Modern Criminality Associated with Electronic Money: the Role of Police Investigator

Przestępczość w sektorze płatności bezgotówkowych i akceptacji kart płatniczych stanowi w ostatnich latach znaczny odsetek wśród przestępstw związanych z kradzieżą, finansami i szeroko pojętą przestępczością gospodarczą, oraz zorganizowaną. Na tę sytuację istotne przełożenie ma postępujący proces dematerializacji pieniądza, oraz powszechność dokonywania rozliczeń finansowych i zapłat za produkty bądź usługi za pośrednictwem karty płatniczej lub poprzez inne formy elektronicznego dostępu do rachunku bankowego. Za sprawą postępu technologicznego elektroniczna rewolucja obiegu pieniądza dotyczy już praktycznie każdego. Nowoczesne formy kontaktu z bankiem drogą elektroniczną, stały się już standardem, w wyniku czego te tradycyjne siedziby i placówki banków spychane są na margines uzupełniania bankowości internetowej¹. Pomijając te najstarsze formy bezgotówkowych płatności, za jakie możemy uznać polecenia przelewu, polecenia zapłaty, czeki rozrachunkowe, weksle² czy nawet przelewy internetowe, a skupiając się stricte na akceptacji kart płatniczych, właściwym wydaje się stwierdzenie, że opanowały one niemalże wszystkie gałęzie branży handlowo-usługowej. Kartą możemy zapłacić prawie wszędzie, nie tylko w standardowym sklepie stacjonarnym, ale również przez Internet, czy w różnego rodzaju urządzeniach samoobsługowych. Akceptacja kart płatniczych jest możliwa w biletomatach komunikacji miejskiej, czy na dworcach kolejowych, które umożliwiają pasażerom bezpieczną formę płatności zbliżeniowej, zwanej również bezstykową, opartą na technologii NFC, opartą na radiokomunikacji krótkiego zasięgu na pasmie wysokich częstotliwości, która pozwala na szybką wymianę danych pomiędzy kartą a czytnikiem na odległość do kilku centymetrów³. Tego typu czytniki zbliżeniowe są bardzo powszechnie stosowane zarówno w biletomatach jak i w automatach vendingowych oferujących kawę, zimne napoje, czy przekąski, parkomatach, czy chociażby na stacjach warszawskiego systemu rowerów miejskich Veturilo.

Z uwagi na przedstawioną wyżej wygodę, mobilność i powszechność występowania czytników kart płatniczych w niemalże każdej gałęzi branży handlowo-usługowej, a także szybkość dokonywania transakcji, oraz bezpieczeństwo wynikające z braku konieczności noszenia przy sobie gotówki przez społeczeństwo, sposób działania przestępców czyhających na szanse okradzenia innych obywateli naturalnie uległ zmianie. Aktualne modus operandi sprawców uwzględnia przede wszystkim uzyskiwanie nieuprawnionego elektronicznego dostępu do środków zgromadzonych na kontach swoich ofiar, natomiast typologia przestępczości tego typu z uwagi na rozległość przedmiotową i zróżnicowanie form dysponowania pieniądzem elektronicznym, jest zagadnieniem dosyć obszernym, które w dodatku ulega ciągłym przekształceniom z racji wdrażanych zabezpieczeń technologicznych ze strony środowisk bankowych i organizacji płatniczych. Podobnie wygląda kwestia dostosowania do ewoluującej przestępczości, metodyki czynności podejmowanych przez środowiska bankowe i organy ścigania. Zauważalny jest również wzrost świadomości samych posiadaczy kart w kwestii bezpieczeństwa posługiwania się instrumentami, jakie daje im bankowość elektroniczna, lecz mimo tego według banków oraz organów ścigania to ciągle człowiek jest najsłabszym ogniwem, szczególnie wobec stosowanej przez przestępców socjotechniki w kontekście wyłudzania danych umożliwiających elektroniczny dostęp do pieniędzy zgromadzonych koncie bankowym.

Definicja pieniądza elektronicznego

Treść ustawy o usługach płatniczych⁴ rozdziela pojęcia instrumentu płatniczego definiowanego jako zindywidualizowane urządzenie lub uzgodniony przez użytkownika i dostawcę zbiór procedur, wykorzystywane przez użytkownika do złożenia zlecenia płatniczego. A także odrębne pojęcie pieniądza elektronicznego, określonego jako wartość pieniężną przechowywaną elektronicznie, w tym magnetycznie, wydawaną, z obowiązkiem jej wykupu, w celu dokonywania transakcji płatniczych, akceptowaną przez podmioty inne niż wyłącznie wydawca pieniądza elektronicznego⁵. Wcześniej na obszarze Unii Europejskiej również wprowadzono mocą stosownej dyrektywy⁶ pojęcie pieniądza elektronicznego. Jej znowelizowana wersja opracowana przez Parlament Europejski i Radę, zastępująca poprzednią w roku 2009, określa pieniądz elektroniczny jako wartość pieniężną przechowywaną elektronicznie, w tym magnetycznie, stanowiącą prawo do roszczenia wobec emitenta, która jest emitowana w zamian za środki pieniężne w celu dokonywania transakcji płatniczych i akceptowana przez osoby fizyczne lub prawne inne niż emitent pieniądza elektronicznego⁷. Dodatkowo w literaturze można spotkać się z dwiema postaciami pieniądza elektronicznego, określonego jako:

• produkt bazujący o technologię kart procesorowych, tzw. elektroniczną portmonetkę (z ang. electronicpurse, multipurpose prepaid card),
• produkt wykorzystujący oprogramowanie, przy pomocy którego posiadacz może dokonać płatności w Internecie, tzw. pieniądz sieciowy (z ang. network based, software basedproduct)⁸.

Wydawanie instrumentu pieniądza elektronicznego jest natomiast czynnością bankową sensu stricto⁹.

Skimming – najpowszechniejsze przestępstwo godzące w legalnych posiadaczy kart płatniczych

Postęp technologiczny wymusił szereg zmian również na przestępcach, którzy z kradzieży tradycyjnych portfeli, przekierowali swoje zainteresowanie na elektroniczne portmonetki, jakimi są karty płatnicze. Według ustawy o usługach płatniczych, kartą płatniczą nazywamy kartę uprawniającą do wypłaty gotówki lub umożliwiającą złożenie zlecenia płatniczego za pośrednictwem akceptanta lub agenta rozliczeniowego, akceptowaną przez akceptanta w celu otrzymania przez niego należnych mu środków¹⁰. W literaturze polskojęzycznej nie ma jednego wspólnego określenia co do charakteru prawnego karty płatniczej. Podkreślany jest jednak fakt, że karta nie jest nową typową formą pieniądza bezgotówkowego, gdyż posiadacz dysponuje środkami zgromadzonymi na rachunku bankowym¹¹, tylko raczej jako klucz dostępu¹², lub instrument dostępu do środków zgromadzonych na rachunku bankowym, za pomocą którego możliwa jest wypłata gotówki z bankomatu lub dokonywanie zapłaty¹³.

Skimming jest bezprawnym skopiowaniem informacji zapisanych na pasku magnetycznym karty, oraz przechwyceniem kodu PIN (niezbędnego do autoryzacji transakcji na szkodę legalnego posiadacza karty), bez wiedzy i zgody posiadacza, w celu sfałszowania karty przez wykonanie jej fizycznego duplikatu, mającego posłużyć do przestępczego obciążenia rachunku bankowego prawowitego posiadacza karty¹⁴. Informacja zapisana na pasku magnetycznym, która jest dla przestępców interesująca, zawarta jest w praktyce na dwóch z trzech ścieżek paska magnetycznego karty. Zawartość ścieżek paska magnetycznego karty określa norma ISO-7811. Pierwsza z nich, alfanumeryczna zawiera dane posiadacza karty, czyli imię, nazwisko, numer karty, oraz informacje dodatkowe jakimi są: data ważności, zastrzeżenia lub typ, a także kod CVV/CVC2. Druga z nich, typowo numeryczna zawiera powtórzony numer karty i informacje dodatkowe¹⁵. Forma zapisu danych na pasku magnetycznym karty płatniczej pod względem technologicznym nie różni się od poziomu skomplikowania zapisu danych na dyskietce, czy kasecie magnetofonowej. Przy użyciu urządzeń stosunkowo niedrogich i dostępnych w przestępczym półświatku, a także dzięki dobrodziejstwu medium jakim jest Internet, wraz z całym zgromadzonym w sieci zasobem porad i koncepcji skutecznego kopiowania zawartości kart i ich fałszowania, przestępcze know-how jest aktualnie dostępne dla każdego obywatela – internauty, rozważającego zboczenie z drogi uczciwej egzystencji w społeczeństwie. Popyt potencjalnych sprawców na coraz to bardziej zminimalizowane i pasujące (np. do elementów bankomatów) skimmery, jest istotnym czynnikiem dalszego i trwałego rozwoju produkcji narzędzi przestępstwa tego typu.

Zjawisko skimmingu możemy dodatkowo podzielić na dwie kategorie, z uwagi na miejsce oraz urządzenie z wykorzystaniem którego sprawca dopuszcza się przestępstwa odczytania danych zapisanych na karcie płatniczej. Pierwszą z nich jest skimming w punkcie handlowo-usługowym, który polega na zeskanowaniu informacji z paska magnetycznego karty płatniczej w momencie dokonywania płatności, najczęściej przez nieuczciwego sprzedawcę lub pracownika¹⁶. Do tego rodzaju procederu używa się np. miniaturowych, mieszczących się w dłoni skimmerów wyposażonych w baterię oraz wbudowaną pamięć zdolną pomieścić określoną ilość danych. Rozmiar urządzenia ma w tym przypadku znaczenie, jeśli sprawca stojąc w pobliżu prawnego posiadacza karty, sczytuje z niej dane w sposób niezauważalny dla klienta, wykorzystując urządzenie trzymane w dłoni, lub zamocowane przy kasie pod blatem. Poza odczytaniem zawartości paska magnetycznego, sprawcom potrzebny jest jeszcze kod PIN, który mogą osobiście podejrzeć w momencie wpisywania go przez klienta – posiadacza karty, na klawiaturze terminala płatniczego, lub PinPada podłączonego do terminala, a także poprzez nakierowanie monitoringu w lokalu na klawiaturę służącą do wpisywania PIN-u. Drugą z form skimmingu jest bankomatowa odmiana tego przestępstwa. Polega ona na nielegalnej modyfikacji budowy bankomatu ATM, mającej na celu zamontowanie urządzenia służącego do kopiowania danych z paska magnetycznego karty¹⁷. Skimmery przymocowuje się w miejscu slotu-gniazda do którego wkładamy kartę w bankomacie aby pobrać z niego gotówkę (lub ją wpłacić jeśli mamy do czynienia z urządzeniem z funkcją wpłatomatu). Najczęściej przybierają one formę nakładki komponującej się z obudową, lub są dokładną repliką elementu obudowy. Poza skopiowaniem zawartości paska magnetycznego, przestępcy muszą ponadto uzyskać kod PIN niezbędny do pełnego wykorzystania potencjalnej sklonowanej karty. W tym celu wykorzystują dopasowane nakładki na klawiaturę bankomatu, które poprzez umiejscowienie tuż nad właściwą klawiaturą „przekazują” do bankomatu kod PIN oraz komendy zatwierdzane na klawiaturze przez nieświadomego przestępczego procederu posiadacza karty. Ponadto rejestrują wpisywane cyfry, albo zapisując je na module pamięci opartej najczęściej na kartach SD lub microSD, albo bezpośrednio przesyłając je drogą radiową do komputera, lub innego urządzenia znajdującego się w zasięgu – najczęściej w samochodzie zaparkowanym niedaleko bankomatu ATM. Dane mogą być również przesyłane bezpośrednio na drugi koniec świata za pomocą modułu łączności GPRS opartego na karcie SIM, wykorzystującej transmisje danych internetowych. Istotne w urządzeniu jest również alternatywne źródło zasilania, najczęściej w postaci baterii lub miniaturowego akumulatora.

Inną z form uzyskiwania kodu PIN przez sprawców skimmingu jest instalowanie miniaturowej kamery skierowanej na klawiaturę bankomatu. W tej sferze pomysłowość przestępców również nie zna granic. Wykorzystują oni różnego rodzaju doczepiane listwy reklamowe, wypukłe naklejki z logotypami, czy nawet doczepiane do bankomatów pojemniki na ulotki z ofertą banku¹⁸. Zminiaturyzowane urządzenie charakteryzujące się wydajnością w przestępczym procederze powinno być w stanie rejestrować obraz przez kilka lub kilkanaście godzin, co wymusza na konstruktorach wykorzystanie miniaturowego lecz pojemnego nośnika pamięci, oraz kolejnego alternatywnego źródła zasilania w postaci baterii lub niewielkiego akumulatora. Wyższym poziomem zaawansowania technologicznego wśród metod uzyskiwania kodu PIN wyróżniają się przestępcy, którzy opanowali dodatkowo technologię przechwytywania numeru z sygnału elektromagnetycznego oraz wykorzystywania śladu termicznego palców ofiary z klawiatury bankomatu¹⁹. Zjawisko skimmingu z uwagi na potencjalny większy zysk sprawców, najczęściej dotyka bankomaty w dobrych lokalizacjach turystycznych, oraz te niezlokalizowane w oddziałach bankowych, do których jest swobodny dostęp i z których korzysta duża liczba osób, gdyż w takich miejscach nikogo nie dziwią ślady zużycia mechanicznego na bankomacie, które mogłyby wskazywać na próby modyfikowania obudowy bankomatu, lub inną podejrzaną działalność, ani fakt, że w większych miastach lub obiektach turystycznych w pobliżu bankomatu ciągle znajdują się ludzie²⁰.

Skimming jest przestępstwem charakterystycznym z uwagi na swój międzynarodowy wymiar. Z racji wyższego poziomu zabezpieczeń przyjętych przez organizacje płatnicze z jakim mamy do czynienia w Europie, w porównaniu z zarówno Ameryką Północną jak i Południową, na co ogromny wpływ ma wprowadzony tzw. standard EMV, finalizowanie przestępczego procederu w postaci wypłacania pieniędzy z kont Polaków czy ogólnie Europejczyków, ma miejsce na terenie obu Ameryk, gdzie zabezpieczenia bankowe są na znacznie gorszym poziomie, a udział w rynku kart z mikroprocesorem jest niestety w dalszym ciągu znikomy. W ciągu ostatnich lat większość nielegalnych wypłat środków z kont naszych obywateli w oparciu o sfałszowane karty płatnicze, miała miejsce głównie w Ameryce Południowe²¹. Analizując doniesienia prasowe i kroniki policyjne, nietrudno zauważyć, że na terenie Polski w związku ze skimmingiem najczęściej zarzuty stawiane są obywatelom Mołdawii, Bułgarii i Rumunii²², którzy prowadzą u nas zorganizowaną działalność przestępczą. Atrakcyjność Polski jako terytorium działania zorganizowanych grup przestępczych z udziałem cudzoziemców wynika głównie z postrzegania RP jako kraju bezpiecznego, stabilnego i rozwiniętego ekonomicznie, którego gospodarka posiada duży potencjał rozwoju, a co za tym idzie możliwości jej nielegalnej eksploatacji. Do tego dochodzi fakt członkostwa w UE i strefie Schengen oraz centralnego położenia w Europie na trasie szlaków komunikacyjnych łączących wschód z zachodem kontynentu²³.

Phishing

Phishing jest rodzajem oszustwa internetowego, które ma na celu kradzież tożsamości, czyli poufnych danych osobistych, np. numerów kart kredytowych, haseł do systemów bankowych, czy haseł do portali oferujących aukcje internetowe. Termin ten pochodzi z języka angielskiego od sformułowania password hervesting fishing, oznaczającego łowienie haseł. Samo przestępstwo polega na nakłonieniu użytkownika do samodzielnego wpisania poufnych danych na specjalnie przygotowanej stronie internetowej, mającej imitować oryginalną stronę instytucji (np. banku internetowego, serwisu aukcyjnego, czy internetowego serwisu płatności), pod którą podszywają się oszuści²⁴. Sprawcy najczęściej wysyłają do ofiar spreparowane listy elektroniczne, pochodzące rzekomo z banku, wymuszając na poszkodowanym natychmiastowy kontakt drogą elektroniczną pod legendą odblokowania konta, weryfikacji danych karty dla przedłużenia jej ważności, ponownej jej aktywacji, dodania nowej aplikacji, czy poprawy procedur bezpieczeństwa dokonywanych transakcji²⁵. Charakteryzując zjawisko przestępczości w bankowości elektronicznej na przykładzie phishingu, nie sposób nie wspomnieć o tworzonym przez cyberprzestępców złośliwym oprogramowaniu, które uważane jest za jedno największych zagrożeń dla bankowości elektronicznej. Poprzez złośliwe oprogramowanie cyberprzestępcy próbują pozyskać nasze środki finansowe lub tylko dane, które są potrzebne do pozyskania tychże środków. Poza trojanami Rbot, Sinowal czy Limbo2, popularnymi kilkanaście lat temu, na polskim rynku bankowym spustoszenie swego czasu siał trojan nazywany Zeus lub Zbot, który modyfikował transakcje elektroniczne poprzez podmienienie numeru rachunku odbiorcy oraz wysokości kwoty. Zmodyfikowana wersja Zeusa była dodatkowo w stanie podmienić stronę bankową generując prośbę o podanie pełnego hasła, a także wyłudzała dane telefonu klienta, służącego do odbierania kodów autoryzacyjnych, infekowała telefon klienta banku złośliwym oprogramowaniem, a w efekcie finalnym dokonywała transakcje w imieniu klienta. W ostatnich latach również zarejestrowano w Polsce przypadki ataków socjotechnicznych z wykorzystaniem trojana Zeus w wersjach Citadel i 2P2, inspirujących klienta do wykonania rzekomo testowej transakcji, wyłudzając tym sposobem dane logowania i środki finansowe przez naiwność internautów. Natomiast za wschodnią granicą naszego kraju zdarzały się przypadki instalowania trojanów w bankomatach poprzez nawiercenie obudowy w miejscu wewnętrznego gniazda USB i podpięcie pendriva z automatycznie instalującym się złośliwym oprogramowaniem, które rejestrowało i umożliwiało przestępcom pozyskanie wpisywanego kodu PIN oraz danych z drugiej ścieżki paska magnetycznego karty płatniczej²⁶.

Autorzy publikacji z dziedziny cyberprzestępczości wskazują również na możliwość pozyskiwania danych o kartach płatniczych z terminali POS, poprzez odpowiednio spreparowane oprogramowanie i przesyłanie danych na pomocą różnych form łączności – np. bluetooth lub Wi-Fi, lub zapisywania ich we wmontowaną nielegalnie w POS wymienną kartę pamięci²⁷. Jednakże z uwagi na technologiczny wymiar skomplikowanej aplikacji obsługującej płatności w terminalu oraz nadzoru jej przez systemy TMS należące do acquirerów lub kooperujących z nimi podmiotów, jest to raczej trudny a z pewnością szerzej nieznany wymiar przestępczości terminalowej, w który swój wkład teoretycznie musiałby mieć akceptant jakim jest przedsiębiorca dzierżawiący terminal płatniczy.

Cyberlaundering – „pranie pieniędzy” za pośrednictwem pieniądza elektronicznego

Pojawienie się nowych technologii umożliwiających dokonywanie natychmiastowych transferów pieniężnych, może przełożyć się na ułatwienie zadania przestępcom w procederze prania pieniędzy²⁸. Efektem tego katalog legalizacji środków pochodzących z przestępstw wzbogacił się o pojęcie cyberlaunderingu – wygodnej i bezpiecznej legalizacji z wykorzystaniem transakcji elektronicznych, dokonywanej najczęściej przez sieć internetową. D. Cyman wśród popularnych elektronicznych instrumentów płatniczych wskazuje na wykorzystywanie systemu kart przedpłaconych, które z uwagi na swoją anonimowość są idealną formą transgranicznego transferu środków pieniężnych, w szczególności z wykorzystaniem kart wydawanych w rajach podatkowych, gdzie obowiązują rygorystyczne regulacje dotyczące tajemnicy bankowej²⁹.

Jerzy Kosiński w kontekście prania pieniędzy w wymiarze cyberprzestępczości, a co za tym idzie wykorzystaniu elektronicznych instrumentów płatniczych, wymienia trzy formy legalizacji środków finansowych pochodzących z przestępstwa, jakimi są:

• moneymulles – rekrutowani na niszowych portalach oferujących pracę, która polega na dokonywaniu transferu otrzymywanych od przestępców kwot na wskazane konta bankowe, w zamian za ustaloną kwotę prowizji. W tym procederze konta praczy zakłada się w bankach, których klienci mają być ofiarami dokonywanych przestępstw finansowych, co pozwala na szybki transfer pieniędzy pomiędzy rachunkami w tym samym banku;
• internetowe gry on-line o charakterze MMORPG, w których internetowi gracze korzystają z wirtualnych kredytów wykupowanych i wymienialnych na realne pieniądze. Przy użyciu wielu kont, łączących graczy z wielu krajów możliwe jest szybkie wprowadzenie, transfer międzynarodowy, oraz powrót do wpłacającego lub wypłata środków poza granicami;
• mikropralnie polegające na wykorzystywaniu usług podobnych do PayPal w połączeniu z płatnościami mobilnymi i tradycyjnymi usługami płatniczymi, poprzez przenoszenie pieniędzy różnymi środkami transferowania w postaci niewielkich kwot przelewanych z dużą częstotliwością, co utrudnia powstrzymywanie prania brudnych pieniędzy³⁰.

Działania podejmowane przez organy ścigania

Bezpieczeństwo prawne transakcji jest zespołem regulacji prawnych wyznaczających określone zachowania, które mają być podejmowane przez osoby i instytucje, których dotyczą te przepisy³¹. W przypadku stwierdzenia odstępstw od wyznaczonych zachowań, uzyskanych w ramach zgłoszenia osoby poszkodowanej, instytucji finansowej, organizacji płatniczej, czy zauważenia tego podczas prowadzenia postepowania w innej sprawie, lub w wyniku podejmowanych czynności operacyjno-rozpoznawczych, reagują na to uprawnione organy ścigania, wszczynając postepowanie przygotowawcze³².

Organy ścigania mają zapewnioną pomoc umocowaną w k.p.k. którą mogą otrzymać od osób mających wiedzę na temat przestępstw kartowych, np. skimmingu w punkcie handlowo-usługowym, gdzie na pierwszej linii reagowania na przestępczy proceder sczytywania zawartości paska magnetycznego, stoją potencjalni świadkowie, czyli np. pracodawca, lub pracownik, który zauważył fakt skanowania kart płatniczych przez kasjera. Pracodawca ponadto na podstawie art. 15 § 3 k.p.k. ma obowiązek podjęcia pełnej współpracy z organami ścigania³³, w tym przez przekazanie monitoringu, czy pełnych danych pracownika, który był sprawcą przestępstwa³⁴.

Policja funkcjonująca w oparciu o zapisy stosownej ustawy³⁵ oraz szeregu rozporządzeń ministra właściwego ds. wewnętrznych, czy zarządzeń Komendanta Głównego Policji, reagowanie na stwierdzone przestępstwa w sektorze płatności bezgotówkowych i akceptacji kart płatniczych, powierza komórkom do walki z przestępczością gospodarczą, lub komórkom dochodzeniowo-śledczym, określając je jako właściwe do prowadzenia postepowań przygotowawczych w tym zakresie, z uwagi na postrzeganie ww. rodzaju przestępczości jako przestępczość gospodarczą³⁶. W każdym Wydziale dw. z PG w Komendach Wojewódzkich Policji oraz KSP, do których kompetencji należy prowadzenie czynności operacyjno-rozpoznawczych i dochodzeniowo-śledczych, w odniesieniu do przestępstw dokonywanych w obrocie bankowym i kapitałowym, związanych z obrotem gospodarczym, czy związanych z legalizacją dochodów uzyskanych z działalności przestępczej, a także fałszerstwa środków płatniczych (z wyłączeniem pieniędzy)³⁷, znajdują się funkcjonariusze ze specjalistycznym przeszkoleniem w zakresie zwalczania przestępstw z udziałem kart płatniczych. Posiadają oni niezbędną wiedzę oraz kontakty robocze z emitentami kart³⁸, a także gromadzą informacje o przestępstwach stwierdzonych przez komórki terenowe policyjnych garnizonów³⁹. Ich praca jest koordynowania przez Wydział do walki z Przestępczością Gospodarczą Biura Kryminalnego KGP. Policjanci tych komórek wspierają ponadto programy profilaktyczne emitentów kart i NBP w zakresie edukacji społecznej dla wzrostu świadomości o niebezpieczeństwach, jakie czyhają na użytkowników kart⁴⁰. W strukturach Policji znajduje się również eksperckie stanowisko krajowego koordynatora ds. przestępczości kartowej, odpowiedzialnego za współpracę funkcjonariuszy zajmujących się tą problematyką z zagranicznymi kolegami, w ramach sieci krajowych ekspertów w oparciu o szyfrowane łącza wymiany informacji (Siena) pomiędzy państwami członkowskimi Europolu⁴¹.

Z uwagi na międzynarodowy charakter przestępczości zorganizowanej związanej z wykorzystaniem kart płatniczych⁴², w jej zwalczaniu bardzo istotną rolę odgrywa współpraca międzynarodowa. W ramach Europejskiego Urzędu Policji, jakim jest Europol, w jego Departamencie Operacyjnym funkcjonuje od 2003 r. zespół zadaniowy AWF Terminal (ang. Analitycal Work File Terminal), który powstał z inicjatywy Belgów w celu znalezienia powiązań między odrębnymi dochodzeniami oraz ułatwienia międzynarodowej wymiany informacji przy dochodzeniach dotyczących zorganizowanych siatek przestępczych zaangażowanych w proceder skimmingu⁴³. Europejska wymiana informacji na temat przestępczości kartowej może polegać na wymianie raportów o powiązaniach, zawierających podstawowe informacje na temat powiązań kryminalnych pomiędzy osobami rozpracowywanymi w różnych krajach, oraz związku pomiędzy skimmingiem, a wypłatami oraz prowadzonymi w tych sprawach śledztwach przez członków Europolu. Drugą z form są raporty analityczne zawierające dogłębną analizę struktury przestępczej, obszaru działalności, oraz wyciągnięte wnioski co do kierunków dalszej współpracy międzynarodowej w konkretnej sprawie. Raporty uwzględniają dane przetwarzane w bazach danych, za jaką można uznać CardChecker, pozwalający ustalić wydawcę większości kart płatniczych emitowanych na świecie⁴⁴. Europol w ramach AWF Terminal kładzie nacisk na wzajemne wsparcie i poza spotkaniami operacyjnymi i koordynacyjnymi organizowanymi przy prowadzaniu konkretnych spraw na płaszczyźnie międzynarodowej, a także wdrożonym systemem wczesnego ostrzegania przed zidentyfikowanym nowym modus operandi sprawców, czy nowymi technikami i urządzeniami służącymi m.in. do skimmingu, na co dzień zajmuje się wsparciem strategicznym partnerów współpracujących. Przejawia się to w szkoleniach dotyczących bezgotówkowych oszustw płatniczych, wydawaniu anglojęzycznych podręczników na ten temat, spotkaniach eksperckich i konferencjach pozwalających na wymianę doświadczeń pomiędzy koordynatorami krajowymi, czy stworzeniu mechanizmu pozwalającego na składanie sprawozdań statystycznych przestępczości kartowej z poszczególnych państw. Ponadto organizowane są spotkania z przedstawicielami organizacji płatniczych czy emitentów, gdzie funkcjonariusze zapoznają się z nowymi środkami bezpieczeństwa stosowanymi w kartach płatniczych oraz omawiają trendy współczesnej przestępczości w sektorze płatności bezgotówkowych. Europol ponadto zainicjował powstanie kolejnych grup roboczych jakimi są Centrum Informacji o Przestępczości Finansowej (ang. Financial Crime Information Centre – FCIC), czy zespół EAST (ang. European ATM Security Team), zajmujący się opracowaniem strategii działania wobec przestępczości uderzającej w bankomaty. W ramach ATM Terminal. Europol ponadto wspiera kwestię analizy technicznej sfałszowanych kart płatniczych w oparciu o UCS – Uniwersalny System Klasyfikacji Sfałszowanych Kart Płatniczych (ang. Universal Calssification System fot Counterfeit Payment Cards), za sprawą którego istnie możliwość rozpoznawania i szukania powiązań pomiędzy przestępstwami kartowymi z różnych państw europejskich dzięki bazą wyników technicznego badania kart, ich fotografii i informacji technicznych nt. sfałszowanych kart⁴⁵.

W Polsce kryminalistyczne badania kart płatniczych przeprowadza Zakład Badań Dokumentów i Technik Audiowizualnych Centralnego Laboratorium Kryminalistycznego Policji, lub zespoły bądź sekcje właściwe do badań dokumentów z Laboratoriów Kryminalistycznych Komend Wojewódzkich (lub Stołecznej) Policji. Dodatkowo CLKP stara się poszerzyć zakres przetwarzanych katalogów danych, o bazę elektronicznych środków płatniczych⁴⁶. W kwestii ustaleń teleinformatycznych w związku z przestępstwami kartowymi, z uwagi na przeznaczenie właściwe są komórki do walki z cyberprzestępczością, koordynowane przez Biuro do Walki z Cyberprzestępczością KGP. Wspominane piony co istotne – nie prowadzą pracy procesowej⁴⁷.

Kwestię działań podejmowanych przez funkcjonariuszy Policji w odniesieniu do zidentyfikowanej przestępczości w sektorze płatności bezgotówkowych i akceptacji kart płatniczych, regulują m.in. zarządzenie pf-634 Komendanta Głównego Policji z dnia 30 czerwca 2006 r. w sprawie metod i form wykonywania przez Policję czynności operacyjno-rozpoznawczych⁴⁸ (z późn. zm.), a także decyzja nr 252 Komendanta Głównego Policji z dnia 18 kwietnia 2008 r. w sprawie programu kursu specjalistycznego w zakresie zwalczania przestępczości gospodarczej (z późn. zm.)^{49 50}.

W kwestii ustalenia informacji o dowodach przy stwierdzeniu przestępczości kartowej, S. Górnicki wskazuje na typologię źródeł w oparciu o poszczególne podmioty funkcjonujące na rynku transakcji bezgotówkowych:

• akceptant płatności (punkt handlowo-usługowy):

przesłuchanie pracowników (kasjerów) obsługujących podejrzaną transakcję, lub stwierdzony fraud pozwala na:

1. ustalenie rysopisu domniemanego sprawcy,
2. zabezpieczenie oryginału dokumentu potwierdzającego dokonanie płatności bezgotówkowej,
3. zabezpieczenie nagrań monitoringu akceptanta, lub z obiektu gdzie znajduje się punkt handlowo-usługowy akceptanta;
• bank – emitent i właściciel karty:

współpraca z emitentem karty płatniczej pozwala organom ścigania na:

1. uzyskanie wszystkich informacji na temat kwestionowanych transakcji dokonanych przy użyciu skradzionej lub sfałszowanej karty,
2. wskazanie agenta rozliczającego daną transakcję,
3. wskazanie faktycznego posiadacza karty;

• acquirer – agent rozliczeniowy, centrum operacyjno-rozliczeniowe acquirera: Współpraca organów ścigania z agentem rozliczeniowym polega na:
1. ustalenie adresu akceptanta kwestionowanych transakcji;
2. ustalenie miejsca gromadzenia dokumentacji z przeprowadzonych transakcji;
3. uzyskanie opinii i informacji na temat prawidłowości przeprowadzenia transakcji u danego akceptanta:
1. czy pojawiały się fraudy?
2. czy występowały rażące naruszenia procedury akceptacji kart płatniczych, bądź inne okoliczności mogące podważać zaufanie do prawidłowości obsługiwania terminala POS przez personel placówki?
• organizacja płatnicza również może udzielić informacji organom ścigania, jeśli informacje z powyższych źródeł nie pozwalają na pełne wyjaśnienie okoliczności zdarzenia, aczkolwiek podmiotem dedykowanym do udzielania niezbędnych informacji na temat karty płatniczej dla potrzeb postepowania karnego, jest emitent karty (bank wydawca lub organizacja płatnicza), którego dane są nadrukowane na jej rewersie⁵¹.

Podsumowanie

Specyfikacja zagrożeń związanych z obrotem bezgotówkowym skupia się wokół naruszenia tajności danych, nieautoryzowanego dostępu do systemu, czy zablokowania pewnych usług bankowych⁵². Za zagrożenie można również uznać samą szybkość wymiany i dostępność informacji dotyczących sposobów popełniania przestępstw, a także wykorzystywanie luk organizacyjnych, technologicznych czy prawnych⁵³. Powszechność obrotu bezgotówkowego w wielu formach, przekłada się ponadto na szeroki wachlarz zdefiniowanych działań przestępczych, m.in.: kradzieży karty płatniczej, fałszerstwa karty płatniczej, posługiwania się kartami płatniczymi niedoręczonymi do prawnego posiadacza, wyłudzenia karty w oparciu o wniosek z nieprawdziwymi danymi, skimmingu karty bankomatowej, cardingu – czyli dysponowania cudzymi środkami płatniczymi z wykorzystaniem danych cudzej karty płatniczej, phishingu i vishingu – czyli kradzieży tożsamości, pharmingu – czyli przekierowania do fałszywej strony internetowej, sniffingu – czyli podsłuchu w Internecie, tamperingu – czyli penetracji w celu przechwycenia danych oraz spoofingu – czyli podszywania się pod inną tożsamość.

Problematyka bezpieczeństwa transakcji dokonywanych kartami płatniczymi jest zdaniem R. Kaszubskiego wypadkową działań podejmowanych zarówno przez wydawców, agentów rozliczeniowych, akceptantów i posiadaczy kart. Nie sposób nie zgodzić się z kolejnym twierdzeniem wspomnianego autora, iż tylko w przypadku właściwego funkcjonowania tych wszystkich elementów składowych systemu, możliwe będzie utrzymanie w Polsce dotychczasowego, ocenianego jako bardzo wysoki, w porównaniu do innych krajów, poziomu bezpieczeństwa rynku kart płatniczych⁵⁴.