Chargeback: kakšne stroške ima trgovec in kako jih omejiti
November 2, 2026
Skimming na POS terminalu pomeni, da storilci na plačilni terminal ali vanj namestijo napravo, ki med plačilom prekopira podatke kartice, pogosto pa s skrito kamero ali lažno tipkovnico zajamejo še PIN. Za kupca je posledica nepooblaščen nakup s ponarejeno kartico, za trgovca pa ogrožene stranke, reklamacije in izguba zaupanja. V nadaljevanju so opisani načini napada, opozorilni znaki, dnevni pregled terminala, ukrepi ob sumu zlorabe in pravice imetnika kartice v Sloveniji.
Izraz skimming izhaja iz angleščine in opisuje kopiranje podatkov plačilne kartice med povsem običajnim plačilom. Kupec ničesar ne opazi: plačilo je odobreno, račun se natisne, podatki kartice pa so že shranjeni v napravi storilca. Združenje bank Slovenije opozarja, da storilci na POS terminal namestijo kopirno napravo za prepis podatkov kartice in hkrati s kamero posnamejo vnos PIN-a.
Ameriški FBI skimming opisuje kot nezakonito nameščene naprave na ali v POS terminalu, ki zajamejo podatke kartice in lahko zabeležijo PIN. Pridobljene podatke storilci nato uporabijo za izdelavo ponarejenih kartic ali za nepooblaščene nakupe. Napad se v praksi pojavlja v treh oblikah.
Najpogostejša oblika je fizični nastavek. Po navedbah U.S. Secret Service so POS skimmerji pogosto plastični nastavki, ki prekrijejo celoten zgornji del terminala ali samo tipkovnico in režo za čip. Takšen nastavek lahko zajame zapis z magnetnega traku, podatke z EMV čipa in vnose na tipkovnici. Ker je izdelan po meri določenega modela terminala, ga je ob hitrem pogledu težko ločiti od originala.
Podatki kartice sami po sebi storilcu pri dvigu gotovine ali nakupih, kjer se zahteva PIN, ne zadostujejo. Zato skimmer pogosto dopolnjuje majhna kamera, nameščena tako, da snema tipkovnico, ali tanka lažna tipkovnica, ki beleži pritiske tipk. Kamera je lahko skrita v okvirju blagajne, v stojalu za terminal ali v predmetu na pultu.
Vsak napad ni fizičen. Ameriška agencija CISA je opozorila, da lahko kriminalci namesto skimmerja uporabijo zlonamerno programsko opremo v POS sistemu, ki podatke prestreže med obdelavo in jih pošlje napadalcu. Ta oblika ogroža predvsem podjetja, kjer je blagajniški sistem povezan z drugimi računalniki v omrežju, kjer zaposleni uporabljajo skupna gesla ali kjer posodobitve niso redno nameščene.
Skimming ni naključen. Storilci izberejo mesta, kjer je veliko plačil, malo nadzora in dovolj gneče, da namestitev nastavka ostane neopažena. Smernice PCI Security Standards Council med možnimi tarčami navajajo PIN, nenadzorovane ali začasno nenadzorovane terminale, terminale z velikim prometom in trgovce z obdobji povečanega prometa. Secret Service kot pogosta mesta incidentov v ZDA omenja lekarne, bencinske servise in trgovine z živili.
| Okoliščina | Zakaj je tvegana | Osnovni ukrep |
|---|---|---|
| Terminal z velikim prometom | Veliko kartic v kratkem času, storilec hitro zbere podatke | Pregled terminala ob odprtju in po menjavi izmene |
| Nenadzorovan terminal (avtomat, polnilnica, samopostrežna blagajna) | Nihče ne opazuje naprave med namestitvijo nastavka | Pogostejši fizični pregledi, zaščitno ohišje, video nadzor |
| Začasno nenadzorovan terminal | Prodajalec za hip odide v skladišče ali k drugi stranki | Terminal ob odhodu vzemite s seboj ali ga zaklenite |
| Konice prometa (sezona, prireditve, prazniki) | Osebje je zaposleno, gneča prikrije storilca | Določite odgovorno osebo za terminale v izmeni |
| Terminal, ki se predaja strankam | Naprava kroži po lokalu ali med mizami | Terminal ostane v vidnem polju prodajalca |
FBI opozarja na še en vzorec: storilci lahko skimmer namestijo v nekaj sekundah, osebje pa pri tem zamotijo z zahtevo po izdelku ali pomoči. Če stranka prodajalca prosi, naj prinese izdelek iz skladišča, medtem ko druga oseba stoji ob terminalu, je to položaj, na katerega mora biti osebje pozorno.
Spremenjen terminal se največkrat izda z drobnimi fizičnimi odstopanji. Secret Service svetuje, da preverite plastične robove terminala in tipkovnice ter nežno povlečete za njihove vogale. Če je kateri del ohlapen, terminala ne uporabite in o tem takoj obvestite trgovca. FBI dodaja, da ne uporabljate naprave, ki je ohlapna, postrani nameščena, poškodovana ali opraskana.
Opozorilni znaki, ki jih lahko opazi kupec ali prodajalec:
Pri prepoznavanju pomaga tudi splošna ozaveščenost o prevarah. Osnove zaščite pred prevarami so koristne za vse zaposlene, saj se fizični skimming pogosto prepleta z lažnimi klici, sporočili in socialnim inženiringom.
Najučinkovitejša zaščita pred skimmingom je postopek, ki ga osebje izvaja vsak dan in ne šele po incidentu. PCI Security Standards Council poudarja, da so tarče različne, od PIN-a in posameznega terminala do celotnega trgovca z velikim prometom, zato mora nadzor zajemati tako napravo kot organizacijske postopke.
Pri nenadzorovanih napravah, kot so avtomati in polnilne postaje, je pomembna tudi stabilna in nadzorovana povezljivost. Namenske M2M SIM kartice za plačilne terminale in centralni pregled nad napravami omogočajo, da podjetje hitro opazi, kdaj terminal nenadoma izgubi povezavo ali se obnaša drugače kot običajno.
Pregled nad prometom je drugi del nadzora. Združenje bank Slovenije v strokovnem prispevku izpostavlja spremljanje transakcij v realnem času ter analizo lokacije, časa, naprave in potrošniških navad kot način prepoznavanja netipičnih transakcij. Trgovec lahko podobno logiko uporabi pri lastnem prometu: nenavadno veliko zavrnjenih plačil, veliko plačil z magnetnim trakom ali transakcije izven delovnega časa so razlog za pregled. Kako takšne podatke spremljati sproti, opisuje vodič o analitiki kartičnih plačil, osnovne zaščitne ukrepe pa povzema članek o varnosti kartičnih plačil.
Kupec ima pri plačilu manj nadzora kot trgovec, a nekaj navad bistveno zmanjša tveganje:
Hitro ukrepanje zmanjša škodo in ohrani dokaze. Postopek je za trgovca in kupca različen.
Secret Service podjetjem svetuje, naj sumljiv POS terminal takoj izločijo iz uporabe, obvestijo pristojno varnostno službo oziroma serviserja in pokličejo policijo, da napravo zavaruje kot dokaz.
Združenje bank Slovenije svetuje, da sumljiv bankomat ali POS terminal takoj prijavite banki in policiji, kartico pa ob sumu zlorabe nemudoma prekličete. Kartico blokirate na številki, ki jo za ta namen objavlja vaša banka, nato pa preverite zadnje transakcije v spletni ali mobilni banki. Pri plačilu, ki ga niste odobrili, se čim prej obrnite na banko, ki je kartico izdala.
Po podatkih Zveze potrošnikov Slovenije zakon o plačilnih storitvah (ZPlaSSIED) določa, da uporabnik izgubo zaradi neodobrene plačilne transakcije krije le do 50 €. Izjema je huda malomarnost: po mnenjih, ki jih objavlja Združenje bank Slovenije, uporabnik nosi celotno izgubo, če zaradi hude malomarnosti ni izpolnil ene ali več obveznosti glede plačilnega instrumenta. Kaj šteje za hudo malomarnost, se presoja v vsakem primeru posebej.
Združenje bank Slovenije poudarja, da banke vsak primer zlorabe obravnavajo posamično. Šele ugotovljeni potek dogodkov omogoči presojo odgovornosti banke, imetnika in morebitne delitve škode.
Pri reklamaciji je pomembna dokumentacija. Po pogostih vprašanjih Združenja bank Slovenije imetnik predloži razpoložljivo komunikacijo s prodajnim mestom, potrdilo POS terminala in izpisek, roke za reklamacijo pa preveri v splošnih pogojih svoje banke. Kadar blago ali storitev ni bila prejeta, lahko kartično plačilo zapade pod pravila vračila (chargeback) kartičnih shem Visa in Mastercard, plačilo prek spletne banke pa ne.
Za trgovca to pomeni dvoje: shranjujte potrdila in evidenco transakcij ter jih ob poizvedbi banke pripravite hitro. Kako ravnati, ko terminal kartico zavrne, opisuje kontrolni seznam za zavrnjeno kartico.
Pri PosSlo vsak dan svetujemo podjetjem, ki sprejemajo kartična plačila: od taksistov in gostincev do salonov, ambulant in organizatorjev dogodkov. Izkušnja je jasna: skimming najlažje uspe tam, kjer nihče ne ve natančno, kako je terminal videti, ko je v redu, in kdo je zanj odgovoren.
Zato menimo, da varnost ni le stvar naprave, ampak navade. Terminal z znano serijsko številko, fotografija v evidenci in minuta pregleda ob odprtju naredijo več kot katera koli dodatna oprema. Kjer je mogoče, priporočamo brezstična plačila, saj kupcu kartice ni treba vstavljati v režo.
Za podjetja, ki plačila sprejemajo na terenu, je smiselno razmisliti tudi o soft POS rešitvi. Pri njej kupec kartico prisloni ob telefon trgovca, zato ni ločene reže ali tipkovnice terminala, ki bi jo storilec lahko prekril z nastavkom. Za avtomate in samopostrežna mesta pa velja, da potrebujejo namensko unattended rešitev in pogostejše preglede kot terminal na pultu.
— PosSlo
PosSlo je uradni prodajalec POS terminalov in plačilnih rešitev myPOS v Sloveniji. Ponujamo klasične POS terminale, soft POS rešitve za Android naprave, unattended terminale za avtomate in spletne plačilne rešitve. Odprtje je brezplačno, mesečnih stroškov ni, izplačila so instantna, vsak terminal pa vključuje brezplačno SIM kartico za prenos podatkov po vsej Evropi.
Preglejte ponudbo POS terminalov ali preverite soft POS rešitev za Android, če želite plačila sprejemati kar s telefonom.
Brezstično plačilo je varnejše od plačila z magnetnim trakom, zato ga Secret Service priporoča kot eno od zaščit. Ker kartice ne vstavljate v režo, nastavek nad režo podatkov ne prebere. Še vedno pa velja, da pri vnosu PIN-a zakrijete tipkovnico in spremljate obvestila o transakcijah.
FBI navaja, da lahko storilec skimmer namesti v nekaj sekundah, pogosto takrat, ko osebje zamoti z vprašanjem ali zahtevo po izdelku. Zato je pomembno, da terminal ostane v vidnem polju prodajalca in da ga osebje redno pregleduje.
V Sloveniji imetnik po zakonu o plačilnih storitvah izgubo zaradi neodobrene transakcije praviloma krije do 50 €. Če je zaradi hude malomarnosti kršil obveznosti glede kartice, lahko nosi celotno izgubo. Banka vsak primer presodi posamično.
Odgovornost se presoja glede na potek dogodkov v vsakem primeru posebej. Trgovec svoj položaj izboljša z evidenco terminalov, dokumentiranimi dnevnimi pregledi in takojšnjo prijavo ponudniku ter policiji. Pri konkretnem sporu se posvetujte s ponudnikom plačilnih storitev ali pravnikom.
