Sigurnost plaćanja: PCI i prijevare

Modul 6: Upravljanje i sigurnost · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti zašto web-trgovina nikad sama ne obrađuje podatke o karticama, što PCI DSS i SAQ A znače za malu web-trgovinu, kako zaštititi stranicu za plaćanje te kako prepoznati i ograničiti prijevare i card testing.

Ključni pojmovi: PCI DSS, podaci o kartici, pružatelj usluga plaćanja, preusmjeravanje na stranicu za plaćanje, ugrađeni obrazac za plaćanje (iframe), SAQ A, skripte na stranici za plaćanje, e-skimming, https, HSTS, card testing, rate limiting, captcha, 3-D Secure, povrat sredstava (chargeback), rizik od prijevare

Podaci o kartici ne pripadaju u Vašu web-trgovinu

Broj kreditne kartice, datum isteka i sigurnosni kod kriminalcima vrijede kao zlato. Tko ih pohranjuje ili prosljeđuje, podliježe standardu PCI DSS (Payment Card Industry Data Security Standard), sigurnosnom standardu kartičnih kuća. Trenutačna verzija je v4.0.1. Za tvrtku koja sama obrađuje podatke o karticama to je opsežan paket zahtjeva: odvajanje mreža, zapisnici, skeniranja, testiranje od strane ovlaštenog subjekta.

Mala web-trgovina to ne želi, a i ne mora. Čvrsto pravilo glasi: podaci o kartici nikad ne ulaze u Vašu web-trgovinu. Kupac ih upisuje kod Vašeg pružatelja usluga plaćanja (Mollie, Stripe, PayPal, WooPayments ili neki drugi, lekcija 4.4). Web-trgovina nakon toga dobiva samo informaciju: plaćeno ili nije, uz referentnu oznaku. Bez broja kartice, bez koda. To također znači:

• nikad ne izrađujte vlastito polje obrasca za brojeve kartica, pa ni „samo na brzinu za telefonsku narudžbu”;
• nikad ne primajte podatke o kartici e-poštom, chatom ili telefonom i ne upisujte ih u bilješku uz narudžbu;
• ne koristite dodatak koji podatke o karticama sprema u Vašu vlastitu bazu podataka.

Preusmjeravanje ili ugrađeni obrazac: SAQ A

Male web-trgovine pomoću SAQ-a (Self-Assessment Questionnaire, upitnik za samoprocjenu) dokazuju da ispunjavaju PCI DSS. Vaš pružatelj usluga plaćanja to ponekad traži. Najjednostavniji je SAQ A, za web-trgovine koje plaćanje u potpunosti prepuštaju vanjskom pružatelju. To u web-trgovini funkcionira na dva načina:

1. Preusmjeravanje. Nakon „naručivanja” kupac odlazi na stranicu za plaćanje pružatelja usluge i zatim se vraća. Web-trgovina nikad ne vidi podatke o kartici, pa ni stranicu na kojoj se upisuju.
2. Ugrađeni obrazac. Polje za plaćanje nalazi se na Vašoj stranici za plaćanje, ali je riječ o iframeu (dijelu stranice) pružatelja usluge. Podaci o kartici idu iz preglednika izravno pružatelju usluge.

Od 31. ožujka 2025. vrijedi nova verzija SAQ A. U njoj se nalazi uvjet koji se uglavnom odnosi na drugi način: tko koristi ugrađeni obrazac, mora potvrditi da njegova stranica nije podložna napadima skriptama koji mogu pogoditi sustav plaćanja. Pozadina je e-skimming: zlonamjerna skripta na Vašoj stranici za plaćanje koja prati što kupac upisuje ili preko pravog polja za plaćanje postavlja lažno. Tko preusmjerava na stranicu pružatelja usluge, ne podliježe tom uvjetu. Pitajte svojeg pružatelja usluga plaćanja koji SAQ vrijedi za Vašu integraciju; on to točno zna.

Što u svakom slučaju činite:

• Neka stranica za plaćanje bude što jednostavnija. Svaka skripta na toj stranici u načelu može pratiti unos: widgeti za chat, upravitelji oznaka (tag manageri), oglašivački pikseli, alati za A/B testiranje. Na stranici za plaćanje učitavajte samo ono što je potrebno za plaćanje. Upravitelj oznaka na stranici za plaćanje vrata su kroz koja svatko s pristupom tom računu može dodati skripte.
• Malo dodataka, i to ažuriranih (lekcija 6.2). Većina e-skimminga na WordPressu ulazi kroz propust u dodatku ili ukradenu administratorsku lozinku.
• Content-Security-Policy (zaglavlje koje određuje s kojih domena smiju dolaziti skripte) ograničava štetu ako nešto ipak uđe. To je posao za nekoga tko to zna testirati; pogrešan CSP pokvarit će Vaš gumb za plaćanje.

https i HSTS na stranici za plaćanje

Podrazumijeva se da cijela Vaša web-trgovina radi preko https (tečaj o WordPressu, lekcija 3.1). Za stranicu za plaćanje dolaze još dvije stvari:

• http mora odmah preusmjeravati na https, trajnim preusmjeravanjem (301 ili 308). Kupac koji jednom upiše http://shop.example.com/afrekenen/ ne smije dobiti nešifriranu stranicu.
• HSTS (HTTP Strict Transport Security) je zaglavlje kojim pregledniku nalažete da određeno vrijeme Vašu stranicu otvara samo preko https. Time sprječavate da netko na otvorenoj Wi-Fi mreži presretne prvi nešifrirani zahtjev. Max-age od najmanje 180 dana uobičajeni je minimum. HSTS uključite tek kada sve, uključujući poddomene koje obuhvaćate, radi preko https: preglednik koji je vidio HSTS nakon toga odbija http. KB 6752 objašnjava kako ga postaviti.

Mješoviti sadržaj (skripta ili stilska datoteka preko http na https stranici) na stranici za plaćanje posebno je opasan: upravo se takva datoteka može zamijeniti na putu do kupca.

Card testing

Kod card testinga kriminalci koriste Vašu web-trgovinu kako bi isprobali ukradene brojeve kartica. Automatski postavljaju stotine malih narudžbi. Svako uspješno plaćanje govori im da kartica radi. Vi dobivate hrpu neuspjelih narudžbi, troškove po transakciji, povrate sredstava i u najgorem slučaju pružatelja usluga plaćanja koji blokira Vaš račun.

Kako ga prepoznati: mnogo narudžbi u kratkom vremenu, često istog malog proizvoda, s različitim imenima, ali istim ili neobičnim adresama, i mnogo narudžbi sa statusom Neuspjelo.

Kako ga ograničiti:

• Rate limiting (ograničenje broja zahtjeva u određenom vremenu). Store API WooCommercea, koji koriste blokovi košarice i blagajne, ima ugrađen rate limiting, ali je on prema zadanim postavkama isključen. U WooCommerce > Postavke > Napredno > Značajke možete uključiti „Rate limiting Checkout block and Store API” za postavljanje narudžbi. Kodom (filterom) granicu možete sami postaviti; zadana vrijednost je 25 zahtjeva u 10 sekundi, a računaju se samo naručivanje i druge radnje pisanja. Ako je Vaša web-trgovina iza proxyja ili CDN-a, mora biti uključena podrška za proxy, inače se svi posjetitelji računaju kao jedan.
• Captcha ili slična prepreka pri plaćanju. WooCommerce sam navodi da rate limiting i captcha zajedno najbolje djeluju: napadači često mijenjaju IP adresu.
• Postavke Vašeg pružatelja usluga plaćanja. Pružatelji imaju vlastite filtre za prijevare i ograničenja. Uključite ih i pratite što prijavljuju.
• 3-D Secure (dodatna potvrda u bankovnoj aplikaciji, dio pouzdane autentifikacije klijenta u EU) kriminalcima otežava posao i u slučaju spora često prebacuje odgovornost na banku vlasnika kartice.

Druge prijevare

Nije svaka prijevara automatizirana. Znakovi koji zajedno daju razlog da malo pričekate sa slanjem:

• adresa za račun i adresa za dostavu u različitim zemljama, ili adresa za dostavu kod usluge prosljeđivanja pošiljaka;
• prva narudžba sa samo skupim proizvodima koje je lako preprodati, uz hitnu dostavu;
• više pokušaja s različitim karticama;
• kupac koji nakon plaćanja traži slanje na drugu adresu.

Povrat sredstava (chargeback) je poništenje kartičnog plaćanja od strane banke kupca. Gubite iznos, često uz troškove, a proizvod je otišao. Zato čuvajte dokaz o slanju i isporuci. iDEAL plaćanje u Nizozemskoj dosad se nije moglo poništiti na taj način; kako je to kod Wero, saznat ćete od svojeg pružatelja usluga plaćanja (lekcija 4.4). U Hrvatskoj se kao načini plaćanja koriste kartice, internetsko bankarstvo i pouzeće.

Sažetak

• Podaci o kartici nikad ne ulaze u Vašu web-trgovinu: ni u obrasce, ni u bilješke, ni u e-poruke. Obrađuje ih pružatelj usluga plaćanja.
• Preusmjeravanje na stranicu za plaćanje ili ugrađeno polje pružatelja usluge drži Vas u najjednostavnijem PCI upitniku (SAQ A); kod ugrađenog polja Vaša stranica za plaćanje mora biti zaštićena od napada skriptama.
• Neka stranica za plaćanje bude jednostavna, preko https, s preusmjeravanjem 301 s http i s HSTS-om od najmanje 180 dana.
• Card testing ograničavate pomoću rate limitinga (prema zadanim postavkama isključen), captche i filtara Vašeg pružatelja usluge.
• Pazite na znakove prijevare i čuvajte dokaz o isporuci kao zaštitu od povrata sredstava.

Kviz

Zadatak

Zadatak A6.3: Je li Vaša stranica za plaćanje sigurna? Unesite adresu svoje web-trgovine i adresu svoje stranice za plaćanje. Program provjerava certifikat, dohvaća stranicu za plaćanje preko http (bez praćenja preusmjeravanja) i preko https (s praznom košaricom, ništa se ne naručuje). Zeleno ako je certifikat valjan, http preusmjerava s 301 ili 308 na https, zaglavlje Strict-Transport-Security ima max-age od najmanje 180 dana, nema mješovitog sadržaja i najviše pet drugih domena učitava skripte na stranici (program ih prikazuje). Narančasto ako HSTS-a nema ili je prekratak, ako je preusmjeravanje privremeno (302 ili 307), ako ima više od pet domena sa skriptama ili upravitelj oznaka, ili ako je polje za broj kartice u vlastitom HTML-u umjesto kod pružatelja usluge. Crveno ako https ili certifikat nisu ispravni, ako http ne preusmjerava ili ako se skripte ili stilske datoteke učitavaju preko http. Podatke o kartici nikad ne pohranjujte sami. Ova provjera vidi samo ono što je na stranici bez košarice.

Pitanje za Vas (ne provjerava se): preusmjerava li Vaš dodatak za plaćanje na pružatelja usluge ili je polje za plaćanje na Vašoj stranici? Koji SAQ prema Vašem pružatelju usluge vrijedi?

Zelena kvačica znači da je ova provjera sada u redu, a ne da je Vaša web-trgovina sigurna.

Daljnje čitanje

Koraci u panelu odnose se na WebOké; kod drugih pružatelja postupak je sličan.

• Besplatan WordPress tečaj 3.1: Https i certifikat
• HSTS i sigurnosna zaglavlja za Vašu web stranicu
• Obavezno preusmjeravanje posjetitelja na https
• DirectAdmin priručnik 6.4: Posjetitelje uvijek usmjerite na https
• Besplatan tečaj Sigurno poslovanje na internetu za poduzetnike 4.2: Vaša web stranica: https, HSTS i sigurnosna zaglavlja
• Novosti za SAQ A (PCI Security Standards Council, na engleskom): https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a
• Rate limiting za Store API (developer.woocommerce.com, na engleskom): https://developer.woocommerce.com/docs/apis/store-api/rate-limiting/
• Card testing attacks and the Store API (developer.woocommerce.com, na engleskom): https://developer.woocommerce.com/2024/12/18/card-testing-attacks-and-the-store-api/