Karta płatnicza – definicja, rodzaje, bezpieczeństwo

Karty bankowe – odrobina historii

Pierwsze karty pojawiły się na początku XX wieku w Stanach Zjednoczonych i początkowo miały formę papierową bądź metalową. Wystawcami kart były duże sieci handlowe, stacje paliw, hotele, korporacje naftowe, które premiowały w ten sposób lojalnych klientów (karty pozwalały na zakup lub odebranie towaru na kredyt). Wszystkie te systemy działały jednak niezależnie od siebie i dopiero około roku 1938 firmy zaczęły wzajemnie akceptować wyemitowane przez siebie karty.

Przełomowym momentem dla rozwoju płatności bezgotówkowych był rok 1949, kiedy to w głowie amerykańskiego biznesmena Franka McNamary narodziła się koncepcja środka płatniczego zastępującego gotówkę (ciekawostką może być fakt, że inspiracją do tego pomysłu była nieudana kolacja z przyjaciółmi, na którą McNamara zapomniał portfela). Kilka miesięcy później biznesmen założył wraz z Ralfem Schneiderem pierwszą na świecie firmę wydającą karty – Diners Club International.

Dynamiczny rozwój marki sprawił, że wkrótce na amerykańskim rynku pojawili się naśladowcy. W 1958 roku swoją kartę płatniczą wprowadziła firma American Express i była to pierwsza plastikowa karta w historii (Diners Club korzystał z kartoników z nazwiskiem okaziciela).

W tym samym roku Bank of America wypuścił kartę z limitem kredytowym w wysokości 300 dolarów. Klient mógł dokonać spłaty zadłużenia w całości bądź też oddać jedynie kwotę minimalną i nadal korzystać z pieniędzy banku. W 1975 r. instytucja udostępniła również kartę debetową dla klientów indywidualnych, umożliwiającą wypłaty gotówki w bankomacie.

Pierwsza karta bankomatowa w Polsce

Pierwsze karty płatnicze pojawiły się w Polsce pod koniec lat 60. XX wieku. Były to jednak karty wydawane przez zagraniczne banki, zaś korzystać z nich mogli tylko cudzoziemcy i to wyłącznie w wyznaczonych miejscach: kasach PLL LOT, ekskluzywnych hotelach lub sklepach sprzedających towar za walutę zagraniczną (Baltona, Cepelia, Pewex).

Polska karta umożliwiająca transakcje bezgotówkowe pojawiła się dopiero w połowie lat 80. ubiegłego stulecia. Nie była to jednak karta płatnicza, a bankomatowa. Jej wystawcą był Bank Polska Kasa Opieki S.A., w którego oddziale zainstalowano bankomat umożliwiający wypłacanie dewiz do kwoty 150 dolarów.

Pionierem na raczkującym rynku kart płatniczych został Bank Inicjatyw Gospodarczych, który w 1991 roku wydał pierwszą kartę płatniczą dla przedsiębiorców (aby ją otrzymać, należało wnieść depozyt o wartości ówczesnych 200 mln złotych lub 20 tys. dolarów). Natomiast w 1993 roku Bank Pekao S.A. jako pierwszy wprowadził do swojej oferty kartę debetową dla klientów indywidualnych, a dwa lata później - kartę kredytową.

Z czasem na rynku kart płatniczych pojawiły się kolejne innowacje:

• w 2001 powstała pierwsza karta wirtualna;
• w 2002 ING Bank Śląski wydał pierwszą kartę pre-paid;
• w 2003 Kredyt Bank S.A. wydał pierwszą kartę z mikrochipem.

Od tego czasu datujemy coraz bardziej dynamiczny rozwój rynku instrumentów płatniczych – wciąż powstają nowe produkty, technologie i rozwiązania, które z jednej strony mają ułatwić klientom korzystanie z „plastiku”, z drugiej – zwiększyć poziom bezpieczeństwa transakcji.

Jakie dane widnieją na karcie debetowej i kredytowej?

Fizycznie karta płatnicza jest prostokątnym kawałkiem plastiku o wymiarach 54 mm na 86 mm (norma ISO), wyposażonym w pasek magnetyczny i/lub chip, na którym zapisane są dane o posiadaczu karty (imię, nazwisko), nazwa banku, identyfikator karty, data jej ważności oraz kod CVV lub CVC niezbędny do przeprowadzania transakcji internetowych.

Jeżeli chcesz poznać dużo więcej szczegółów na ten temat, przeczytaj nasz artykuł o budowie karty płatniczej, w którym każdy z ww. elementów został dokładnie opisany.

Kod weryfikacyjny CVC2 / CVV2

Stanowi zabezpieczenie przy transakcji zdalnych, przy których nie ma możliwości zastosowania numeru PIN. Jest umieszczony jedynie na karcie oraz w systemie informatycznym banku, który ją wydał. Każdy kod jest numerem unikalnym, nie jest nigdzie drukowany (np. nie pojawia się na potwierdzeniach transakcji z terminali POS) ani też nie widnieje w żadnych innych bazach danych. Zgodnie z normami bezpieczeństwa opracowanymi przez Payment Card Industry Security Standards Council sprzedawcy realizujący zakupy internetowe nie mogą przechowywać kodu CVV2 / CVC2. Jest on sprawdzany jedynie podczas transakcji, nie wolno go zapisywać ani archiwizować. Dzięki temu nawet w przypadku kradzieży bazy danych sprzedawcy przestępcy mają dostęp jedynie do numeru karty, jednak nie znają jej danych wrażliwych. Zasada ta obowiązuje na całym świecie, a jej złamanie wiąże się z bardzo wysokimi karami umownymi i/lub całkowitą utratą możliwości akceptowania płatności kartami.

W jaki sposób powstaje kod bezpieczeństwa karty?

Kody są generowane oddzielnie dla każdej karty w oparciu o algorytm szyfrowania uwzględniający numer bankowy karty i jej datę ważności: 'numer_karty'='data_ważności''algorytm'. Uzyskane w ten sposób dane są sprowadzone do postaci liczb dziesiętnych, a ostatnie trzy lub cztery cyfry kodu zostają wydrukowane na rewersie karty.

Kod CVC2 / CVV2 a kod CVC1 / CVV1

Warto wiedzieć, że każda karta płatnicza jest zabezpieczona przez dwa różne kody. Są one skonstruowane w oparciu o różne algorytmy i zapisane na pasku magnetycznym w postaci dwóch oddzielnych ścieżek:

- kod CVC1 / CVV1 jest sprawdzany podczas transakcji wykonywanych z fizycznym użyciem karty. Podczas przeciągania paska magnetycznego przez terminal płatniczy kod zostaje automatycznie wyszukany i zweryfikowany przez wystawcę karty;

- natomiast kod CVC2 / CVV2 (wraz z numerem karty, datą jej ważności oraz danymi posiadacza karty) umożliwia przeprowadzanie transakcji typu „card-not-present” realizowanych bez fizycznej obecności karty u sprzedawcy.

Jak znaleźć kod weryfikacyjny na karcie?

Kod CVC2 (Card Verification Code 2) - trzycyfrowy kod służący do weryfikacji transakcji zdalnych MO/TO na kartach MasterCard. Kod ten znajduje się na odwrocie karty tuż przy pasku do podpisu.

Kod CVV2 (Card Verification Value 2) – trzycyfrowy kod umożliwiający identyfikację posiadacza karty kart Visa Electron i Visa Gold. Numer jest wydrukowany na odwrocie karty.

Karty American Express - kod jest czterocyfrowy i zamieszczany na awersie karty.

Zasady bezpieczeństwa

Kod CVC2 / CVV2 – podobnie jak numer PIN - nie powinien być ujawniany osobom trzecim. Warto wiedzieć, że banki traktują udostępnienie kodu CVV2 / CVC2 osobom niepowołanym jako złamanie zasad bezpieczeństwa obowiązujących posiadaczy karty i w przypadku nieautoryzowanych transakcji będących skutkiem takich zachowań odmawiają zwrotu pieniędzy.

Niestety, w ostatnim czasie coraz częściej zdarzają się przypadki wyłudzeń kodu CVV2 / CVC2 przez przestępców. Po zdobyciu danych wrażliwych karty oszuści dokonują zakupów w sieci na koszt ofiary i w ten sposób czyszczą jej konto. Jak uchronić się przed tego typu atakami, wyjaśniliśmy w artykule Jak bezpiecznie korzystać z karty płatniczej?

Czym się różni karta magnetyczna od karty chipowej?

Karty magnetyczne przechowują informacje na pasku magnetycznym, przez co są podatne na próby podrobienia. Ich niski poziom ochrony przed oszustwami sprawił, że konieczne było wprowadzenie innego zabezpieczenia. Rozwiązaniem okazały się być karty chipowe, które zamiast paska magnetycznego wyposażone zostały w mikroprocesor, kontrolujący proces dostępu do danych. Przechowywane informacje są dodatkowo zaszyfrowane, przez co trudniejsze do odczytania przez osoby niepowołane. Używanie kart chipowych wymaga ponadto podania kodu PIN przez posiadacza karty, co dodatkowo podnosi poziom bezpieczeństwa tego rozwiązania.

Od pewnego czasu banki sukcesywnie zaopatrują swoich klientów w karty chipowe, wypierając tym samym karty magnetyczne z rynku. W okresie przejściowym duża część kart chipowych posiada także pasek magnetyczny dla zapewnienia zgodności ze starszymi systemami transakcyjnymi.

Rodzaje kart płatniczych

Istnieje wiele metod klasyfikacji kart płatniczych. Najczęściej dzieli się je pod kątem sposobu dokonywania rozliczeń z bankiem.

Trzy podstawowe rodzaje kart płatniczych są następujące:

• Karty kredytowe - instrument płatniczy bazujący na limicie kredytowym przyznanym przez bank. Posiadacz karty kredytowej co pewien okres czasu otrzymuje wykaz transakcji wykonanych kartą oraz informacje dotyczące sposobu i terminu rozliczenia. Limit kredytowy wiąże się przeważnie z dodatkowym oprocentowaniem, jednak klient może uniknąć konieczności spłaty odsetek od transakcji bezgotówkowych, jeżeli w określonym czasie (tzw. okres bezodsetkowy) spłaci 100% zobowiązań wobec banku. W Polsce okres bezodsetkowy przeważnie wynosi do 30 dni od daty rozliczenia. Ta cecha jest często wykorzystywana przez bank w materiałach promocyjnych karty kredytowej, ponieważ klienci lubią być kuszeni wizją darmowego kredytu. Otrzymanie karty kredytowej nie zawsze wiąże się z koniecznością otwarcia konta bankowego.
• Karty debetowe - karty wydawane do konta bankowego. W momencie przeprowadzania transakcji przy użyciu karty debetowej bank pobiera należności z konta posiadacza takiej karty. Klient musi posiadać odpowiedni stan środków na swoim koncie, aby transakcja mogła dojść do skutku. Nazwa karta debetowa może być nieco myląca, bowiem debet może być rozumiany jako zadłużenie na rachunku bankowym, podczas gdy karta debetowa nie pozwala na powstanie ujemnego salda na koncie. Ta nazwa ma związek z tym, że w momencie używania karty debetowej transakcja jest od razu księgowana, obciążając rachunek bankowy klienta. W tym znaczeniu słowo debet (z ang. debit) oznacza po prostu natychmiastowe obciążenie konta.
• Karty obciążeniowe - inaczej karty z odroczonym terminem płatności. Można powiedzieć, że są połączeniem karty kredytowej z kartą debetową. Z jednej strony, podobnie jak w przypadku karty kredytowej, bank udziela klientowi limitu kredytowego, z drugiej jednak strony, karta obciążeniowa jest najczęściej powiązana z rachunkiem bankowym (jak karta debetowa). Odroczona płatność polega tu na tym, że klient zobowiązuje się do zapewnienia środków na spłatę całości (a nie części, jak przy kartach kredytowych) zadłużenia w określonym terminie, a bank pobiera wtedy środki z rachunku klienta.

Poza powyższymi typami, możemy także wyróżnić inne rodzaje kart bankowych:

• Karty przedpłacone (karty typu prepaid) - to instrumenty finansowe, które wymagają zasilenia, np. za pomocą przelewu bankowego na tzw. konto techniczne banku wystawiającego kartę. Zasilone karty mogą być następnie użyte przy przeprowadzaniu transakcji aż do wysokości salda na karcie. Po wykorzystaniu środków karty przedpłacone możesz ponownie doładować. Karty przedpłacone mogą być wydane na okaziciela, co oznacza, że nie są związane z konkretną osobą i mogą być wykorzystane jako np. karty podarunkowe lub podróżne. Zaletą karty prepaid jest ponadto wysokie bezpieczeństwo – w przypadku kradzieży ryzykujesz jedynie utratą środków znajdujących się na rachunku technicznym karty.
• Karty wirtualne - pod względem funkcjonowania są podobne do kart przedpłaconych. Różnica polega na tym, że karta wirtualna nie jest wydawana w fizycznej postaci. Jest to po prostu numer, którego możesz używać w transakcjach bezgotówkowych typu card not present. Za pomocą karty wirtualnej nie wypłacisz pieniędzy z bankomatu.

Jak wspomnieliśmy wcześniej, karty płatnicze mogą być sklasyfikowane biorąc pod uwagę różne kryteria. Poza sposobem rozliczenia z bankiem często spotykaną metodą podziału jest klasyfikacja w oparciu o poziom zamożności klientów.

Pod kątem marketingowym karty płatnicze możemy podzielić na:

• Karty klasyczne (karty Classic) - standardowe karty płatnicze z podstawowymi funkcjonalnościami, bezpłatne ubezpieczenie takich kart jest obecnie dość rzadko spotykane.
• Karty srebrne (karty Silver) - karty dla osób o wyższym poziomie dochodów; takie instrumenty posiadają z reguły szerszy zakres ochrony ubezpieczeniowej oraz możliwość zwolnienia z opłat (warunki zwolnienia są wyższe niż dla zwykłych kart).
• Karty złote (karty Gold) - karty dla klientów o wysokich dochodach, oferują ochronę ubezpieczeniową dla posiadacza i jego bliskich, zniżki u partnerów banku, zwolnienia z opłat, a ponadto są powszechnie akceptowane.
• Karty platynowe (karty Platinum) - karty dla zamożnych klientów, zapewniające wysoką ochronę ubezpieczeniową, wysoki limit kredytowy (dla kart kredytowych) oraz dodatkowe usługi (np. concierge).
• Karty ekskluzywne - karty dla klientów VIP, oferujące najszerszy zakres usług (i ubezpieczeń); często wykonane są ze specyficznych materiałów, np. złota (rosyjska Visa Infinite) czy tytanu (karta Centurion American Express).

Z punktu widzenia organizacji płatniczej, której logo znajduje się na karcie, wyróżniamy karty:

• Visa – to największa i najpopularniejsza organizacja kartowa na świecie, także w Polsce, gdzie karty Visa stanowią niekwestionowaną większość,
• MasterCard – największy konkurent Visy (w Polsce wciąż posiada mniej udziałów w rynku), jednak bardziej innowacyjny i nowoczesny (płatności NFC, gadżety zbliżeniowe),
• American Express i Diners Club – mniej popularne w Polsce organizacje kartowe, jednak znane i cenione w świecie; karty tych instytucji uważane są za dość prestiżowe, używane do regulowania płatności np. za wynajem samochodu czy usługi lotnicze.

Kartowe innowacje

Cała sfera płatności bezgotówkowych dynamicznie się rozwija i także karty płatnicze nie są już takie jak kiedyś. Ostatnie lata co rusz przynoszą nam w tej kwestii różne nowości.

Karty z wybranym wizerunkiem

Coraz więcej banków ma w swojej ofercie karty debetowe z niestandardowym wizerunkiem. Standardowy wzór na “plastiku” zwykle jest mało atrakcyjny, dlatego za dodatkową opłatą klienci mogą także wybrać inny, dopasowany do ich osobowości czy zainteresowań. Przegląd takich plastików znajdziesz w tekście “Karta płatnicza z własnym wizerunkiem. Czy warto ją mieć?”

Karta w telefonie, zegarku i opasce

Rozwój technologii bankowych sprawił, że tradycyjna karta (kredytowa czy debetowa) przestała być nowoczesną formą opłacania zakupów czy usług. Instytucje finansowe umożliwiają obecnie dodanie karty w telefonie do aplikacji typu Google Pay czy Apple Pay, jak i do korzystania z karty w zegarku, a nawet opasce sportowej. Więcej znajdziesz w artykule “Płatności mobilne - przegląd i dostępność w bankach”.

Karta z wyświetlaczem i karta ze zmiennym kodem CVC

Karta MasterCard Display z wbudowanym miniaturowym wyświetlaczem była wyjątkiem wśród kart zbliżeniowych. Posiadała dwa numery PIN – jeden zwykły, do płatności bezgotówkowych, i drugi, do wyświetlacza umieszczonego na karcie. Mały ekran służył do wyświetlania stanu naszego konta oraz komunikatów z banku. Karta mogła także służyć jako token do potwierdzania transakcji w bankowości internetowej (zamiast popularnych wiadomości sms).

Karta z wyświetlaczem MasterCard Display w Getin Banku

Źródło: Getin Bank

Drugą innowacyjną kartą na naszym rynku była karta MasterCard Debit ze zmiennym kodem CVC2 (MasterCard Dynamic CVC). Na odwrocie plastiku umieszczono mały wyświetlacz, na którym co godzinę pojawiał się inny zestaw cyfr, czyli kod CVC2. Ten kod służy zabezpieczeniu transakcji online i jest wymagany, gdy np. płacimy kartą debetową za towar lub usługę w Internecie.

Karta z dynamicznym CVC miała zwiększyć bezpieczeństwo płatności w Internecie i eliminować zagrożenie przechwycenia danych przez nieuprawnione osoby. Nawet jeśli ktoś poznał numer karty i kod CVC, to za godzinę ten kod był już nieaktualny, a haker nie mógł dokonać transakcji.

Bezpieczeństwo kart płatniczych

Karty chipowe, które aktualnie są oferowane klientom, charakteryzują się zdecydowanie wyższym poziomem bezpieczeństwa w porównaniu z kartami z paskiem magnetycznym, które stopniowo wychodzą już z użycia.

Podstawowym mechanizmem zabezpieczającym karty płatniczej jest kod PIN. W celach bezpieczeństwa nigdy nie znajduje się on na karcie, a powinien być zapamiętany przez klienta. W momencie przeprowadzania transakcji, po wpisaniu kodu PIN przez posiadacza karty, dane z karty płatniczej (takie jak nazwa banku, numer karty) wraz z wpisanym kodem PIN są szyfrowane za pomocą algorytmu DES lub 3DES, a następnie są przesyłane do systemu uwierzytelniającego banku. System dokonuje weryfikacji posiadacza karty (proces uwierzytelniania) poprzez porównanie przesłanych danych z informacjami zapisanymi w bazie danych systemu bankowego. Po poprawnej weryfikacji system umożliwia posiadaczowi karty dostęp do rachunku bankowego. Kolejnym krokiem w procesie płatności jest autoryzacja, czyli proces sprawdzenia, czy posiadacz karty może wykonać daną operację (np. czy ma odpowiednią ilość środków na swoim koncie). Po pozytywnej autoryzacji transakcja jest zatwierdzana.

Dodatkowym zabezpieczeniem, stosowanym przy płatnościach kartą przez Internet, jest usługa 3-D Secure, oferowana przez coraz większą liczbę instytucji finansowych. Polega ona na dwustopniowej weryfikacji właściciela karty - podczas płacenia za towar wprowadzamy wrażliwe dane z karty i otrzymany z banku dodatkowy kod autoryzacyjny (z karty kodów, tokena lub SMS-a). Najczęściej włączenie usługi 3D-Secure jest całkowicie bezpłatne, dlatego warto skorzystać z tego rozwiązania.

Skradzione lub zagubione karty płatnicze powinny być jak najszybciej zastrzeżone w banku. Wiąże się to z ustawową odpowiedzialnością banku za nieuprawnione transakcje dokonane plastikiem – w świetle prawa klient odpowiada za transakcje do równowartości 150 EUR, o ile wcześniej nie zastrzeże karty. Im szybciej skontaktujemy się z bankiem (osobiście lub telefonicznie), tym mniejsze poniesiemy straty w wyniku kradzieży.

Dobrym rozwiązaniem są też ubezpieczenia kart płatniczych – ograniczają one jeszcze bardziej odpowiedzialność klienta, a czasem całkowicie z niej zwalniają, przerzucając odpowiedzialność na bank (koszt takich ubezpieczeń wynosi od 3 do 5 zł miesięcznie).