Nejasnosti kolem čipových karet

Známe ji již léta a poprvé jsme ji začali běžně užívat při telefonování z veřejných telefonních automatů. Čipová karta je velmi široký pojem, ta nejjednodušší "čipovka" si jen pamatuje vložené údaje. To znamená, že čip má v sobě v podstatě pouze paměť a ta obsahuje informace, které lze z karty přečíst nebo je měnit. V případě platebních karet by se takto jednoduchá karta svojí bezpečností příliš nelišila od karty magnetické. Čipové karty užívané dnes pro většinu aplikací jsou takzvané smart karty, tedy karty "chytré". Čip na takové kartě není pouze paměť, ale jedná se o celý plně funkční počítač, který má procesor, operační neboli provozní paměť, paměť s programy a dále rozhraní, kterým komunikuje se svým okolím - se čtečkou karet a se zařízením, které je k ní připojeno. Čipové platební karty jsou také známy pod zkratkou EMV, čímž se rozumí počáteční litery asociací Europay, MasterCard a Visa, které stály u zrodu myšlenky čipové platební karty a definovaly standardy toho, jak má taková platební karta fungovat. Právě tyto standardy se kryjí s označením EMV.

Kouzlo hybridních karet jen na přechodnou dobu

Hybridní karta je ta, která má na sobě jak čip, tak magnetický proužek. Je nutné zdůraznit, že všechny čipové platební karty standardu EMV jsou vydávány jako karty hybridní. Pokud tedy ve veřejnosti na základě jakýchkoliv informací vznikl dojem, že některé banky v Čechách vydávají karty hybridní a některé čipové, mohu jen ujistit, že se jedná vždy o karty, které mají jak čip, tak magnetický proužek. Výjimkou jsou čipové karty neodpovídající standardu EMV, tedy neoznačené logem Visa nebo MasterCard. Mezi těmito specifickými produkty lze nalézt i karty, které mají jenom čip.

Vzhledem k množství platebních karet a akceptačních zařízení nemůže změna na čipovou technologii proběhnout jednorázově, jako velký třesk. Právě postupnost tzv. migrace na EMV si vyžádala kombinaci staré a nové technologie, a tedy hybridní karty. Díky magnetickému proužku tak klient se svou čipovkou zaplatí či vybere peníze i tam, kde bankomat nebo terminál s čipovou kartou zatím nepracuje.

V čem je pro klienta čipová karta bezpečnější

Nejpodstatnější novinkou je to, že u čipové karty je vyžadován PIN pro každou transakci, takže PIN není zapotřebí pouze k výběru z bankomatu, ale i k platbě v obchodě. V případě krádeže nebo ztráty karty je tak vysoce eliminována možnost jejího zneužití. Tím ale vyšší bezpečnost zdaleka nekončí. Jak bylo již řečeno, čipová karta je v podstatě počítač. Zatímco u magnetické karty jsou pasivně načteny informace z magnetického proužku stejně jako třeba z magnetofonové pásky, čipová karta si s platebním terminálem "aktivně povídá" a jeho prostřednictvím může počítač v platební kartě buď sám rozhodnout o realizaci či zamítnutí transakce, nebo si vyžádat spojení se svojí bankou a přímo si ověřovat údaje tam, včetně aktuálního zůstatku na konkrétním účtu. Čipová karta zkrátka aktivně rozhoduje o tom, kdy transakce bude nebo nebude provedena, a dokonce může rozhodnout o vlastním sebezablokování. Banky tak mají daleko větší možnosti zabránit zneužívání karet i jejich oprávněnými držiteli například v případě, kdy klient je na svém účtu "v minusu" a stále se pokouší platební kartou platit.

Velmi podstatná je i skutečnost, že u čipové karty není možné vytvořit plnohodnotný padělek. Lze sice opět zkopírovat obsah magnetického proužku, ale na vytvoření duplikátu čipu, který by byl funkční, by bylo třeba vynaložit náklady mnohonásobně vyšší, než by byl zisk z uskutečněného podvodu. Čipová karta tedy omezuje riziko tzv. skimmingu - vytvoření falešné karty.

Proč nejde zneužít magnetický proužek?

Magnetický proužek na hybridní kartě do určité míry zneužít lze, ale není to tak jednoduché. Platební terminál, který čipovou technologii podporuje, rozezná hybridní kartu i v případě, že je rovnou sejmut magnetický proužek. Terminál z informací na proužku zjistí, že je karta čipová, a prostřednictvím displeje požádá obsluhu, aby kartu vsunula do terminálu správným způsobem, tedy čipem. Teprve na základě komunikace s čipem umožní transakci. V souvislosti s tímto principem je možné se setkat s dalším pojmem a tím je tzv. fall-back. Tato funkcionalita způsobí, že pokud se terminálu nepodaří uskutečnit transakci prostřednictvím čipu z nějakých technických důvodů - například, že bude čip poškozen, dovolí terminál obchodníkovi realizovat transakci prostřednictvím magnetického proužku. Vzhledem k tomu, že plošné umožnění této funkcionality by opět usnadnilo zneužití hybridní karty, respektive jejího magnetického proužku, je v mnoha zemích včetně České republiky zakázána alespoň pro domácí transakce. Jinými slovy: budete-li v ČR a na vaší v tuzemsku vydané platební kartě nebude fungovat čip, nebude fall-back umožněn, transakce se zkrátka nezrealizuje. Proto ani podvodník, který by měl kopii vašeho magnetického proužku, s kartou nezaplatí, protože terminál bude vyžadovat čip. I poměrně laxní obsluha si pak pravděpodobně všimne, že něco není v pořádku, když karta čip nemá. Pokud byste se do zmíněné situace s nefunkčností čipu dostali v zahraničí, karta vás bez prostředků nenechá a terminál použití magnetického proužku umožní.

Liability shift není zaklínadlo

Tento pojem se v souvislosti s čipovými kartami objevuje velmi často a je také pojmem, který je nejčastěji mylně interpretován. Liability shift je pravidlo, které při výrazném zobecnění říká, že při podvodné transakci platební kartou nese odpovědnost ta strana transakce, která neumožnila čipovou platbu. Jinými slovy: pokud je zneužita čipová karta na terminálu, který čipovou technologii nepodporuje, platí způsobenou škodu banka, která provozuje terminál. V případě zneužití nečipové karty na čipovém terminálu jde škoda na vrub vydavatele karty. Uvedené je ovšem velmi obecný výklad základního principu, nikoli však skutečného fungování, ve kterém je zahrnuta spousta dalších podmínek a okolností.

Klíčové však je, že pravidlo je čistě mezibankovní záležitostí a rozhoduje při řešení sporů mezi bankami. Liability shift nemá žádný vliv na klienty - držitele platebních karet a nijak neomezuje nebo neovlivňuje jejich odpovědnost za kartu a realizované transakce. Práva a povinnosti držitele karty se řídí obchodními podmínkami, které klient stvrzuje při podpisu smlouvy o používání platební karty. Bohužel z praxe známe již mnoho případů, kdy klient čipovou kartu ztratil a v domnění, že je "chráněn liability shiftem", se neobtěžoval kartu stoplistovat. Řešeny byly už i reklamace, kdy držitelé odmítali odpovědnost za transakce ztracené a nestoplistované magnetické karty s tím, že podle liability shiftu nese odpovědnost banka a není jejich chybou, že neměli čipovou kartu. Každá taková argumentace je mylná a zcela nesmyslná, platí výhradně obchodní podmínky, které jsou součástí smlouvy.

Jaké jsou nevýhody

Je zcela korektní přiznat, že čipové karty s sebou přináší i některé nevýhody, přestože výhody výrazně převládají. Asi nejvýraznějším dopadem je nutnost si trvale pamatovat PIN k platební kartě a používat jej u každé transakce. Zejména v restauracích tento mírný úpadek komfortu asi nějakou dobu pocítíme, protože tam, kde není přenosný platební terminál, si číšník pro hosta přijde ke stolu a odvede ho k terminálu se žádostí o zadání PINu. Zde je třeba apelovat na to, abyste i v té nejlepší náladě, i v závěru té nejromantičtější schůzky skutečně vstali a šli PIN zadat. Nikdy jej nesdělujte obsluze v restauraci nebo obchodě proto, že se vám k terminálu nechce.

Dalším problémem je prodloužení doby transakce na některých terminálech. Ve světě jsou dnes instalovány miliony platebních terminálů a jen v České republice je jich několik desítek tisíc. Je nepředstavitelné a ekonomicky nemožné všechna tato zařízení jednorázově vyměnit za nová a moderní s dostatečně rychlým hardwarem a softwarem. Z tohoto důvodu se může stát, že transakce čipovou kartou bude na některých starších terminálech trvat déle, než by trvala u magnetického proužku. Při vzájemné komunikaci karty a terminálu nebude zkrátka terminál myšlenkové pochody karty úplně stíhat. Zmíněná vyšší bezpečnost ale uživatelům určitě stojí za vynaloženou trpělivost.

Aby měla celá migrace na čipové karty smysl a aby obrovské prostředky investované bankami skutečně přinesly očekávaný přínos, je nutné, aby čipovky postupně zcela nahradily normální karty. Každý ať se tedy připraví na chvíli, kdy jeho banka začne čipové karty vydávat a nedá mu na výběr, zda chce u stejného produktu kartu s čipem nebo bez něj. Bude-li produkt čipový, dostane klient čipovku, i kdyby ji nechtěl. Je to však v jeho výsostném zájmu.

Multifunkčním kartám patří vzdálená budoucnost

Multifunkčnost čipových karet znamená, že počítač, který karta obsahuje, je využit na více věcí než pouze pro placení. Brzy se tak dočkáme platebních karet, jimiž se bude platit, a druhá, věrnostní aplikace bude sbírat u obchodníka nějaké body na odměny. Jednoho dne pak třeba naplníte košík v hypermarketu, dojedete k pokladně a budete si moct vybrat, zda chcete část svého nákupu zaplatit nasbíranými věrnostními body místo peněz.

Další typickou aplikací pro čipové karty je možnost umístění osobního elektronického certifikátu a elektronického podpisu. Taková karta nám umožní platit a při jejím zasunutí do čtečky domácího PC se jejím prostřednictvím bezpečně přihlásíme do elektronického bankovnictví nebo podepíšeme elektronicky podané daňové přiznání. Pokud by byly plně využity technologické možnosti čipových karet, bylo by teoreticky možné u sebe nosit jednu jedinou čipovou kartu, která by obsahovala platební funkci, věrnostní program, elektronický podpis, průkaz zdravotní pojišťovny a třeba permanentku do fitness nebo elektronický řidičský průkaz. To by ovšem znamenalo, že by se všechny firmy, banky a úřady, které by sdílely místo na vaší kartě, musely shodnout na principech takového fungování. Tedy na tom, kdo kartu zaplatí, kdo bude nahrávat další aplikace, kdo je bude spravovat a kdo za to komu a co bude platit. Vzhledem ke skutečnosti, že popsaná obchodní stránka věci není úplně jednoduchá, budeme asi ještě dlouho nosit karet a dokladů více.

Autor působí jako ředitel divize karty v eBance