"Verified by Visa" - hvem hæfter?

Det ser ud til, at jeg efterhånden er nødt til at bryde sammen og acceptere Verified by Visa, selv om jeg virkelig ikke bryder mig om en verificeringsmetode, som ikke kan skelnes fra et phishing-forsøg.

Men jeg har simpelthen ikke kunnet finde noget om hæftelsesregler. Ved gammeldags netkøb er det let: Jeg bestiller en vare, og betaler med kort. Hvis forretningen trækker pengene uden at sende varen, kan jeg få alle mine penge igen, da der ikke er brugt PIN-kode.

Men med Verified by Visa får jeg jo en ny kode, som jeg skal bruge ved netkøb. Nogle banker omtaler den som "en slags PIN-kode". Så jeg spørger naturligvis mig selv, om et netkøb med Verified by Visa betragtes som køb med PIN-kode, så jeg hæfter for beløbet, uanset om jeg får varen.

Jeg har søgt på nettet og i diverse kortbetingelser uden at finde svar - ja, endda uden at finde nogen, som har stillet samme spørgsmål.

Jeg kunne naturligvis afkræve min bank et svar, men jeg er desværre i den situation, at jeg har et netkøb, som jeg skal have foretaget senest i morgen, og den eneste brugbare sælger bruger Verified by Visa.

Princesslea skrev: det vil sige at hvis noget går galt kan du stadig få trukket beløbet tilbage til dit kort

Det følger ikke logisk af det, du skrev. Hvad er din kilde?

Skal vi ikke lige holde op med at kalde det en yderligere sikkerhed? Det er ikke en yderligere sikkerhed, når det er umuligt at se forskel på en ægte og en falsk Verified by Visa-side.

Hvis du søger lidt på nettet, vil du finde masser af eksempler på, at nogen har indtastet deres oplysninger på en Verified by Visa-side i forbindelse med et internetkøb og derefter med disse oplysninger har fået kortet misbrugt, fordi siden var falsk og bare var oprettet for at samle kortdata og koder.

Jeg kan så lige så godt referere det svar, som Jesper og jeg i fællesskab nåede frem til i et andet forum:

Brug af betalingskort er i dag reguleret af Lov om Betalingstjenester. I denne lov kan man læse dette:

§ 74. Ved betalingstransaktioner i forbindelse med aftaler om køb af varer eller tjenesteydelser ved fjernsalg, som er iværksat ved brug af et betalingsinstrument, skal betalers udbyder uanset § 73, stk. 1, undlade at gennemføre en betalingstransaktion eller, hvis debitering er sket, straks kreditere betalers konto, hvis betaler gør en af følgende indsigelser gældende:

Så ja, det er alene nok, at der er tale om fjernsalg, og at ydelsen ikke er leveret. En evt. brug af kode har ingen relevans.

Vi er enige om, at det er en yderligere sikkerhed for butikkerne. Problemet er, at det også bliver udråbt til at være en yderligere sikkerhed for kortholderne. Det er ikke tilfældet, tværtimod.

For det første er nettet fyldt med fortællinger om folk, der har fået deres kortoplysninger og kode nappet på en falsk betalingsside med en falsk VbV-side og derefter naturligvis har fået kortet misbrugt. Så langt er historien ikke anderledes fra brug af kort på en falsk betalingsside UDEN VbV - her får man naturligvis også sine kortoplysninger snuppet og misbrugt.

Forskellen opstår først i det øjeblik, de går i banken og gør indsigelse og får at vide, at det da ikke kan passe. "Vi kan se, at VbV-koden har været anvendt, så naturligvis er det dig, der har betalt. For du har da vel ikke overladt koden til andre, vel? ... VEL?!?!"

For det andet kan det aldrig være til gavn for sikkerheden, at man vænner brugerne til at acceptere åbenlyse phishing-forsøg. Og hele VbV-proceduren er bygget op, så den til forveksling ligner et åbenlyst phishing-forsøg.

Det var især slemt i den oprindelige, danske udgave, hvor man fra betalingssiden blev ledt direkte til sin netbank, hvor det var meningen, at man skulle logge på. Det strider jo mod alt, hvad man har lært om at undgå phishing-forsøg. Man logger ikke på sin netbank ved at følge et link i en mail, og man logger ikke på sin netbank ved at følge et link eller en automatisk viderestilling fra en anden hjemmeside.

Den personlige oplysning er simpel at give videre ved et Man in the Middle-angreb. Den falske VbVserver skal blot bruge mine indtastede kortoplysninger til at påbegynde en betaling hos en tilfældig butik, som bruger VbV. Så ser den falske VbV-server en ægte VbV-side, hvorfra den kan nappe min personlige oplysning.

Man skal vist være bankmand for at tro, at det er sikkert...