Kredietkaart en veiligheid

[bakskemestro]

Is de veiligheid van kredietkaarten nu slecht of ben ik verkeerd?


Je moet dus je gegevens en cvc code ook meestal doorgeven en dat is genoeg om een betaling te doen, maar nergens moet je bv een geheime pincode ofzo ingeven, dus als ze gewoon een foto trekken van je kredietkaart hebben ze genoeg info om betalingen/geld af te nemen correct?

 

[JPV]

Is de veiligheid van kredietkaarten nu slecht of ben ik verkeerd?


Je moet dus je gegevens en cvc code ook meestal doorgeven en dat is genoeg om een betaling te doen, maar nergens moet je bv een geheime pincode ofzo ingeven, dus als ze gewoon een foto trekken van je kredietkaart hebben ze genoeg info om betalingen/geld af te nemen correct?

Er is een verschil tussen veiligheid van kredietkaarten en de kans dat men een betaling probeert te doen op je visakaart.

Kredietkaarten zijn veilig, als je goed genoeg let op wat afgehouden wordt van je kaart. Indien je dat doet, zal je in de praktijk geen onterechte betalingen hebben.

Waarom? Omdat het risico van een kredietkaart niet bij de uitgevende instelling (je bank/mastercard) ligt, maar (vooral) bij de verkoper. Die kiest een bepaald veiligheidsniveau en betaalt daar een bepaalde kost voor.

Eenvoudig uitgelegd:

Als je als verkoper enkel vraagt naar het kaartnummer, vervaldatum en de naam van de klant (geen adres), zal je een laag percentage op je omzet betalen, omdat er weinig securitychecks nodig zijn. De klant kan echter héél gemakkelijk betwisten dat hij die transactie deed. Bij een betwisting moet de verkoper immers bewijzen aan mastercard dat de klant werkelijk die klant was. In de praktijk is dat in dit geval normaal onmogelijk zijn en zal men dus elke reverse charge goedkeuren. Dit doet men vooral bij online aankopen van 'massa" diensten die kleine bedragen vertegenwoordigen. Ze hopen ook dat daardoor veel mensen kleine aankopen doen en nooit de moeite gaan doen van een reverse charge.

Als je daarentegen én het kaartnummer én de CVC code én het adres én de 3D-secure code (=communicatie naar de bank) vraagt, dan heb je als verkoper een ijzersterk dossier en zal het als klant héél moeilijk zijn om te bewijzen dat je kaart onterecht iets aangerekend werd. Enkel een fout van de bank of een gemelde diefstal waarvan de kaart niet stopgezet werd, zal tot een reverse charge leiden (er zijn hier wel extra verzekeringen mogelijk voor de verkoper én voor de mastercardhouder, zodat die in sommige gevallen bij bvb een kleine onvoorzichtigheid ook niet moet betalen)

er zijn ook veel situaties ertussen, die telkens een iets andere commissie voor Mastercard opleveren.

 

[bakskemestro]

Lijkt me allemaal een omslachtig systeem ivg met bancontact/maestro waar je altijd een pincode moet opgeven voor een betaling dus zelfs als je je kaart kwijt bent zijn ze er niets mee zonder die code.

Dat is dus niet het geval bij een kredietkaart omdat alles op de kaart staat juist?

Wat een miserie als je dan je kredietkaart verliest en mensen gewoon een betaling kunnen doen, dan nog de rompslomp voor die betwisting/chargeback... Zeer omslachtig.

 

[ViperHD]

Lijkt me allemaal een omslachtig systeem ivg met bancontact/maestro waar je altijd een pincode moet opgeven voor een betaling dus zelfs als je je kaart kwijt bent zijn ze er niets mee zonder die code.

De huidige bancontact kaarten zijn niet meer van Maestro maar debitkaarten van Visa of Mastercard, en daarmee kan je dus ook gewoon betalen met kaartnummer + CVC.

 

[Straddle]

Lijkt me allemaal een omslachtig systeem ivg met bancontact/maestro waar je altijd een pincode moet opgeven voor een betaling dus zelfs als je je kaart kwijt bent zijn ze er niets mee zonder die code.

In België akkoord, maar in het buitenland zijn kredietkaarten vaak voordeliger.
Bij kredietkaarten kan je ook een cashback krijgen en je moet pas later je rekening betalen.

Ik geloof trouwens dat iemand evengoed met mijn bankkaart kan swipen en de betaling wordt automatisch uitgevoerd (toch onder de 100€).

Wat een miserie als je dan je kredietkaart verliest en mensen gewoon een betaling kunnen doen, dan nog de rompslomp voor die betwisting/chargeback... Zeer omslachtig.

Bwa, 1x voorgehad (in Tanzania) en ik kon onmiddellijk mijn kaart blokkeren via cardstop en toen ik terug thuiskwam had de bank een nieuwe kredietkaart klaar liggen.

 

[bakskemestro]

In België akkoord, maar in het buitenland zijn kredietkaarten vaak voordeliger.
Bij kredietkaarten kan je ook een cashback krijgen en je moet pas later je rekening betalen.

Ik geloof trouwens dat iemand evengoed met mijn bankkaart kan swipen en de betaling wordt automatisch uitgevoerd (toch onder de 100€).

Die magnetische streep werkt dacht ik niet meer? Allesinds ken ik geen winkel die dat (nog) gebruikt.

Lijkt me allemaal zeer Amerikaans, heb nooit gesnapt waarom mensen (kleine aankopen) liever op krediet doen, lijkt me geen goede formule als je weet dat de meeste mensen niet echt met geld kunnen omgaan.

De huidige bancontact kaarten zijn niet meer van Maestro maar debitkaarten van Visa of Mastercard, en daarmee kan je dus ook gewoon betalen met kaartnummer + CVC.

Damn, dus als iemand een foto van je debitkaart neemt zit je met de miserie? Op die kbc debitkaarten staan alle gegevens en ook die cvc code op de voorkant.

Is toch echt een onveilig systeem of ben ik nu werkelijk de enige die dat denkt? Waarom kunnen ze niet gewoon default een pin code vragen? Lijkt me een systeem van decennia geleden dat nooit echt is aangepast aan moderne veiligheidsstandaarden.

 

[Yogi]

De wereld van betalingen zijn de afgelopen jaren sterk veranderd en meer veiligheid en zeker mee aan de moderne veiligheidsstandaarden.

In Europa was het algemeen ingeburgerd dat zo goed als elke transactie moet gebeuren mét klant-authenticatie, (dwz, nadat je in de shop / betaalprovider je kaartgegevens hebt ingevuld, moét je jezelf ook authenticeren, zij het met bankbakje, itsme, bank app, etc...
In de rest van de wereld, was dit dus niet zo. Zoals JPV al aanhaalde heeft dit allemaal te maken met de "liability" van een transactie. Eentje zonder authenticatie draagt de handelaar zelf vele malen meer risico dan eentje die volledig door de kaarthouder is ge-authenticeerd.

De Afgelopen jaren echter hebben de grote schemes (Visa, Mastercard en Amex) al samengewerkt om een nieuwere, verbeterde versie van de authenticatie flow te doen. En elke handelaar is (in EU alvast, daarbuiten weet ik het niet zo) verplicht om authenticatie te vragen.
Hierbij wordt bij elke transactie om klant-authenticatie gevraagd. Het nieuwe systeem is echter geavanceerder, waarbij de bank zelf kan beslissen bij een transactie of dat de klant zich nog moet authenticeren.
Bijvoorbeeld, als broodjeszaak, als jij elke dag een broodje van 6 EUR koopt voor een paar weten, de eerste keren zal je jezelf nog moeten authenticeren, na X keer gaat de bank zeggen, "ah das weer die, die een transactie doet van +- 6 EUR, bij dezelfde handelaar, De X+1ste keer zal dat ook wel die persoon zijn, ik als bank neem het risico wel op mij ...

Natuurlijk zijn er uiteraard ook uitzonderingen mogelijk die de handelaar kan aanvragen, zoals bv (een lage waarde transactie, of eentje waarbij de handelaar toch het risico op zich neemt, of waarbij de kaartgegevens worden opgeslaan om later zonder authenticatie een transactie te doen, met een initiële geauthenticeerde transactie wanneer de kaart wordt opgeslaan.) Die uitzonderingen worden door de bank dan in het process goedgekeurd of niet. De verantwoordelijkheid ligt dan evenzeer bij de bank in vele gevallen.

Maar als klant zie je daar, misschien terecht, niets van. Dat gebeurd allemaal door de achterliggende systeemen.
Als er toch fraude gebeurd met je kaart online, kan je dat ook aan visa / Mastercard melden, en dan gaan ze die desbetreffende transactie onderzoeken. Als het dan om een niet-geauthenticeerwde transactie is, krijg je vaak je geld wel terig, als visa/mastercard kunnen bewijzen dat je jezelf effectief hebt ge-authenticeerd wordt het alweer moeilijk.

 

[Guglielmo]

Vooreerst: kredietkaarten zijn, voor de kaarthouder althans, op geen enkele manier onveiliger dan debetkaarten.

Die magnetische streep werkt dacht ik niet meer? Allesinds ken ik geen winkel die dat (nog) gebruikt.

Die werkt wel nog. Maar met de Europese betaalwetgeving kan die in principe niet meer gebruikt worden om een betaling te verwerken (althans als de kaart ook in de EER is uitgegeven en de betaling gebeurt in de EER). Indien op de een of andere manier toch betaald wordt met magstripe, dan is de betaling nog steeds geldig, maar kan die dus makkelijk(er) betwist worden.

Als je een kredietkaart van een hoger segment hebt krijg je ook nog altijd de reliëfcijfers, ook die cijfers kunnen in principe icm overdrukpapier nog altijd geldige betalingen vormen. Ook het manueel intoetsen van de cijfers op de terminal van de handelaar kan nog een geldige betaling vormen. Ook het aftekenen van een ticket kan nog een geldige betaling vormen.

Met een moderne kredietkaart heb je dus minstens 7 betaalwijzen, gesorteerd op veiligheid: key entry, reliëf, magstripe, NFC, signature, pin, virtuele variant in Wallet. Voor alle wijzes ben je gedekt bij fraude.

Lijkt me allemaal zeer Amerikaans, heb nooit gesnapt waarom mensen (kleine aankopen) liever op krediet doen, lijkt me geen goede formule als je weet dat de meeste mensen niet echt met geld kunnen omgaan.

In Amerika is dat inderdaad zo. Bij ons zijn er daarentegen relatief weinig delinquenties als gevolg van uitgaves met kredietkaarten. Dat komt omdat de kredietkaarten die ze hier uitgeven een minderheid van het type zijn dat je in Amerika hebt. Hier moet je in principe na 30 dagen (wat in de praktijk max 60 dagen betekent, want banken) alles terugbetalen. Je betaalt dan ook geen intresten zoals ze in de VS wel moeten doen. Dus dit zijn geen echte consumentenkredieten zoals die van Mevrouw Leemans, het winstmodel van de banken is ook niet gericht op intresten, wel op commissies op de transacties (en verkoop van data). Het solvabiliteitsrisico met deze kaarten is dan ook veel lager.

Als je natuurlijk niet terugbetaalt binnen de termijn is het iets anders, maar dan is het ook maar de vraag of de bank uw kredietkaart nog gaat willen openhouden.

Om het daarnaast verwarrender te maken zijn er bij ons ook kredietkaarten wel volgens het Amerikaanse systeem, Beobank is een gekende, waar je argument dan wel geldt. Daar moet je niet alles terugbetalen, wel een minimum, en je betaalt intresten op het saldo, en dat is voor Beobank zeker een significante winstpost bij die kaarten (+ de commissies en verkoop van data die zij ook krijgen). Maar die kaarten worden hier dus niet zo gemakkelijk uitgedeeld zoals ze in de VS, ze moeten strengere regels volgen om een kaart toe te kennen, als je bv al enkele kredieten hebt en je loon kan zo'n kredietkaart niet aan mogen ze die niet toekennen (waarmee ik niet beweer dat het niet eens gebeurt, zeker als ze targets moeten halen). In principe krijg je zo'n Beobank kaart dus niet tenzij je wat van standing hebt en uw dossier het echt wel verantwoordt, in de VS is het principe eerder dat je hem wel krijgt tenzij uw dossier het echt niet verantwoordt. Daar zitten ze nu dan met de hoogste kredietkaartschuld ooit.

Is toch echt een onveilig systeem of ben ik nu werkelijk de enige die dat denkt? Waarom kunnen ze niet gewoon default een pin code vragen? Lijkt me een systeem van decennia geleden dat nooit echt is aangepast aan moderne veiligheidsstandaarden.

Eigenlijk denk ik dat anno 2024 PIN een relatief onveilig systeem geworden is en dat veel betere beveiliging kan met biometrie en AI... Iemand moet maar meekijken (rechtstreeks of met een cameraatje) terwijl je je pincode intoetst en daar valt de beveiliging van de pincode.

Vergelijk dan hoe transacties van duizenden EUR zonder PIN gevalideerd kunnen worden met een iPhone of Apple Watch, gewoon omdat zo'n consumententoestel een veel veiligere authenticatiemethode vormt dan een pincode. Zelfs als iemand zo'n toestel van u steelt kunnen ze er nog niet mee betalen.

 

[bakskemestro]

Bedankt voor de uitleg maar mijn vraag is nog steeds niet beantwoord. Dus als iemand een foto van je debitkaart neemt zit je met de miserie? Zoals bij die kbc debitkaarten staan alle gegevens en ook die cvc code op de voorkant, dat is dus genoeg voor iemand zo dat die een transactie kan doen?

 

[Yogi]

Ja en nee.
Ja, iemand zou op sommige plekken inderdaad genoeg hebben met die gegevens.
Alleen hangt het ervan of de handelaar dat zelf wilt doen, want hij neemt een risico. Hoe minder “veilig” de transactie, hoe groter de kans dat hij hiervoor verantwoordelijk is bij mogelijke fraude. Als consument krijg je in de minder veilige transacties in de meeste gevallen je geld gewoon terug..

 

[berenod]

Bedankt voor de uitleg maar mijn vraag is nog steeds niet beantwoord. Dus als iemand een foto van je debitkaart neemt zit je met de miserie? Zoals bij die kbc debitkaarten staan alle gegevens en ook die cvc code op de voorkant, dat is dus genoeg voor iemand zo dat die een transactie kan doen?

Neen hoor.

Sinds 1 januari 2021 is (binnen Europa toch) de PSD2 standaard van toepassing.
Die standaard bepaalt hoe transacties geautoriseerd worden, en de belangrijkste voorwaarde is 2-factor authenticatie.

Dit wil zeggen dat met je kaartnummer, vervaldatum en CVV code alleen je nog geen transacties kan doen.
Er moet nog een tweede stap komen, en zowat altijd is dat ofwel bevestigen via de banking app op je telefoon, ofwel via kaartlezer/kaart/pin code.

Wat wel kan is dat je bijvoorbeeld éénmalig zulk een verificatie moet doen voor bijvoorbeeld 0.01€, en dat daarna zonder verdere authenticaties bedragen kunnen aangerekend worden.

Beetje als alternatief voor SEPA domicilieringen.

Transacties zondet die 2-factor authenticatie ga je altijd zonder veel problemen kunnen aanvechten.

 

[berenod]

Ja en nee.
Ja, iemand zou op sommige plekken inderdaad genoeg hebben met die gegevens.
Alleen hangt het ervan of de handelaar dat zelf wilt doen, want hij neemt een risico. Hoe minder “veilig” de transactie, hoe groter de kans dat hij hiervoor verantwoordelijk is bij mogelijke fraude. Als consument krijg je in de minder veilige transacties in de meeste gevallen je geld gewoon terug..

Ik denk dat zulke transacties enkel op de kaartgegevens alleen, zonder tweede authenticatie enkel buiten Europa mogelijk zijn, en zoals je schrijft, een kort berichtje naar je kaartprovider en de transactie is zonder veel vragen geannuleerd.
Wel mogelijks een franchise van 50€ dacht ik.

 

[berenod]

Onlinebetalingen: de belangrijkste regels

Online betalen van aankopen via internet is dagelijkse kost. Dankzij de verplichte tweefactorauthenticatie zijn onlinebetalingen meer beveiligd dan ooit. Maar wat betekent dat nu juist?

www.eccbelgie.be

 

[JPV]

Ik denk dat zulke transacties enkel op de kaartgegevens alleen, zonder tweede authenticatie enkel buiten Europa mogelijk zijn, en zoals je schrijft, een kort berichtje naar je kaartprovider en de transactie is zonder veel vragen geannuleerd.
Wel mogelijks een franchise van 50€ dacht ik.

Zie link hierboven, er zijn uitzonderingen mogelijk:

• betalingen van geringe waarde: deze waarde kan verschillen van land tot land, maar bedraagt gemiddeld 30 euro
• betalingen met een laag risico
• betalingen aan een vertrouwde begunstigde
• terugkerende betalingen

Wie dus nooit zijn bankrekening checkt, kan in de problemen komen, ongeacht met welke kaart dat is.

 

[berenod]

Zie link hierboven, er zijn uitzonderingen mogelijk:

• betalingen van geringe waarde: deze waarde kan verschillen van land tot land, maar bedraagt gemiddeld 30 euro
• betalingen met een laag risico
• betalingen aan een vertrouwde begunstigde
• terugkerende betalingen

Wie dus nooit zijn bankrekening checkt, kan in de problemen komen, ongeacht met welke kaart dat is.

Inderdaad, maar is wat hetzelfde als met de contactloze betalingen hé, die afweging tussen gemak en risico!
Want in alle bovenstaande scenario's die je aanhaalt is het risico beperkt.

De tijd dat er businessclass vliegtuigtickets van duizenden euro's konden gekocht worden met enkel maar de kaartgegevens is echt wel voorbij!

Ik heb op al mijn kaarten een "feedback" systeem actief, bij sommige is het de app die onmiddellijk een bericht geeft bij een transactie, bij andere een SMS of zoiets.
Ik denk wel dat de meeste banken zulk een service aanbieden.

 

[Guglielmo]

Dit wil zeggen dat met je kaartnummer, vervaldatum en CVV code alleen je nog geen transacties kan doen.
Er moet nog een tweede stap komen, en zowat altijd is dat ofwel bevestigen via de banking app op je telefoon, ofwel via kaartlezer/kaart/pin code.

Naar ik begrijp "kunnen" transacties - ook buiten beschreven uitzonderingsuitgevallen - zonder tweede stap binnen de EER+VK nog steeds (mits kaartuitgever en acquirer ermee akkoord gaan), alleen wordt de handelaar dan per PSD2 geacht aansprakelijk te zijn bij betwisting, en die handelaar zal het ook quasi onmogelijk kunnen weerleggen tenzij hij echt zwart/wit zou kunnen bewijzen dat de kaarthouder (of de bank) gefraudeerd heeft, wat een erg moeilijke bewijslast is.

Gezien dit laatste kiest zowat elke handelaar om de tweede stap wel te doen (of hun bank beslist dat voor hen).

De tijd dat er businessclass vliegtuigtickets van duizenden euro's konden gekocht worden met enkel maar de kaartgegevens is echt wel voorbij!

Dat kan nog steeds. Koop het ticket bij een Amerikaans reisbureau, of gelijk welk reisbureau buiten de EER+VK. Als die de betaling ook buiten de EER+VK verwerkt, en het reisbureau stapt zelf niet vrijwillig in "Verified by Visa" of "Mastercard SecureCode" oid (wat niet verplicht is), zal je geen twee-stap tegenkomen.

Natuurlijk is de kans wel dat die transactie niet door het fraudealgo van je bank passeert, zeker als je nog nooit zo'n soort transacties gedaan hebt, dat zal afhangen van je aankoophistoriek.

 

[Yogi]

Ik denk dat zulke transacties enkel op de kaartgegevens alleen, zonder tweede authenticatie enkel buiten Europa mogelijk zijn, en zoals je schrijft, een kort berichtje naar je kaartprovider en de transactie is zonder veel vragen geannuleerd.
Wel mogelijks een franchise van 50€ dacht ik.

Binnen Europa inderdaad niet mogelijk meer, tenzij je uitzonderingen hebt, maar die uitzonderingen horen meestal ook binnen het authenticatie verhaal. Tis dus niet zo dat ze met een uitzondering helemaal geen authenticatie willen doen. Ze vragen dan bv een uitzondering omdat het om een lage waarde gaat, echter kan de issuer daarna nog steeds beslissen of hij daar mee akkoord gaat of dat hij toch bijkomstige authenticatie wilt. Dit noemt dan een soft decline, de transactie is geweigerd tot er meer authenticatie is gegeven.

Zie link hierboven, er zijn uitzonderingen mogelijk:

• betalingen van geringe waarde: deze waarde kan verschillen van land tot land, maar bedraagt gemiddeld 30 euro
• betalingen met een laag risico
• betalingen aan een vertrouwde begunstigde
• terugkerende betalingen

Wie dus nooit zijn bankrekening checkt, kan in de problemen komen, ongeacht met welke kaart dat is.

Zie hierboven, veel van de uitzonderingen met online betalingen vallen nog steeds in de verantwoordelijk van de bank / issuer.

 

[rubenvb]

Amazon is trouwens zo een van die uitzonderingen waar veel mensen mee in contact komen. Zij skippen pertinent eender welke tweede stap authenticatie en ik vermoed dat ze gewoon de kosten voor de fraudegevallen zelf dragen, en dat dat goedkoper uitkomt dan met alle lokale banken en/of payment providers iets te regelen.

 

[Yogi]

Amazon is trouwens zo een van die uitzonderingen waar veel mensen mee in contact komen. Zij skippen pertinent eender welke tweede stap authenticatie en ik vermoed dat ze gewoon de kosten voor de fraudegevallen zelf dragen, en dat dat goedkoper uitkomt dan met alle lokale banken en/of payment providers iets te regelen.

Dat was vroeger zo, de huidige implementatie van Amazon in Europa is dat ze eerst proberen zonder authenticatie, en als er een soft-decline komt, moet je alsnog jezelf authenticeren. Dan krijg je een mail dat je betaling geweigerd is en dat je je gegevens moet updaten. Als je daarop klikt, kom je terecht op de welbekende pagina's van je bank om nog eens jezelf te authenticeren en goedkeuring te gaven.
Als er geen soft-decline komt, dan zal die transactie hoogstwaarschijnlijk wel frictionless accepted worden.

 

[rubenvb]

Dat was vroeger zo, de huidige implementatie van Amazon in Europa is dat ze eerst proberen zonder authenticatie, en als er een soft-decline komt, moet je alsnog jezelf authenticeren. Dan krijg je een mail dat je betaling geweigerd is en dat je je gegevens moet updaten. Als je daarop klikt, kom je terecht op de welbekende pagina's van je bank om nog eens jezelf te authenticeren en goedkeuring te gaven.
Als er geen soft-decline komt, dan zal die transactie hoogstwaarschijnlijk wel frictionless accepted worden.

Echt nog nooit voor gehad, zeker geen mail. Ook met nieuwe kaarten na de strengere betalingsregels.
Gisteren nog vanuit NL nog iets besteld (dus "vreemde" locatie voor mijn account zelfs).
Amazon heeft volgens mij een heel hoog "trusted" gehalte, en zullen dus liever de kosten voor frauduleuze transacties zelf dragen dan daar een payment provider voor aan te spreken.