Wanneer iemand het kaartnummer, de vervaldatum en de veiligheidscode van jouw gewone bankkaart kent, kan die jou online vrij eenvoudig bestelen. Een dief heeft daarvoor geen pincode of fysieke kaart nodig. Binnen Europa is een extra beveiliging voor online betalingen met een bankkaart niet verplicht voor bedragen onder de 30 euro. Al staat daar wel een limiet op. Bij webwinkels en platformen van buiten Europa is het gevaar groter.
Zelfs zonder pincode of je fysieke bankkaart kunnen criminelen je bestelen: zo werkt de CVC-code
Harald Scheerlinck
Gepubliceerd:
WinWin is het consumentenprogramma van VRT op Radio 2 en VRT 1. Xavier Taveirne maakt jouw leven met slimme tips en goed advies net iets betaalbaarder. Heb je een vraag, tip of probleem? Mail naar winwin@radio2.be.
Waar bedrijven als Mastercard en Visa vroeger enkel kredietkaarten uitgaven in ons land, doen ze dat vandaag ook met debetkaarten. Dat zijn de klassieke bankkaarten. In de praktijk kan je met je debetkaart zowel via Bancontact als Visa of Mastercard betalen als de handelaar aangesloten is op hun netwerk. Daarom vind je altijd 2 logo's terug op je kaart.
Intussen staat er niet enkel op een kredietkaart een 3-cijferige CVC-code gedrukt, maar ook op je normale bankkaart. Die code is bedoeld om eenvoudig online betalingen te kunnen uitvoeren. Wanneer je bij een webwinkel de betaaloptie 'kredietkaart' of het logo van Mastercard of Visa ziet staan, zal je debetkaart in principe ook aanvaard worden.
Erg handig om vlot online en wereldwijd betalingen te kunnen uitvoeren. Maar is het altijd veilig genoeg? Want die code staat gewoon open en bloot op je bankkaart gedrukt.
"De Europese wetgeving beschermt de consument. Er is altijd een tweestapsverificatie nodig voor online betalingen met een debet- of kredietkaart. Je hebt dus altijd 2 elementen nodig om je kenbaar te maken en de betaling te bevestigen", legt Isabelle Marchand van Febelfin uit. Dat is de federatie van Belgische banken.
"Concreet is dat een pincode en daarnaast iets wat jij hebt, bijvoorbeeld een kaartlezer, een verificatie via je bank-app of de itsme-app of een vingerafdruk op je smartphone."
Voor online betalingen binnen Europa onder de 30 euro is tweestapsverificatie niet verplicht, maar daar staat wel een limiet op
Isabelle Marchand, bankenfederatie Febelfin
Toch moet jij - of erger: een dief - die extra verificatie lang niet altijd uitvoeren om online te kunnen betalen met je CVC-code.
"Er bestaan uitzonderingen in de Europese wet die toelaten om bijvoorbeeld bij bedragen onder de 30 euro geen extra controle uit te voeren. Bedrijven als Mastercard en Visa zullen dat dus ook vaak niet doen omdat ze het online betalen voor mensen vooral zo laagdrempelig mogelijk willen houden."
Het Belgische bedrijf Bancontact pakt het anders aan. Zo gebruiken ze de CVC-codes niet en vragen ze voor elke betaling een extra beveiliging.
"Wij hebben beslist om voor elke betaling een tweestapsverificatie te voorzien. Een online betaling met Bancontact zal je dus nooit kunnen uitvoeren zonder een extra bevestiging via de bank-app, de Bancontact Pay-app of de kaartlezer van je bank", zegt Laure-Anne Neven van Bancontact Company.
Bescherming stopt soms aan de grens van Europa
Kan een dief dan eindeloos aan de slag blijven gaan met iemands CVC-code, zolang hij per betaling maar onder de 30 euro blijft?
"Zeker niet. Er staat een limiet op van 100 euro en die limiet is cumulatief. Dus zodra je die drempel in totaal of in een keer overschrijdt, zal je toch een tweestapsverificatie moeten uitvoeren", aldus Febelfin. Je zal dus op die manier niet meer dan 100 euro kunnen kwijtspelen. Of toch niet binnen Europa. Want zodra de dief zijn slag wil slaan via niet-Europese platformen kan het stevig mislopen.
Zo verloor WinWin-luisteraar Arend zonder het te beseffen zijn bankkaart en snel daarna in één klap 1.485 euro.
"Iemand heeft 7 keer identiek hetzelfde bedrag van 212,15 euro betaald aan het populaire Amerikaanse gamingplatform Roblox. Onze pincode kan de dief niet gekend hebben, dus volgens mij kan dat enkel gebeurd zijn via de CVC-code die op de kaart gedrukt staat."
Bedrijven die het betaalverkeer regelen, bepalen of ze tweestapsverificatie nodig vinden of niet. Maar als ze ook entiteiten in Europa hebben, moeten ze zich ook aan de Europese wet houden
Isabelle Marchand, bankenfederatie Febelfin
Moeten niet-Europese webwinkels zich dan niet aan die regels houden? "Het zijn de diensten die het betaalverkeer regelen (Worldline is één van de bekendste spelers in ons land, red.) die de regels mee uitzetten. Zij bepalen dus of er voor online betalingen een tweestapsverificatie nodig is of niet", vertelt Isabelle Marchand van de bankenfederatie.
"De meeste van die bedrijven hebben weliswaar ook entiteiten in Europa, waardoor ze ook aan die Europese wetgeving gebonden zijn. De Belgische banken zijn grote voorstander om die tweestapsverificatie ook buiten Europa toe te passen. Hoe meer, hoe liever."
Zo kan je diefstal proberen te voorkomen
Je CVC-code blokkeren, zoals je dat voor de functie contactloos betalen kunt doen, is niet mogelijk. De code staat op de kaart gedrukt, dus dat kan je niet aanpassen. Sommige mensen kiezen er wel voor om de code weg te krassen op de kaart.
Via een omweg kan het soms wel omdat sommige banken de optie aanbieden om je kaart te blokkeren voor alle mogelijke online betalingen. Sommige banken bieden ook de mogelijkheid om in te stellen dat je bankkaart niet buiten Europa kan gebruikt worden. Mogelijk kan je op die manier betalingen op niet-Europese webplatformen voorkomen.
Deze instellingen kan je later ook weer ongedaan maken als je dat wilt.
Ook debetkaarten beschermd tegen fraude
Veel mensen denken dat je met een kredietkaart beter beschermd bent dan met een debetkaart. Maar dat klopt niet, zegt Mastercard.
"De bescherming die wij aanbieden is identiek voor alle betalingen binnen ons netwerk. Of je nu met een kredietkaart of een debetkaart hebt betaald, speelt geen rol. Je bent beschermd tegen fraude, maar ook wanneer je een bestelling niet hebt ontvangen of als de goederen beschadigd zijn toegekomen", legt marketing- en communicatiedirecteur Thomas Lechien uit. Bij problemen met een kredietkaart kan je zelf rechtstreeks een dossier indienen via het online platform Mijn Kaart. Heb je met je debetkaart betaald, dan moet die procedure via je eigen bank verlopen.
Wat kan je doen bij fraude of diefstal met een debetkaart?
Blokkeer je bankkaart om erger te voorkomen. Dat kan door contact op te nemen met je bank of met Card Stop op 078 170 170. Vaak kan je dat ook zelf doen op het webplatform of in de app van je bank. Sommige banken geven je zelfs de optie om een kaart slechts tijdelijk te blokkeren, voor het geval dat ze toch nog zou opduiken.
Neem contact op met je bank. Zij moeten een dossier openen en je probleem onderzoeken. "Wanneer binnen Europa een handelaar of bedrijf dat het betaalverkeer regelt ervoor kiest om geen tweestapsverificatie te vragen, zijn zij aansprakelijk wanneer het misloopt", zegt Isabelle Marchand. Bovendien staat er in de wet dat banken hun klanten bij niet-toegestane betalingen altijd moeten terugbetalen, behalve wanneer die klant grof nalatig is geweest. Die nalatigheid moet de bank ook zelf kunnen bewijzen. Dat is bij phishing zo, maar ook bij andere soorten van fraude of diefstal. "In deze meeste gevallen zal de klant terugbetaald worden", maakt Febelfin zich sterk. "Tenzij er fraude in het spel is, bijvoorbeeld wanneer een klant beweert dat hij een product nooit heeft gekregen, maar dat wel zo is."
