הנפגעים בפרשה הזאת עשו דבר אחד: סימנו בקופה את התיבה ששומרת את הכרטיס לפעם הבאה. Revolve, חנות אופנה מקוונת שמוכרת מוצרים של יותר מ-1,600 מותגים, דיווחה ב-29 באוקטובר לרשות ניירות הערך האמריקאית שתוקפים הגיעו לכמה ממערכותיה ושלפו משם, בין היתר, מספרי כרטיסי אשראי ותאריכי תוקף.

מה קרה

הדיווח הוא טופס 8-K, הודעה מיידית שחברה ציבורית בארצות הברית מחויבת לפרסם על אירוע חריג. לפי מה שכתוב בו, הבדיקה הראשונית מצאה שהתוקפים השתמשו "באמצעים אוטומטיים" כדי להוציא שמות, פרטי קשר, מספרי כרטיס ותאריכי תוקף של לקוחות שפרטי התשלום שלהם היו שמורים בחשבון באתר. החברה לא פירטה מה היו האמצעים האוטומטיים האלה, לא אמרה מתי בדיוק קרתה הפריצה, ולא מסרה מספר נפגעים כולל.

את סדר הגודל אפשר להרכיב מהדיווחים לרגולטורים במדינות ארצות הברית: בטקסס לבדה דיווחה החברה על 127,200 נפגעים, בוורמונט על 1,328, והודעה הוגשה גם במסצ'וסטס. כלומר המספר האמיתי גדול ממה שפורסם, ואף אחד עוד לא נקב בו. Revolve אומרת שהפעילות הזדונית נעצרה, שהביאה חברת אבטחה חיצונית לטפל באירוע, שדיווחה לרשויות אכיפת החוק הפדרליות ושפעילות החנות עצמה לא שובשה.

מה שלא מופיע בדיווח חשוב בדיוק כמו מה שמופיע בו: החברה לא כתבה שנגנבו קודי ה-CVV, שלוש הספרות בגב הכרטיס, ולא כתבה שנגנבו סיסמאות. אבל מספר כרטיס ותאריך תוקף הם לא מידע חסר ערך.

למה זה חשוב לכם

רוב הישראלים לא קונים ב-Revolve. התיבה הזאת כן מופיעה כמעט בכל חנות מקוונת שקניתם בה פעם אחת, וגם באפליקציות משלוחים ובאתרי כרטיסים. אצל חלק מהסוחרים מספר ותאריך תוקף מספיקים כדי לחייב גם בלי CVV, והם מספיקים בהחלט לשיחת טלפון משכנעת: מי שמתקשר ויודע את ארבע הספרות האחרונות של הכרטיס ואת שם החנות שבה קניתם נשמע כמו נציג אמיתי של חברת האשראי. משם הבקשה היא כמעט תמיד אותה בקשה, קוד שנשלח אליכם ב-SMS.

מה עושים?

היכנסו לחנויות המקוונות שאתם קונים בהן ומחקו משם כרטיסים שמורים. ההגדרה נמצאת בדרך כלל תחת "אמצעי תשלום" או "ארנק" בעמוד החשבון. המחיר הוא הקלדה של הכרטיס בכל קנייה.

שלמו ב-Apple Pay או ב-Google Pay היכן שהאפשרות קיימת. הם מעבירים לחנות מספר חלופי במקום מספר הכרטיס האמיתי שלכם, כך שדליפה מהחנות לא חושפת את הכרטיס.

אם חברת האשראי שלכם מציעה כרטיס וירטואלי לקניות באינטרנט, זה המקרה שבשבילו הוא קיים: אפשר להגביל אותו בסכום ולבטל אותו בלי להחליף את הכרטיס הפיזי.

עברו על דף החיובים בחודשים הקרובים וחפשו סכומים קטנים שאתם לא מזהים. גנבי כרטיסים בודקים לעיתים חיוב זעיר לפני שהם מנסים סכום גדול, וחיוב של כמה שקלים נוטה לחמוק מהעין.

קיבלתם שיחה או הודעה בעקבות העניין? אף נציג אמיתי של חברת אשראי לא מבקש קוד שנשלח אליכם ב-SMS, לא את ה-CVV ולא סיסמה. נתקו ותתקשרו למספר שמופיע בגב הכרטיס.

הנוחות של לא להקליד שש-עשרה ספרות שייכת בעיקר לחנות. הכרטיס שייך לכם.