אפשר גם אחרת: לרכוש ברשת ללא כרטיסי אשראי

חברת הסטרטאפ הישראלית פלאגוולט (PlugWallet) פיתחה מערכת תשלום המתבצע ישירות מול השרתים של החברה, כאשר המוכר אינו מקבל את פרטי המשתמש.

כסף ברזילאי, מתוך ויקיפדיה.
כסף ברזילאי, מתוך ויקיפדיה.

פרשיית ההאקר הסעודי שחשף את פרטיהם של אלפי כרטיסי אשראי ישראלים ברשת, עוררה סערה ענקית שלוותה בחשש הגדול – האם זה יכול לקרות לכל אחד מאיתנו? מדוע להאקר היה כל כך קל להגיע אל המידע, כיצד ניתן להתגונן מפני סיטואציה כזו, וגם אלטרנטיבות – איך לשלם ברשת בלי כרטיס אשראי.

מאחורי הקלעים: איך פועל התשלום ברשת

עולם האשראי מבוסס על תיווך. בתהליך רכישה דרך האינטרנט, חברות האשראי משמשות כמתווך בין הכיס הוירטואלי שלנו, שהוא חשבון הבנק, לבין החנות. במהלך רכישה באינטרנט מספר כרטיס האשראי שלנו עובר מספר גלגולים: לאחר הקלדתו באתר של החנות, הוא עובר אל ה-Gateway אשר שולח את המידע לחברות כרטיסי האשראי על מנת לאמת את פרטי הלקוח. לאחר קבלת האישור המידע עושה את דרכו חזרה דרך אותה שרשרת עד לחנות, והעסקה יכולה לצאת לפועל.

בעת התשלום, כאשר אנו מקלידים את פרטי כרטיס האשראי שלנו בחנות המקווננת, אם בעל החנות מספיק ישר, הוא ידאג כי באתר תהיה הגנת אבטחה (לפי תקני PCI המחמירים), וכמו כן, רצוי שהוא ידאג שפרטי האשראי שלנו ימחקו עם תום הקנייה, ולא ישמרו על גבי השרת שלו לעד. ועל חברות האשראי עצמן מוטלת החובה המוסרית לדאוג כי החנויות הוירטואליות איתן הם פועלות ישמרו על קודי האבטחה.

ככל הנראה מה שקרה בפרשיית ההאקר הסעודי, זה שכל התנאים הללו לא התקיימו. אמנם חברות האשראי הן מאובטחות ביותר, וישנו סיכוי קטן שמישהו יצליח לפרוץ אל השרת שלהם ישירות ולגנוב משם את הפרטים, אבל אם חברות האשראי לא דואגות שאתרי הקניות ישמרו אף הם על האבטחה, אז קל מאוד להאקרים לעשות את העיקוף, ולהגיע לפרצה שבחומה – האבטחה הקלוקלת של החנויות.

לשלם בלי לחשוף את כרטיס האשראי

ישנן שיטות רבות לתשלומים ברשת. השיטה הנפוצה ביותר היא כאמור באמצעות כרטיסי אשראי. שיטה נוספת, אשר גם היא מבוססת על אשראי היא פייפאל (PayPal) לפיה הלקוח מקליד את מספר האשראי שלו פעם אחת – על גבי הפלטפורמה של חברת פייפאל. לאחר מכן הוא מקבל מספר כרטיס וירטואלי שאיתו הוא יכול לבצע רכישות באתרים. במקרה הזה מספר כרטיס האשראי מסתתר מאחורי "מסכה" מאובטחת. היתרון הוא שלא צריך לתת את פרטי האשראי לכל חנות וירטואלית, אולם ישנם חסרונות: השיטה יכולה להתבצע רק אם ללקוח יש כרטיס אשראי, ושנית, היא יקרה יחסית, בגלל עמלות הסליקה המשולמות לכל המתווכים שבדרך (פייפאל, חברות האשראי והבנק).

שיטה נוספת מכונה COD (Cash on Delivery) והיא אינה מצריכה כרטיס אשראי. במהלכה, הלקוח מזמין מוצר מאתר מסויים, ומשלם עליו רק במעמד קבלתו, דרך שליח שמשמש כמתווך בעסקה. בשיטה זו המוכר בחנות צריך להאמין שהלקוח אכן מתכוון לשלם, ואז הוא שולח שליח שיספק את המוצר ויחזור עם הכסף (בדומה להזמנת פיצה – מגיע שליח אשר לוקח את המזומן). הבעיה המרכזית כאן היא גיאוגרפית, מכיוון שצריך קירבה מסויימת בין הלקוח לבין החנות הפיזית על מנת שזה יצא לפועל. שנית, המוכר חייב שיהיה לו איזשהו אמון בלקוח, מכיוון שהוא אינו יכול להסתכן ולשלוח שליחים אם אינו בטוח שיקבל את כספו.

שיטת eBillme אף היא מבוססת מזומן, אולם אין צורך בשליח. כאן, הגולש מזמין דרך האתר מוצר, ובמעמד חתימת העסקה הוא מקבל קוד. באמצעות הקוד הוא משלם בקיוסק או בבנק, ואז מקבל את המוצר בדואר. השיטה נפוצה בעיקר בארה"ב, בחנויות כמו seven eleven, ו-western Union. והיא פועלת באופן נרחב גם בהודו.

Prepaid אף היא שיטה דומה, אולם כאן סדר ההתרחשויות הפוך – הלקוח קודם כל מפקיד את המזומן, ולאחר מכן הולך ומבצע את הקניה באמצעות כרטיס נטען (באנלוגיה לעולם התקשורת זה דומה לטוקמן). היתרון הברור הוא שאפילו אם פורצים וגונבים את הכסף, זה מוגבל לסכום שהלקוח הפקיד בלבד, אין אפשרות לגנוב מעבר לכך.

יובל רון, סמנכ"ל טכנולוגיה בפלאגוולט. תמונת יח"צ
יובל רון, סמנכ"ל טכנולוגיה בפלאגוולט. תמונת יח"צ

חברת הסטרטאפ פלאגוולט (PlugWallet) הישראלית פועלת בשיטה זו. לדברי יובל רון, סמנכ"ל טכנולוגיה בפלאגוולט, "היות ואצלנו התשלום מתבצע ישירות מול השרתים של החברה, המוכר אינו מקבל את פרטי המשתמש. כל ההתרחשות מתבצעת ישירות מול השרתים של פלאגוולט”.

"מכיוון שמדובר בכרטיס מבוסס מזומן, כלל לא מעורבת כאן חשיפה של כרטיס אשראי, וזה גם לא משנה האם יש או אין לך כרטיס אשראי", מסביר רון. "הלקוח מטעין את החשבון שלו בסכום שהוא רוצה בעמדות ההטענה (בחנות או בקיוסק), ולאחר מכן מבצע את הרכישה באמצעות הסמארטפון או המחשב”.

לדברי רון, "די מהר הבנו שאחת הבעיות עם אמצעי התשלום הקיימים ברשת, שהם מתבססים על כרטיסי אשראי ומערבים מספר מתווכים. בפלאגוולט היות והתשלום מתבצע במזומן ישירות מול השרתים של החברה, עמלות הסליקה לוקחות בחשבון מתווך אחד בלבד, ולכן זה מוזיל את העמלות בכ-70%-90%".

מדוע פלאגוולט יושבת על ענן? האם זה לא מסוכן יותר?
"להיפך. השרת שלנו יושב על גבי פלטפורמת השירות של אמזון (AWS), שנותנת שירותי אבטחה. אמזון משקיעה מיליוני דולרים כדי לאבטח את השרתים שלה, ומחזיקה סוללת מומחים שזה התפקיד שלהם, לדאוג שהשרת יהיה מאובטח. במצב כזה לא שווה לי, כחברה, להחזיק ולאבטח שרת משלי, אלא עדיף לשכור את שירותי האבטחה בענן. עלי רק מוטלת האחריות לאבטח את האפליקצייה שלי".

עוד בנוגע לאבטחה מוסיף רון, “מלבד שם משתמש ומספר ססמא, ישנו מפתח שפועל אך ורק מהמכשיר של הלקוח עצמו, כך שאפילו אם האקר פורץ וחושף את מספר המשתמש והססמא, הוא חייב גם לגנוב את המכשיר דרכו מתבצעות הרכישות, וזה כמובן מקשה מאוד על כל הרעיון של פריצה".

פלאגוולט שהוקמה ב-2008, על ידי יובל רון, ואביו, עמוס רון (לשעבר, מנכ"ל רשות הנמלים), פונה בעיקר לשווקים מתפתחים, בהם "ישנם הרבה יותר אנשים שיש להם אינטרנט, מאשר כאלו שברשותם כרטיסי אשראי, למעשה 65% ממשתמשי הרשת הרשומים ברחבי העולם הם מחוסרי כרטיסי אשראי”, אומר יובל. "מרביתם נמצאים במדינות המתפתחות, כמו הודו וסין. הם פשוט מסתובבים שם עם כמויות עצומות של מזומן ביד".

שיתוף ב print
שיתוף ב email
שיתוף ב whatsapp
שיתוף ב linkedin
שיתוף ב twitter
שיתוף ב facebook

18 תגובות

  1. העברה כספית למישהו שאינו יודע את הזהות של הקונה טובה רק למוצרים שהם קבצי מחשב. בכל מקרה אחר המוכר חייב לפעול מול קונה שפרטיו ידועים, כי הוא שולח סחורה פיזית וזו צריכה כתובת פיזית.

    לגבי אלמוניות בהעברת כספים בדרך כלל לא צריך הצפנת פרטים ברמה מי-יודע-מה. אני משתמש בכרטיס אשראי ניטען והוא מספק את כל האלמוניות הנידרשת. החיסרון בכרטיס ניטען בארץ הוא שהטעינה חד צדדית, כלומר אין אפשרות להחזר כספי במקרה של ביטול עיסקה. אבל זה לא פגם מהותי של כרטיסי אשראי ניטענים אלא החלטה של מנפיקי כרטיסי אשראי ניטען לעשות את הכרטיסים בעלי מום. לא יודע מה המדיניות על כרטיסי אשראי ניטענים בחו"ל , יתכן ששם יש פחות מומים.

    לגבי פייפל. הם נותנים מענה לסליקה אנונימית אבל גובים עמלה גבוהה על השירות שלהם. לכן זו רק שאלה של זמן עד שמישהו יציע שירות מתחרה זול יותר (אני מהמר על הסינים שכבר מציעים שירות מתחרה לאיביי ברשת עלי-אקספרס).

  2. צעד מבורך של החברה. כרוכש דברים ברשת באופן קבוע הכתבה הזאת רק מחזקת את הביטחון והלוואי שהדבר יתפוס גל רציני לרכישות בטוחות יותר ויותר.

  3. יש טכנולוגיית גבייה נוספת, פשוטה יותר, בלי שום אמצעי תשלום כלל. פשוט מחייגים למספר טלפון מיוחד שמוקצה לצורך החיוב, והגבייה מתבצעת דרך חשבון הטלפון של המתקשר. בלי חשיפת פרטי תשלום או פרטים מזהים. נדמה לי ש- paycall היא החברה הישראלית היחידה שיש לה את הטכנולוגיה הזו (נכון לעכשיו).

  4. PAY PAL נכון לרגע זה הוא הכי בטוח שאני מכיר. ניתן לבצע שם טרנזקציות גם ללא כרטיס אשראי, יש העברות שזה די בטו והרטיס לא מסתובב ברשת (או אצל סעודי מוטרף!).

  5. יעל,

    תודה על ההבהרה. אם הם עובדים בשיטת פרה-פייד איפה היתרון היחסי שלהם לעומת הכרטיסים של הדואר? על סמך מה הם מקווים לגייס כסף?

  6. רק הערה קטנה לדברי רון : מי שמוכשר דיו כדי לפתח מערכות מיחשוב
    ראוי שידע את ההבדל (בעברית) בין שווה (=) לכדאי .

  7. יעל פטר

    לא הצעתי שיעשה מחקר, אלא רק אמרתי שנכון יותר להציג
    בפני הקוראים גם את מה שקורה בעולם במערכות מסוג זה
    בכל הקשור לפריצות ואקרים, ממש ממש בקצרה..

    אחרת עשוי להשתמע מדברייך שאת מאמינה שסוף סוף
    יש לנו מערכת בלתי ניתנת לפריצה, המבטיחה לנו הגנה מלאה
    בכל הפעולות הפיננסיות שנבצע דרכה.

  8. אני חושב שכמו שעשינו בשנות ה 90 קו פרטי לאינטרנט וקו פרטי לטלפון , עכשיו יהיה קו הטלפון ועליו ADSL או HOT , וקו פרטי בבזק רק לעסקאות ישירות של תשלומים , בעלות מסוימת יהיה לנו קו רכישות ! זה יכול להיות מאובטח ובטוח שרק אנחנו מול שרת ייעודי בבזק ידעו את העסקה
    אפשר להרחיב הרבה בנושא אבל אומר בפשוטות שזה יכול להיות פתרון טוב

  9. מה שחדש זה הבחור מהטארטאפ הזה רוצה לגייס כספים וליצור הייפ אחרי סערת פריצת גניבת מסד הנתונים שמכיל כרטיסי אשראי וחושב שקוראי הידען הם פתאים.

    אני מציע לפרסם את זה ב YNET שם תמצאו הדיוטות ושקל לעשות עליהם מניפולציות, בייחוד רגשיות שהרי אפקטיביות במיוחד עקב המאורעות האחרונים.

  10. בפאיפל לא חייבים כרטיס אשראי, אפשר להעביר כסף ישירות מחשבון הבנק לחשבון הפאיפל.

  11. אור,

    אתה צודק, כל דבר אפשר תיאורטית לפרוץ. אבל אם מצפינים את זה מספיק טוב, אז זה מקשה על הפריצה.

    זה כמו שכל דלת של בית ניתן לפרוץ, אבל דלת שיש לה הרבה הגנות והיא משוכללת (כמו למשל פלדלת), יותר קשה לפרוץ מאשר סתם דלת עץ פשוטה עם מנעול פשוט.

    בנוגע להצעה לעשות כתבה על פריצות בהיסטוריה – הפנמתי, אך אני לא בטוחה שיהיה לי זמן להעלות על כך ידיעה. אתה כמובן מוזמן לכתוב בעצמך מאמר מקיף על הנושא ולשלוח אל העורך הראשי של הידען, אבי בליזובסקי.

  12. רמי,

    כפי שניתן לראות, PayPal היא השיטה הראשונה שהצגתי. אבל היא דווקא כן פועלת על כרטיסי אשראי. הכוונה לרכישה ללא כרטיסי אשראי, זה שאם ישנו לקוח שאין לו כרטיס, או שמעוניין לרכוש במזומן, ניתן לעשות זאת דרך הרשת.

  13. האני האחר,

    רשמתי "חברת הסטרטאפ פלאגוולט פועלת בשיטה זו" – כלומר בשיטת פרה-פייד.

  14. יעל פטר

    לפי מיטב הבנתי , כל מידע/נתון שבאינטרנט אינו בטוח ,
    וכל שיטות ההגנה מפוענחות ונפרצות בשלב זה אוחר.

    הוגן יותר כלפי הקוראים להציג בסמוך לכל כתבה בנושא זה,
    חלק קטן מההיסטוריה של פריצות ומעילות, דרך מערכות מחשוב ותקשורת
    כגון פריצות לבנקים לפנטגון מוסדות ציבור ועסקים,
    שכידוע היו שמורים בחלקם, ע"י מיטב מערכות ההגנה ..

  15. לא כל-כך ברור לי מהכתבה מה ההבדל בין Prepaid שאפשר לקנות ולטעון בכל סניף דואר לבין הפיתרון של PlugWallet?

כתיבת תגובה

האימייל לא יוצג באתר.

דילוג לתוכן