos datus, jo pasūtītas ir visas preces pēc kārtas, nepiefiksējot, kas tieši tiek pasūtīts;
• jāievēro īpaša piesardzība gadījumos, ja vienam pirkumam izmanto vairākas kartes;
• neturpināt mēģināt veikt autorizāciju pēc atteikuma saņemšanas;
• jāievēro īpaša piesardzība attiecībā uz ārvalstu pasūtījumiem - lieliem pasūtījumiem ieteicams neveikt nosūtīšanu, pirms nav noskaidrota pasūtītāja likumība. Tirgotājam ieteicams preces nenosūtīt, kamēr tas nav ieguvis pārliecību, ka pirkums ir likumīgs.

Izmantojot 3D Secure autentifikācijas pakalpojumus, tirgotājs saņem aizsardzību pret reklamācijām (t.i., atbildība par krāpniecības risku tiek pārnesta) darījumos, kuros parasti tiktu saņemta reklamācija, pamatojoties uz klienta nepiedalīšanos darījumā. Šie pakalpojumi klientiem, tirgotājiem un bankām sniedz lielāku drošību tiešsaistes karšu darījumos.