Sponsored

QR platba odstraňuje nejviditelnější slabinu klasického převodu: ruční opisování čísla účtu, kódu banky, částky, variabilního symbolu a zprávy pro příjemce. To je reálné zlepšení. Méně přepisování znamená méně překlepů. Jenže QR kód zároveň přesouvá pozornost na poslední obrazovku před potvrzením platby. Když člověk přestane údaje číst, pohodlí se změní v rychlý způsob, jak poslat peníze na špatný účet, ve špatné částce nebo se špatným párovacím symbolem.

Český standard QR Platba, navázaný na formát České bankovní asociace, řeší technické předání platebních údajů. Web QR Platba jej popisuje jako způsob, jak v mobilní bankovní aplikaci nebo platebním terminálu snadněji vyplnit platební příkaz. V návodu pro uživatele je důležitý sled kroků: údaje se načtou, uživatel je zkontroluje, případně doplní, a teprve potom odešle standardní platbu. QR kód tedy neposílá peníze sám. Neověřuje ani to, že účet patří skutečnému dodavateli, že částka odpovídá smlouvě nebo že variabilní symbol patří právě této faktuře.

Stejnou logiku mají bankovní návody. Česká spořitelna v George Business uvádí, že po naskenování QR kódu se údaje k platbě vyplní automaticky a klient má zkontrolovat vyplněné údaje včetně splatnosti. MONETA popisuje načtení čísla účtu, částky a dalších důležitých údajů, po kterém klient platbu zkontroluje a dokončí. Komerční banka u placení QR kódem pracuje s otevřením platebního příkazu, kontrolou údajů a potvrzením. Společný jmenovatel je jednoduchý: QR kód zrychluje zadání, nikoli obchodní kontrolu.

Chyby se přitom liší podle toho, která položka je špatně. Chyba v čísle účtu je nejtvrdší, protože peníze odcházejí jinému příjemci nebo na účet použitý v podvodu. Chyba v částce může znamenat přeplatek, nedoplatek nebo zbytečnou reklamaci. Chyba ve variabilním symbolu často nezmění příjemce, ale rozbije párování platby; faktura pak může v systému dodavatele dál vypadat jako neuhrazená. Chyba ve zprávě pro příjemce bývá méně kritická, ale u menších institucí nebo ručního párování může také způsobit dohledávání. QR platba tyto rozdíly nemaže. Pouze je schová do automaticky vyplněného formuláře.

Největší riziko vzniká u faktur poslaných e-mailem. Podvržená faktura nemusí vypadat amatérsky. Česká spořitelna popisuje scénář, kdy zpráva působí jako od dodavatele, obsahuje informaci o změně účtu nebo rovnou fakturu s logem a příjemce odešle peníze na účet podvodníka. Komerční banka upozorňuje, že útočník může pozměnit platební instrukce v e-mailové komunikaci. QR kód v takovém dokumentu není ochranný prvek. Je to jen pohodlný nosič stejných, už pozměněných instrukcí.

Technická kontrola bankovní aplikace má proto omezený význam. ČSOB u generování QR platby uvádí, že kód banky lze zadat ručně nebo vybrat ze seznamu a systém kontroluje existenci zadaného kódu banky. Taková kontrola může zachytit nesmyslný kód banky nebo neúplný příkaz. Neřekne však, že účet skutečně patří firmě uvedené na faktuře. Neřekne ani, že částka odpovídá objednávce, že splatnost sedí s dohodou nebo že faktura nepřišla po prolomení e-mailové schránky.

Praktická kontrola má být krátká, ale vědomá. Před potvrzením platby se má číst obrazovka v bankovní aplikaci, ne jen faktura v příloze. U běžné domácnosti stačí porovnat příjemce, číslo účtu, částku, variabilní symbol, účel platby a splatnost s objednávkou, smlouvou nebo klientskou zónou. U firmy má přibýt kontrola proti seznamu schválených účtů dodavatelů. Pokud přišla zpráva o změně účtu, nemá se ověřovat odpovědí na stejný e-mail. Bezpečnější je použít dříve uložený kontakt, smluvní dokumentaci nebo klientskou zónu.

Variabilní symbol si zaslouží samostatnou pozornost. V českém platebním provozu je to hlavně párovací údaj. Když útočník ponechá známý variabilní symbol a změní jen účet, platba může na první pohled působit důvěryhodně. Když klient přepíše částku nebo variabilní symbol špatně, příjemce může platbu dohledat, ale nemusí ji automaticky přiřadit. Pro spotřebitele to může znamenat upomínku za dávno zaplacenou fakturu. Pro firmu to může znamenat ruční dohledávání v účetnictví a zbytečné napětí v dodavatelském vztahu.

Rychlost okamžitých plateb zvyšuje tlak na první kontrolu. ČNB v popisu tuzemského mezibankovního převodu uvádí úhradu jako platební transakci prováděnou bankou plátce z podnětu plátce na základě jeho příkazu. Jakmile klient platbu zadá a autorizuje, banka pracuje s jeho příkazem. V informacích k platebním službám ČNB současně zdůrazňuje, že poskytovatel musí informovat o postupu oznámení neautorizované nebo nesprávně provedené transakce, odpovědnosti a možnostech stížnosti. To je důležité právo, ale ne garance, že se autorizovaná platba na špatný účet automaticky vrátí.

Rozdíl mezi omylem a podvodem je prakticky zásadní. Pokud člověk pošle platbu na správný účet se špatným variabilním symbolem, řeší hlavně dohledání u příjemce. Pokud pošle správnou částku na cizí účet kvůli překlepu nebo špatnému QR kódu, potřebuje rychle kontaktovat banku a příjemce, případně požádat banku o součinnost při vrácení. Pokud šlo o podvrženou fakturu, změnu účtu v e-mailu nebo sociální inženýrství, vedle banky má dávat smysl i oznámení policii. ČNB u podvodů s multifaktorovou autentizací připomíná, že spotřebitel může nést ztrátu u transakce, kterou v domnění správnosti sám potvrdil.

Ani bankovní monitoring tuto odpovědnost úplně nepřebírá. Komerční banka popisuje automatické vyhodnocování nestandardních transakcí a současně radí před potvrzením zkontrolovat příjemce a částku, zvlášť u QR kódu. Banka může některé transakce zdržet, varovat nebo zastavit, ale nezná každý obchodní vztah klienta. Neví, zda nový účet na faktuře skutečně nahradil starý, zda rodina objednala konkrétní službu nebo zda účetní oddělení schválilo změnu dodavatele.

Silná QR rutina proto vypadá obyčejně: skenovat, číst, porovnat a až potom potvrdit. U malých částek může jít o několik sekund. U částek, které by domácnost nebo firmu citelně bolely, se vyplatí ověření mimo e-mail nebo mimo zprávu, která fakturu přinesla. QR platba je dobrý nástroj proti překlepům. Špatný účet, špatná částka a špatný variabilní symbol ale zůstávají lidskou kontrolou před potvrzením, ne problémem, který za klienta vyřeší obrázek na faktuře.

Zdroje

Tomáš Horák

Contributing writer at Clarqo.