Zniechęceni cyberbezpieczeństwem

Zniechęceni cyberbezpieczeństwem

NIST opublikował niedawno bardzo interesujące, choć niepokojące wyniki badań. Autorzy podkreślają, że coraz częstszym zjawiskiem jest świadoma rezygnacja użytkowników z troski o cyberbezpieczeństwo. Przeprowadzenie badań na próbie 40 osób, mimo zapewnień autorów, nie jest moim zdaniem wiarygodne by wysnuwać uogólnione wnioski. Niemniej jednak zgodne jest to z moimi obserwacjami, że aura skrajnie skomplikowanych rytuałów w zakresie cyberbezpieczeństwa, nieustanne groźby, że hakerzy i tak są lepsi oraz poczucie, nieuchronności cyberincydentów zamiast zachęcać - zniechęca. Dlatego też podkreślam w swoich projektach, że zapewnianie cyberbezpieczeństwa może być łatwe. Oczywiście, w ramach pewnego zdefiniowanego zakresu ryzyk, niemniej to jednak powinno wystarczyć zdecydowanej większości organizacji

Różnica między testami penetracyjnymi a skanowaniem podatności

Różnica między testami penetracyjnymi a skanowaniem podatności

Niejednokrotnie spotykałem się z sytuacją, w której skanowanie podatności było utożsamiane z testami penetracyjnymi. Różnica między jednym a drugim jest zasadnicza, z tego też bierze się zdecydowana różnica w kosztach obydwu usług.

Tak się buduje serwerownie

Z wizytą w QTS

.

Ciekawe czasy nadchodzą

Ostatnio rzadziej przeglądałem nowości na rynku bezpieczeństwa, a tu okazuje się, że ciekawe czasy nadchodzą. Chwila nieuwagi (no, może raczej zapracowania) i tu...

Kopalnia Wiedzy donosi, że wreszcie potwierdzono to, o czym od lat mówiono - układy scalone też potrafią mieć tylne drzwi. To chyba nie jest niespodzianka, że sprawa ma akcent chiński.

Nie wolno pominąć również informacji o tym, że japońskim naukowcom udało się złamać 923-bitowy klucz kryptograficzny, składający się z 278 cyfr. Klaster 21 komputerów potrzebował tylko około pół roku. A gdyby tak zastosować chmury i oferowane przez nie rozwiązania?

Kolejną ciekawostką jest to, że można wykorzystać akcelerometr do sprawdzania jakie wirtualne klawisze są wciskane i tym samym do szpiegowania użytkownika

Po tym gdy amerykański i izraelski wywiad przyznały się do stworzenia Stuxnet chiński akcent pojawił się przy okazji szpiega, który kopiował wszystkie pliki AutoCAD'a jakie udało mu się odnaleźć. Tym samym trudno nie zauważyć, że tej azjatyckiej gospodarce naprawdę zależy na tym by być skrajnie innowacyjną. A, że cel uświęca środki...

.

Docenienie norm w przepisach prawnych

Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych doceniło fakt istnienia 2 bardzo ważnych norm z zakresu zarządzania IT i bezpieczeństwa informacji

Opisując minimalne wymagania dla systemów teleinformatycznych w paragrafie 15 czytamy:

1. Systemy teleinformatyczne używane przez podmioty realizujące zadania publiczne projektuje się, wdraża oraz eksploatuje z uwzględnieniem ich funkcjonalności, niezawodności, używalności, wydajności, przenoszalności i pielęgnowalności, przy zastosowaniu norm oraz uznanych w obrocie profesjonalnym standardów i metodyk.   

2. Zarządzanie usługami realizowanymi przez systemy teleinformatyczne ma na celu dostarczanie tych usług na deklarowanym poziomie dostępności i odbywa się w oparciu o udokumentowane procedury.

3. Wymagania określone w ust. 1 i 2 uznaje się za spełnione, jeśli projektowanie, wdrażanie, eksploatowanie, monitorowanie, przeglądanie, utrzymanie i udoskonalanie zarządzania usługą podmiotu realizującego zadanie publiczne odbywają się z uwzględnieniem Polskich Norm: PN-ISO lEC 20000-l i PN-ISO/lEC 20000-2 

Z kolei w paragrafie 20 znajdują się następujące wymagania dotyczące zarządzania bezpieczeństwem informacji:

1. Podmiot realizujący zadania publiczne opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów, jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność.

2. Zarządzanie bezpieczeństwem informacji realizowane jest w szczególności przez zapewnienie przez kierownictwo podmiotu publicznego warunków umożliwiających realizację i egzekwowanie następujących działań:  

1) zapewnienia aktualizacji regulacji wewnętrznych w zakresie dotyczącym zmieniającego się otoczenia; 

2) utrzymywania aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj i konfigurację;

3) przeprowadzania okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji oraz podejmowania działań minimalizujących to ryzyko, stosownie do wyników przeprowadzonej analizy; 

4) podejmowania działań zapewniających, że osoby zaangażowane w proces przetwarzania informacji posiadają stosowne uprawnienia i uczestniczą w tym procesie w stopniu adekwatnym do realizowanych przez nie zadań oraz obowiązków mających na celu zapewnienie bezpieczeństwa informacji; 

5) bezzwłocznej zmiany uprawnień, w przypadku zmiany zadań osób, o których mowa w pkt 4; 

6) zapewnienia szkolenia osób zaangażowanych w proces przetwarzania informacji ze szczególnym uwzględnieniem takich zagadnień, jak: 

a) zagrożenia bezpieczeństwa informacji, 

b) skutki naruszenia zasad bezpieczeństwa informacji, w tym odpowiedzialność prawna, 

c) stosowanie środków zapewniających bezpieczeństwo informacji, w tym urządzenia i oprogramowanie minimalizujące ryzyko błędów ludzkich; 

7) zapewnienia ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami, przez: 

a) monitorowanie dostępu do informacji, 

b) czynności zmierzające do wykrycia nieautoryzowanych działań związanych z przetwarzaniem informacji, 

c) zapewnienie środków uniemożliwiających nieautoryzowany dostęp na poziomie systemów operacyjnych, usług sieciowych i aplikacji; 

8) ustanowienia podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość; 

9) zabezpieczenia informacji w sposób uniemożliwiający nieuprawnionemu jej ujawnienie, modyfikacje, usunięcie lub zniszczenie; 

10) zawierania w umowach serwisowych podpisanych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji; 

11) ustalenia zasad postępowania z informacjami, zapewniających minimalizację wystąpienia ryzyka kradzieży informacji i środków przetwarzania informacji, w tym urządzeń mobilnych;

12) zapewnienia odpowiedniego poziomu bezpieczeństwa w systemach teleinformatycznych, polegającego w szczególności na: 

a) dbałości o aktualizację oprogramowania, 

b) minimalizowaniu ryzyka utraty informacji w wyniku awarii, 

c) ochronie przed błędami, utratą, nieuprawnioną modyfikacją, 

d) stosowaniu mechanizmów kryptograficznych w sposób adekwatny do zagrożeń lub wymogów przepisu prawa, 

e) zapewnieniu bezpieczeństwa plików systemowych, 

f) redukcji ryzyk wynikających z wykorzystania opublikowanych podatności technicznych systemów teleinformatycznych, 

g) niezwłocznym podejmowaniu działań po dostrzeżeniu nieujawnionych podatności systemów teleinformatycznych na możliwość naruszenia bezpieczeństwa, 

h) kontroli zgodności systemów teleinformatycznych z odpowiednimi normami i politykami bezpieczeństwa; 

13) bezzwłocznego zgłaszania incydentów naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób, umożliwiający szybkie podjęcie działań korygujących; 

14) zapewnienia okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok. 

3. Wymagania określone w t. 1 i 2 uznaje się za spełnione, jeżeli system zarządzania bezpieczeństwem informacji został opracowany na podstawie Polskiej Normy PN-ISO/IEC 27001, a ustanawianie zabezpieczeń, zarządzanie ryzykiem oraz audytowanie odbywa się na podstawie Polskich Norm związanych z tą normą, w tym: 

1) PN-ISO/IEC 17799—w odniesieniu do ustanawiania zabezpieczeń; 

2) PN-ISO/IEC 27005 — w odniesieniu do zarządzania ryzykiem; 

3) PN-ISO/IEC 24762 — w odniesieniu do odtwarzania techniki informatycznej po katastrofie w ramach zarządzania ciągłością działania. 

Nie można nie zauważyć, że jest to krok w bardzo dobrym kierunku i zamyka (przynajmniej w zakresie przetwarzania rejestrów publicznych) dyskusje czy warto wdrażać systemy zarządzania zgodne z najlepszymi praktykami. Nie dość, że warto ze względu na stałe doskonalenie organizacji, to jeszcze będzie (w przynajmniej powinno to być) zauważone i docenione w trakcie różnego rodzaju audytów i kontroli. Warto bardziej szczegółowo przyjrzeć się rozporządzeniu, gdyż znajdują się tam jeszcze odniesienia do innych powszechnie wykorzystywanych standardów jak np. RFC
.

Biometria na wesoło

Jakiś czas temu powstała animowana bajka dla dzieci (tych starszych też) pt. Monsters vs. Aliens.
Jest tam przedstawione doskonałe podejście do tego jak w praktyce można korzystać z dobrodziejstwa biometrii.
Polecam szczególnie od 14 do 25 sekundy

.

Spam SMS

Większość z nas co jakiś czas otrzymuje sms'owy spam.
Każdemu z nas przysługuje prawo do żądania zaprzestania takiego "nękania".

By to zrobić należy wysłać żądanie zaprzestania wysyłki sms'owego spamu do operatora danego numeru. Pomocna do identyfikacji może być na przykład ta strona.
Warto o tym pamiętać - zamiast się wściekać czy przeklinać nie wiadomo na kogo w przeciągu paru chwil, za darmo (w przeciwieństwie do komercyjnych serwisów wspierających tę czynność za pieniądze) można szybko pozbyć się problemu

Bruce Schneier - Liars & Outliers

Bruce Schneier opublikował właśnie nową książkę „Liars & Outliers: Enabling the Trust that Society Needs to Thrive”.


Na Expert Room'ie IMMUSEC opublikowałem właśnie recenzję książki podesłanej nam przez Bruce'a. Zachęcam do lektury (recenzji i oczywiście książki)

Czym jest zaufanie? Jak ewoluowało na przestrzeni dziejów? Jak wpływa na nasze codzienne życie i jak kształtuje społeczeństwo w którym żyjemy? To są główne zagadnienia, które rozważa autor. Stara się pokazać dylematy przed którymi stajemy na co dzień stawiając swój interes ponad interesem grupy, lub też na odwrót – gdy świadomie decydujemy się poświęcić partykularne interesy by mogło na tym skorzystać społeczeństwo, czy nasze otoczenie. W swoich rozważaniach autor dotyka takich tematów jak korzystanie z serwisów społecznościowych, gry online, kradzieże i przestępstwa kryminalne, płacenie podatków czy nawet połowów dorsza – każdy znajdzie tu przykłady zgodne z własnymi zainteresowaniami.

Ciekawostki z zakresu "zarządzania kryzysowego"

Ostatnio trochę zajmuję się zagadnieniem zarządzania kryzysowego. Trafiłem przy okazji na stronę MSWiA gdzie znajduje się poradnik "Bądź bardziej bezpieczny". W wolnych chwilach warto sobie poklikać i poczytać. Szkoda, niekiedy, że oprócz różnego rodzaju porad co zrobić brakuje wytłumaczenia DLACZEGO

Przykładowo - czytając o schronach podczas ewakuacji należy zakryć plastikowymi torbami okna, kontakty i liczniki,
Dlaczego...szczególnie te liczniki mnie intrygują...A krany i palniki gazowe również? Może ktoś z Was to wie?
Intrygują mnie również te zagrożenia chemiczne przed którymi uda się zabezpieczyć zakrywając kontakty...Ale może za mało się jeszcze na tym znam.
.

Warsztaty Zarządzanie bezpieczeństwem informacji w nowoczesnej firmie

21 lutego będę miał przyjemność prowadzić jedną z sesji podczas warsztatów Zarządzanie bezpieczeństwem informacji w nowoczesnej firmie organizowanych przez Puls Biznesu.

W trakcie sesji wraz z uczestnikami wspólnie przedyskutujemy kilka z prawdziwych, urzeczywistnionych zagrożeń oraz zastanowimy sie jak można było uniknąć strat, jakie proste zabezpieczenia wystarczyłyby by uniknąć kłopotów. Przedstawię przykłady sytuacji gdy wydawało się, że jest dobrze, lecz wcale tak nie było.
Porozmawiamy o realnych zagrożeniach i banalnych rozwiązaniach... Może być fajnie, może być wesoło.
Zapraszam w imieniu organizatorów (no i proszę się ujawnić na przerwie jako czytelnie to zaproszę na kawkę :-)
.

Konflikt interesów

Ostatnio u kilku klientów miałem dłuższe dyskusje o tym czym jest konflikt interesów, kiedy występuje i jak można się przed tym zabezpieczyć. Warto i tu podsumować te dyskusje.
Można znaleźć zestawienia pokazujące, jakie funkcje nie powinny być łączone (zgodnie z najlepszymi praktykami), niemniej konieczne jest wcześniej zrozumienie przed czym tak naprawdę chcemy się chronić.

Z założenia konflikt interesów ma miejsce gdy:
- osoba zatwierdza wyniki swojej własnej pracy;
- osoba jest odpowiedzialna za wykonanie całości prac w danym procesie;
- osoba poprzez posiadanie różnych uprawnień może omijać kolejne warstwy zabezpieczeń.

Każda w powyższych sytuacji może spowodować potencjalny konflikt interesów. Dlaczego potencjalny - dlatego,że przecież większość z osób, którymi się otaczamy (ok - przynajmniej ja się otaczam) należy do kategorii osób uczciwych. Nie w głowie im szkodzenie pracodawcy czy szukanie dodatkowego - nielegalnego źródła dochodu.
Niemniej gdy pracownik będzie ewentualnie rozważał zrobienie czegoś...nieładnego to powinny istnieć wewnątrz organizacji mechanizmy, które to zablokują lub przynajmniej, które zarejestrują ten fakt. No i na tym właśnie powinno między innymi polegać działanie osób/działów odpowiedzialnych za bezpieczeństwo informacji.

Jakie rozwiązania można stosować - możliwości jest na szczęście kilka:
- Segregacja obowiązków (typu podział zadań wprowadzających i zatwierdzających pomiędzy oddzielne osoby);
- Podwójna autoryzacja (typu uprawnienia „enable” lub podział hasła na kilka części);
- Dodatkowe logowanie/monitorowanie wykonywanych czynności.

Pierwsze rozwiązanie jest oczywiście najbardziej skuteczne, ale nie każdą firmę stać na zatrudnienie dodatkowej osoby (z czym to się często może wiązać). Dlatego warto rozważyć również inne możliwości, w zależności od charakteru pracy. Minimalnym zabezpieczeniem przed konfliktem interesów jest jednak zapewnienie możliwości wykrycia faktu wykonania nieuprawnionych czynności. Możliwości wykrycia czyli nie tylko zapewnienia informacji (np logów) ale również i mechanizmów zapewniających, że ktoś te logi przejrzy i będzie w stanie wyciągnąć odpowiednie wnioski.
.

Spotkanie klubu CIO ws. cloud computingu

Jutro odbędzie się kolejne spotkanie klubu CIO. Tematem spotkania będzie "Chmura obliczeniowa w mojej firmie: pro i kontra". Zostałem zaproszony przez organizatorów by podzielić się przemyśleniami z zakresu audytu i nadzoru przetwarzania w chmurze. Czytasz tego bloga? Będziesz na spotkaniu?
Daj znać :-)

Jak rozpoznać klamczucha

W wersji obrazkowej...
Oczywiście jest tu sporo uproszczeń, ale osoby znające temat z innej strony mogą sobie łatwo poprzypominać teorię...

How To Spot A Liar by Forensic Psychology

Bezpieczeństwo informacji a polityka

Polityka raczej nie zajmuje się zanadto zagadnieniami dotyczącymi bezpieczeństwa informacji (no, może ewentualnie poufnością). Z tym większą przyjemnością załączam wczorajszą informację.
Okazało się, że PJN usuwając ze swoich szeregów Adama Bielana zapomniało, że wcześniej popełniło 2 kardynalne błędy związane z ochroną informacji - zagwarantowaniu dostępu do krytycznych danych oraz zależności od kluczowej osoby.
Otóż okazało się, że były członek PJN jest równocześnie jedyną osobą posiadającą hasła dostępowe do witryny www partii. Cóż, pozostaje tylko mieć nadzieje, że na innych sprawach politycy znają się trochę lepiej...

Termin ważności danych

Kopalniawiedzy doniosła, że wymyślono oraz zaimplementowano system X-pire pozwalający na ustawianie "terminu ważności" zdjęć umieszczanych w sieci.

Od razu zacząłem się zastanawiać czy tego typu rozwiązanie można by również wprowadzić do ochrony poufnych informacji. Na przykład działające na odwrotnej zasadzie - wpierw wszystko jest zabronione, a po upływie jakiegoś czasu informacja staje się publiczna. Kto pierwszy wdroży takie rozwiązanie? Może wikileaks?

imię, nazwisko i pesel...

Networld ostatnio napisał, że dane WSZYSTKICH Brazylijczyków (odpowiednik pesel) są dostępne na czarnym rynku. Faktycznie jest to pierwszy mi znany przypadek ujawnienia kompletu tych danych, niemniej spodziewam się, że nie ostatni.

Tak naprawdę wydaje mi się, że "tęgie głowy" powinny teraz zasiąść w poszczególnych krajach i zastanowić się co to tak naprawdę oznacza. Wcale się nie zdziwię, gdy za jakiś czas "wycieknie" baza wszystkich numerów Pesel (swoją drogą zdziwiłbym się, gdyby już nie istniały jakieś pojedyncze nieautoryzowane kopie.

Odpowiedź na pytanie co przestępcy mogą zrobić posiadając imię, nazwisko i pesel jest jedną z pilniejszych na jakie trzeba odpowiedzieć. Kolejnym pytaniem jest jak się przed tym zabezpieczyć. W końcu tak niewielką ilość informacji naprawdę łatwo jest zdobyć. A odpowiedzi na te pytania oczekiwałbym jednak od od przedstawicieli administracji państwowej, izb gospodarczych itp.

Praktyczne zastosowanie modelu wielowarstwowej ochrony

Jak zapowiadałem kilka tygodni temu dzisiaj rano będę mieć prezentację na konferencji IT Security Management GigaCon.

Z tej okazji zapraszam do zapoznania się prezentacją pod tytułem "Jak skutecznie zarządzać bezpieczeństwem informacji czyli praktyczne zastosowanie modelu wielowarstwowej ochrony".

CYBER TERROR 2010

Wczoraj miały miejsce pierwsze ogólnoeuropejskie ćwiczenia na wypadek ataku cyberterrorystycznego "CYBER EUROPE 2010". Uczestniczyło w nich 120 osób z 70 europejskich organizacji. Jak zapowiadała ENISA:

W ramach dzisiejszego ćwiczenia „Cyber Europe 2010” eksperci z całej Europy przetestują reakcje na pozorowany atak hakerów na ważne usługi internetowe. Scenariusz ćwiczenia zakłada, że łączność internetowa między krajami europejskimi jest stopniowo tracona lub znacznie ograniczona i, w najgorszym przypadku, wszystkie główne połączenia między krajami w Europie zostaną utracone.

Podczas symulacji obywatele, przedsiębiorstwa i instytucje publiczne będą mieli trudność z dostępem do ważnych usług internetowych (jak np. administracja elektroniczna), o ile przesył danych z zaatakowanych połączeń nie zostanie przekierowany.

Ćwiczenie będzie oparte na scenariuszu, zgodnie z którym w ciągu dnia kolejne kraje będą miały coraz większe problemy z dostępem do internetu. Wszystkie uczestniczące państwa członkowskie będą musiały współpracować, aby zapewnić wspólną reakcję na fikcyjny kryzys.

Celem ćwiczenia z dziedziny bezpieczeństwa cybernetycznego jest poprawa zrozumienia przez państwa członkowskie sposobu, w jaki odpiera się ataki cybernetyczne, oraz sprawdzenie połączeń i procedur komunikacyjnych w razie prawdziwego ataku cybernetycznego na dużą skalę. Podczas symulacji zostaną przetestowane: adekwatność punktów kontaktowych w krajach uczestniczących, kanały komunikacyjne, rodzaj wymiany danych tymi kanałami oraz pojmowanie przez państwa członkowskie roli i mandatu równoważnych organów w innych państwach członkowskich.

Jest to niesamowicie pożyteczna inicjatywa. Ataki cyberterrorystyczne, mimo, ze wciąż rzadkie, jednak miały już miejsce, udowadniając swoją niszczycielską moc. O tym jak realne są zagrożenia świadczy fakt, że dzień wcześniej poinformowano, że miał miejsce udany atak na OECD.

Europa musi się nauczyć ze sobą współpracować, szczególnie, że wciąż nie wszystkie Państwa posiadają własne jednostki CERT potrafiące przeciwdziałać takim zagrożeniom.
(źródło: www.cyberterror.pl)

PCI DSS wersja 2.0

W ubiegły czwartek opublikowano nową wersję standardu: PCI DSS 2.0 zapewniającego minimalne wymagania bezpieczeństwa konieczne do zachowania podczas przetwarzania danych kartowych (a dokładnie PAN).

Na pierwszy rzut oka większość zmian to wyjaśnienia do niekoniecznie precyzyjnych sformułowań z poprzednich wersji. Wydaje się to krokiem w dobrą stronę - ilość interpretacji była niekiedy zbyt duża.
Na uwagę zasługuje też wymaganie dotyczące klasyfikacji podatności 6.2 (i powiązanym 6.5.6).

Firmy planujące wdrożenie powinny się raczej cieszyć - będzie mniej dyskusji i więcej bezpieczeństwa (nie muszę dodawać, że wyjaśnienia dodają wymagania a nie ich odejmują). Firmy posiadające już PCI DSS powinny za to zrobić dokładny przegląd systemu - może się okazać, że czeka je dodatkowa praca

Bezpieczeństwo i Higiena Pracy z kartami płatniczymi

Plastikowe pieniądze są powszechne, pojawiają się udoskonalenia kart płatniczych takie jak mikropłatności czy integracje z innymi usługami realizowanymi przy pomocy kart. Wciąż jednak masa osób nie zdaje sobie sprawy z tego, że bardzo łatwo stracić swoje oszczędności (przynajmniej na jakiś czas) a stosując parę prostych metod można znacznie zredukować prawdopodobieństwo takiego zdarzenia. Poniżej załączam garść najlepszych praktyk

- Zaklej 3 cyfrowy kod znajdujący się na rewersie karty za jej numerem. Jest to tak zwany kod CVV2/CVC2 który, wraz z numerem karty i jej datą ważności pozwala na zakupy przez Internet. Bardzo często przestępca pracujący na przykład w hotelu pod pretekstem sprawdzenia wiarygodności podpisu zapamiętuje te 3 cyfry. Ponieważ ma już numer i datę ważności karty łatwo może w naszym imieniu dokonać zakupów często luksusowych dóbr
- Jak tylko masz taką możliwość uwierzytelniaj transakcję PIN’em a nie podpisem.
- Zawsze zasłaniaj dwoma rękoma wpisywany PIN, niezależnie czy w bankomatach czy urządzeniach POS (w restauracjach, kinach, stacjach benzynowych czy sklepach)
- Zachowaj kopie wszystkich anulowanych transakcji. Pomoże Ci to w przypadku reklamacji
- Nigdy nikomu pod żadnym pozorem nie podawaj PINu. Nie daj się nabrać na informacje, że jest on konieczny do autoryzacji transakcji. Przestępcy często próbują go wyłudzić od nieświadomych tego faktu ofiar. PIN masz znać tylko Ty, i samodzielnie wpisywać go w urządzenie
- Zapisywanie PINu nie jest dobrym pomysłem, a już szczególnie na karcie płatniczej, której dotyczy
- Zapisywanie nieprawdziwego PINu na karcie płatniczej może jednak być dobrym pomysłem. Przestępca może zablokować ukradzioną kartę próbując wpisać nieprawdziwy kod
- Nie noś ze sobą wszystkich kart płatniczych. Duża kolekcja kusi złodziei a jej utrata może odciąć Cię od pieniędzy.
- Gdy sprzedawca niszczy Ci kartę nożyczkami oznacza, że dostał takie polecenie z systemu. Może to oznaczać, że ktoś skopiował Twoja kartę a organizacja płatnicza postanowiła chronić Twoje pieniądze. Bezzwłocznie skontaktuj się z wystawcą karty ale nie wiń sprzedawcy, ostatecznie zrobił to by Cie chronić przed poważniejszymi kłopotami
- Kart płatniczych, identyfikatorów i bielizny osobistej nie pożycza się nawet znajomym
- Przeglądaj regularnie wyciągi z kart. Jak wypatrzysz nieznane transakcje to bezzwłocznie skontaktuj się z wystawcą karty.
- Pamiętaj, że gotówka nie jest passe!