Sormi käy puhelimen tunnistimella, ja maksuruutu katoaa. Kassalla se tuntuu lähes samalta kuin kortin näyttäminen lukijalle. Mutta mitä puhelin oikeastaan vahvisti? Tunnistiko se ostajan, avasiko se lompakon vai antoiko pankki jo luvan veloittaa?
Vastaus voi sisältää kaikki kolme, mutta eri kohdissa maksuketjua. Lompakkoa avatessa olet ehkä jo kirjautunut tilille. Puhelin tarkistaa nyt sormen, ja maksun tiedot jatkavat eteenpäin. Lyhyt ele peittää käyttäjältä monta erillistä vaihetta.
Sana digilompakko kattaa varsin erilaisia tuotteita. Kaupan kassalla käyttämäsi puhelinlompakko ei välttämättä välitä rahaa kuten selaimessa avaamasi maksutili. Sama sormenjälkipyyntö voi näkyä kummassakin. Ulkoasusta ei voi lukea maksun koko matkaa.
Sormenjälki avaa laitteen hyväksymistoiminnon
Kun painat sormen tunnistimelle, puhelin vertaa sitä aiemmin rekisteröityyn sormenjälkeen. Vertailu tapahtuu tavallisesti omassa laitteessasi. Kauppiaan ruudulle ei ilmesty kuvaa sormestasi. Maksuketju tarvitsee tiedon hyväksynnästä, ei kopiota sormenjäljestäsi.
Muistat ehkä tilin avaamisen: annoit tietoja ja vahvistit henkilöllisyytesi palvelun pyytämällä tavalla. Kassalla sormenjälki ei tee koko rekisteröintiä uudestaan. Se kertoo laitteelle, että sen hyväksymä käyttäjä sallii juuri tämän toiminnon. Asiakkaan tunteminen ja puhelimen lukituksen avaaminen jäävät silti eri tarkistuksiksi.
Maksutavan tutkiminen alkaa palvelun kassalta. Jos tarkasteltavana on esimerkiksi GetLucky, katso sen omasta maksunäkymästä, mitä tapoja sinulle tarjotaan ja millä ehdoilla. Toisella sivustolla näkemäsi lompakon logo ei osoita, että sama tapa olisi käytettävissä täälläkin.
Katso vielä euromäärä ennen sormen laskemista tunnistimelle. Jos tarkoitit siirtää 20 euroa ja ruudulla lukee 200, puhelin ei tunnista kirjoitusvirhettäsi. Se hyväksyy toiminnon, johon annat luvan.
Tunnistaminen, salaus ja maksulupa tekevät eri työn
Kolme käsitettä menee helposti sekaisin. Tunnistaminen varmistaa käyttäjää. Salaus suojaa tietoa siirron tai säilytyksen aikana. Maksulupa puolestaan kertoo, hyväksyykö maksujärjestelmä kyseisen tapahtuman.
Selaimen salattu yhteys käyttää tavallisesti TLS:ää. Sivullisen on silloin vaikeampi lukea puhelimen ja palvelimen välistä liikennettä. Tarkista silti osoite: salaus voi suojata myös yhteyttä väärään palvelimeen. Huijarin sivu ei muutu rehelliseksi salausmerkin avulla.
Lompakkotilin kirjautuminen ja yksittäisen maksun vahvistaminen voivat olla erillisiä tapahtumia. Käyttäjä voi päästä katsomaan saldoa, mutta suurempi maksu voi edellyttää uutta hyväksyntää. Joskus lisätarkistus tulee vastaan myös pienessä tapahtumassa.
Hyväksyntä ei myöskään aina merkitse lopullista tilikirjausta. Sovellus voi näyttää ensin katevarauksen tai vastaanotetun maksupyynnön. Lopullinen veloitus ja vastaanottajan oma käsittely voivat tapahtua myöhemmin. Tarkista tapahtuman tila ennen saman maksun tekemistä uudelleen.
Pääsyavain ja maksulompakko eivät ole sama asia
Pääsyavain eli passkey on kirjautumistapa, joka perustuu salausavaimiin. Palvelulla on julkinen avain, ja käyttäjän hallinnassa on sitä vastaava yksityinen avain. Kirjautumisessa laite todistaa hallitsevansa avainta paljastamatta sitä palvelulle.
Käyttäjä voi vapauttaa avaimen käytön sormenjäljellä, kasvojentunnistuksella tai laitteen tunnusluvulla. Sama näkyvä ele voi siis palvella useita tarkoituksia. Jokainen sormenjäljellä hyväksytty maksu ei silti käytä pääsyavainta.
Ohjeissa voit törmätä nimiin FIDO2 ja WebAuthn. Ne kertovat kirjautumisen toteutuksesta. Kun taas etsit tietoa korttitietojen käsittelystä tai maksun palauttamisesta, tarvitset muita tietoja. Kirjautumisohje ei vastaa siihen, mitä tapahtuu epäonnistuneelle ostokselle.
Avaa tilisi asetukset ja etsi kirjautumista koskeva kohta. Näkyykö siellä mahdollisuus luoda pääsyavain? Jos näkyy, lue ohjeet pääsyavaimen luomiseen. Puhelimesi sormenjälkilukitus ja verkkopalveluun luotava pääsyavain ovat kaksi erillistä asetusta; ensimmäinen ei kytke jälkimmäistä päälle puolestasi.
Kortin numero voidaan korvata tunnisteella
Kortin pitkä numerosarja voidaan korvata maksuketjussa toisella tunnisteella, tokenilla. Puhelinlompakon korttitiedoissa voi näkyä laitekohtainen numero. Tällaiselle tunnisteelle voidaan asettaa rajat: missä laitteessa tai millaisessa maksussa se kelpaa? Rajattu token ei siten anna varkaalle samoja käyttömahdollisuuksia kuin varsinainen korttinumero.
Tokenia ei pidä sekoittaa salattuun korttinumeroon. Salaus muuttaa tiedon lukukelvottomaksi ilman avainta. Tokenisoinnissa maksussa kulkee korttinumeron sijasta sitä edustava tunniste. Maksujärjestelmä voi käyttää näitä molempia, joten yhden mainitseminen ei sulje toista pois.
Kaikki digilompakot eivät kuitenkaan välitä maksuja korttitokenin avulla. Maksutili voi käyttää myös muita rahoituslähteitä ja maksureittejä. Käyttäjän ei siksi kannata päätellä yksittäisen lompakon rakennetta toisen tuotteen esittelystä.
Korttimaksun lisävahvistuksessa voi tulla vastaan myös 3D Secure. Se liittyy kortinhaltijan todentamiseen verkkomaksussa. PCI DSS taas sisältää korttitietojen suojaamista koskevia vaatimuksia niitä käsitteleville toimijoille. Kumpikaan nimi ei takaa, että käyttäjä saa rahat takaisin kaikissa riitatilanteissa.
Lisävahvistus ei ole automaattisesti virhe
Jos maksu pysähtyy pankin sovellukseen, kyse voi olla normaalista lisävahvistuksesta. Maksamiseen sovellettavat vaatimukset ja sallitut poikkeukset riippuvat tapahtumasta. Yksi ostos voi edetä vähin näkyvin vaihein, toinen pyytää uutta tunnistautumista.
Keskeytä kuitenkin tapahtuma, jos hyväksyntäpyyntö tulee ilman omaa maksua. Puhelimeen saapunut pyyntö ei muutu aidoksi sillä, että siinä näkyy tutun palvelun tunnus. Avaa palvelu itse ja tarkista tapahtumat.
Kyberturvallisuuskeskuksen ohje turvallisesta kirjautumisreitistä neuvoo siirtymään palveluun itse kirjoitetusta osoitteesta tai tallennetun kirjanmerkin kautta. Tätä kannattaa noudattaa erityisesti silloin, kun viesti väittää maksun epäonnistuneen ja vaatii välitöntä toimintaa.
Osoitteen tarkistaminen kuuluu myös lompakon palauttamiseen. Tukihenkilönä esiintyvä soittaja ei tarvitse laitteen tunnuslukua tai pankkitunnusten vahvistuskoodeja. Älä hyväksy etäohjausta vain siksi, että joku kertoo suojaavansa lompakkoasi.
Neljä tarkistusta ennen hyväksyntää
Maksuruudun kiire kannattaa katkaista muutamaksi sekunniksi. Tarkista näkyvät tiedot ennen biometrisen vahvistuksen antamista:
- Vastaanottaja vastaa palvelua, jossa asioit.
- Summa ja valuutta ovat oikein.
- Tapahtuma on oma ostoksesi tai siirtosi.
- Mahdollinen toistuva veloitus käy ilmi ehdoista.
Jos summa on eri kuin aiemmassa näkymässä, palaa takaisin. Myös valuutanvaihdon kustannus tai palvelumaksu voi vaikuttaa lopulliseen veloitukseen. Ne kuuluvat maksun arviointiin, vaikka tunnistautuminen olisi teknisesti suojattu.
PayPalcasinon maksamista käsittelevistä artikkeleista voi jatkaa maksutapojen sanastoon. Yksittäisen palvelun ajantasaiset maksuehdot on silti luettava suoraan palvelusta.
Kun hyväksynnän jälkeen näkyy virheilmoitus
Maksu hyväksyttiin puhelimessa, mutta selain palasi tyhjälle sivulle. Ensimmäinen reaktio on usein painaa maksupainiketta uudelleen. Odota ensin ja avaa lompakon tapahtumaluettelo. Siellä voi jo olla kyseistä summaa koskeva tapahtuma.
Vertaa tapahtuman aikaa, summaa ja vastaanottajaa. Jos merkintä löytyy, tarkista sen tila ja palvelun kuittaus. Maksun puuttuminen kauppiaan näkymästä heti vahvistuksen jälkeen ei vielä osoita, että tapahtuma olisi peruuntunut.
Jos maksua ei näy lainkaan, katso palveluntarjoajan ohje keskeytyneistä maksuista. Tarvittaessa ota yhteyttä viralliseen asiakastukeen. Kerro tapahtuman ajankohta ja summa, mutta älä lähetä kortin kaikkia tietoja tai lompakon kirjautumistunnuksia viestissä.
Sama varovaisuus koskee palautuksia. Palautuspyyntöä varten voidaan tarvita tapahtumatunniste, mutta rahan vastaanottaminen ei yleensä edellytä vieraan lähettämän kirjautumislinkin avaamista. Tarkista ohje omasta lompakkopalvelusta.
Pidä epäselvän tapahtuman kuitti tallessa, kunnes veloitus tai palautus on selvitetty. Näin sinun ei tarvitse arvailla myöhemmin, oliko kyseessä yksi yritys vai kaksi erillistä maksua.
Puhelimen vaihto paljastaa palautusreitin tärkeyden
Lompakko voi olla mukava käyttää kuukausia ilman, että sen palautustapaa tarvitsee ajatella. Tilanne muuttuu, kun puhelin rikkoutuu tai katoaa. Tunnistautumisen varareitti kannattaa selvittää jo ennen sitä.
Tarkista, miten lompakon käyttö estetään kadonneesta laitteesta ja miten pääsy palautetaan uuteen puhelimeen. Päivitä yhteystiedot tilin virallisissa asetuksissa. Jos palvelu tarjoaa palautuskoodeja, säilytä ne sen ohjeiden mukaan erillään helposti avattavasta puhelimesta.
Myös laitteen tunnusluku tarvitsee suojaa. Biometrinen tunnistus ei poista sitä, että järjestelmä voi pyytää tunnuslukua esimerkiksi uudelleenkäynnistyksen jälkeen. Valitse koodi, jota vieressä seisova ei arvaa tai opi yhdellä vilkaisulla.
Kun vaihdat laitetta, tarkista vanhaan puhelimeen jääneet maksukortit, aktiiviset istunnot ja lompakon laitelista. Poista vanhan laitteen käyttöoikeudet palvelun ohjeiden mukaan ennen luovutusta. Uudella puhelimella varmista, että näet tapahtumat ja saat ilmoitukset omaan numeroosi.
