מה זה כרטיס אשראי חכם ומה עושה תקן EMV

כרטיס אשראי חכם הוא כרטיס שמוטמע בו שבב אלקטרוני, אותו ריבוע מתכתי מוזהב שרואים בחזית רוב הכרטיסים כיום. השבב פועל לפי תקן בינלאומי לתשלומים מאובטחים בשם EMV, ששמו מורכב מראשי התיבות של שלוש החברות שפיתחו אותו: Europay, Mastercard ו-Visa. התקן נהוג במדינות רבות כבר שנים, ומי שטייל באירופה או בארצות הברית מכיר את ההרגל להקליד קוד סודי במסוף בעת תשלום. בישראל המעבר לקח זמן, אבל הוא הושלם, וכיום זו הדרך היחידה לשלם בכרטיס חיוב בקופה.

ההבדל בין השבב לפס המגנטי

הפס המגנטי, שהיה במשך עשרות שנים הבסיס לכל עסקת אשראי, שומר מידע קבוע. כל מי שמצליח להעתיק את הפס מחזיק בידיו את אותם נתונים בדיוק, ויכול לייצר מהם כרטיס מזויף. השבב, לעומת זאת, מצפין כל עסקה בנפרד, כך שהנתונים שעוברים בעסקה אחת אינם מאפשרים לשחזר עסקה אחרת. מעבר לשכבת ההגנה הגלויה, כלומר הקלדת הקוד, האבטחה משתפרת גם ברקע: אופן העברת פרטי הכרטיס ואופן ביצוע הסליקה מאובטחים יותר.

מה משתנה ברגע התשלום עצמו

בשיטה הישנה הלקוח היה מוסר את הכרטיס לקופאי, שהיה מעביר אותו בחריץ של הקופה. בשיטה החכמה הכרטיס נשאר אצל הלקוח לאורך כל העסקה: מכניסים אותו למסוף או מצמידים אותו, פועלים לפי ההנחיות שמופיעות על הצג, ובסיום מוציאים אותו. זה הבדל קטן לכאורה, אבל יש לו משמעות אבטחתית, כי הכרטיס לא עובר מיד ליד ולא נעלם מעיני בעליו. מי שמחזיק כרטיס דביט משתמש באותה שיטה בדיוק, כי התקן חל על כל כרטיסי החיוב ולא רק על כרטיסי אשראי.

המעבר בישראל הושלם - מה זה אומר היום

מבחינת הצרכן, השאלה "מתי זה יגיע" כבר אינה רלוונטית. המעבר נעשה בשלבים לאורך כמה שנים. לפי לוח הזמנים שקבע בנק ישראל, בתי עסק גדולים חויבו לסלוק בתקן החדש החל מ-30 בנובמבר 2020, ורוב בתי העסק האחרים החל מ-31 ביולי 2021. בתי עסק שההסבה אצלם הייתה מורכבת במיוחד, ובפרט תחנות דלק, קיבלו מתווה מיוחד עם מועד מאוחר יותר.

יותר מ-99% מהמסופים הוסבו, והפס המגנטי הפסיק לעבוד

לפי הודעת בנק ישראל על סיום הסבת שוק התשלומים לתקן EMV מיולי 2023, נכון לסוף אפריל 2023 הוסבו לתקן יותר מ-99% ממסופי התשלום בישראל, לפי נתוני חברת שב"א. באותה הודעה הונחתה שב"א להמשיך לתמוך בתקן הישן רק עד 31.12.2024. מאז 31.12.2024 לא ניתן לבצע בישראל עסקה בכרטיס חיוב שאינה עומדת בתקן EMV, ולכן כרטיס עם פס מגנטי בלבד אינו שמיש בקופה. המשמעות המעשית: מי שעדיין מחזיק כרטיס ישן ללא שבב, למשל כרטיס שנשמר במגירה לשימוש חירום, צריך לדעת שהוא לא יעבוד בחנות.

מי אחראי כשבית העסק לא עבר לתקן

עוד לפני השלמת המעבר נקבע מנגנון שנקרא הסטת אחריות. כשלקוח משלם בכרטיס חכם בבית עסק שאין בו מסוף חכם, ונוצר חיוב שנבע משימוש לרעה בכרטיס, הסולק אחראי להחזיר את הכסף ללקוח, והוא רשאי להעביר את האחריות לבית העסק. המנגנון חל מינואר 2019, ולגבי בתי עסק קטנים מינואר 2020. ההיגיון פשוט: מי שלא השקיע באבטחה נושא בעלות של הסיכון. למי שמגלה חיוב שלא ביצע, כדאי להכיר את הדרכים לערער עליו, כפי שמוסבר במאמר על ביטול חיוב בכרטיס אשראי.

איך משלמים בפועל: הכנסה למסוף, נגיעה וטלפון

תקן EMV מאפשר כמה דרכים לשלם, וההבדלים ביניהן נוגעים בעיקר לשאלה מתי צריך להקליד קוד סודי. הדרך הבסיסית היא הכנסת הכרטיס לחריץ בתחתית המסוף, כשהשבב פונה כלפי מעלה, והקלדת הקוד כשהמסוף מבקש. הדרך השנייה היא תשלום ללא מגע, שבו מצמידים את הכרטיס למסוף לשנייה או שתיים. הדרך השלישית היא תשלום בטלפון חכם דרך ארנק דיגיטלי. התקן הוא שאפשר את כניסתם לישראל של שירותים כמו Apple Pay, Google Pay ו-Samsung Pay.

תקרת ה-300 ש"ח בתשלום בנגיעה

בעסקה ללא מגע בכרטיס עד 300 ש"ח לא נדרשת הקלדת קוד סודי, ומעל הסכום הזה יש להכניס את הכרטיס למסוף ולהקליד קוד. התקרה הועלתה מ-200 ל-300 ש"ח ב-2020. המשמעות היא שקנייה במכולת, קפה או נסיעה במונית נגמרות בנגיעה אחת, ואילו קנייה גדולה בסופרמרקט או רכישת מכשיר חשמלי מחייבות הכנסת הכרטיס וקוד. לפי דיווח מנובמבר 2020, כבר אז כ-55% מהעסקאות בשיטה החכמה היו ללא מגע, העסקה הממוצעת בכרטיס עמדה על כ-220 ש"ח והעסקה החציונית על כ-80 ש"ח. כלומר, רוב העסקאות היומיומיות נמצאות מתחת לתקרה.

תשלום בטלפון

בתשלום דרך ארנק דיגיטלי בטלפון ההיגיון שונה: הזיהוי נעשה בפתיחת הטלפון, בטביעת אצבע, בזיהוי פנים או בקוד המכשיר. לפי דיווח מינואר 2021, תשלום כזה אינו דורש הקלדת קוד סודי בכל סכום. בהודעת בנק ישראל מיולי 2023 צוין שתשלומים ללא מגע היוו אז כמחצית מכמות העסקאות בישראל, ותשלומים בארנקים דיגיטליים בטלפון כ-17% מכמות העסקאות. מכיוון שהטלפון הופך לאמצעי תשלום, חשוב לנעול אותו היטב, ומומלץ לעבור על הפעולות שמגנות על הסלולרי והמידע שבו. מי שמתעניין גם בהעברות כסף בין אנשים יכול לקרוא על אפליקציות תשלומים, שפועלות בשיטה אחרת.

כרטיס האשראי החכם - מה משתנה בתשלומים בישראל
שיטת תשלוםהאם נדרש קוד סודיסכוםמצב בישראל
העברת פס מגנטי (גיהוץ)לא רלוונטי0 ש"ח - לא ניתן לשלםלא נתמך מאז 31.12.2024
הכנסת כרטיס חכם למסוףכן, 4 ספרותכל סכום, וחובה מעל 300 ש"חפעיל, יותר מ-99% מהמסופים הוסבו עד אפריל 2023
נגיעה בכרטיס (ללא מגע)לאעד 300 ש"חפעיל, התקרה הועלתה מ-200 ש"ח ב-2020
ארנק דיגיטלי בטלפוןלא, הזיהוי בפתיחת הטלפוןכל סכום (לפי דיווח מינואר 2021)פעיל, כ-17% מהעסקאות ביולי 2023

מקור: ויקיפדיה - EMV, הודעת בנק ישראל מיולי 2023 ודיווחי ynet.

טיפ: כשהמסוף מבקש להכניס את הכרטיס למרות שהעסקה קטנה, אין זו תקלה. מסופים מבקשים מדי פעם הכנסה והקלדת קוד גם בסכומים נמוכים, כבדיקת אבטחה נוספת. מקלידים את הקוד וממשיכים כרגיל.

הקוד הסודי: מה הוא, איך בוחרים ואיך משחזרים

הקוד הסודי שמבקש המסוף אינו קוד חדש. זה אותו קוד בן 4 ספרות שמתקבל עם הכרטיס, ושאיתו מושכים מזומן בכספומט. לפני המעבר לתקן, ישראלים רבים השתמשו בקוד הזה רק בכספומט, ולכן היו כאלה שלא זכרו אותו בכלל. כיום הוא חלק מהשגרה, ושכחה שלו עלולה להשאיר את הלקוח מול הקופה בלי אפשרות לשלם על קנייה גדולה.

בחירת קוד אישי

הקוד שמגיע במעטפה עם כרטיס חדש אינו חייב להישאר הקוד הקבוע. ניתן לבחור קוד אישי, כזה שקל לזכור. המעטפות שבהן נשלח הקוד הראשוני בנויות כך שאי אפשר לקרוא את המספר דרכן, גם לא מול אור חזק, ולעיתים צריך לקלף שכבה כדי לחשוף אותו. הקוד הראשוני משמש בעיקר כדי להגיע לשלב שבו מחליפים אותו בקוד שבחרתם. אפשרויות ההחלפה, למשל דרך כספומט של הבנק המנפיק, משתנות בין הבנקים וחברות כרטיסי האשראי, וכדאי לבדוק מול הגוף שהנפיק את הכרטיס מה זמין אצלו.

מה עושים כששוכחים את הקוד

מי ששכח את הקוד יכול לשחזר אותו באפליקציות של חברות כרטיסי האשראי או של הבנקים, ובמענה הקולי הממוחשב שלהם. כך מסביר בנק ישראל במסמך השאלות והתשובות על תקן EMV. שחזור הקוד נעשה בערוץ מזוהה של הגוף המנפיק, אחרי כניסה מאובטחת לאפליקציה או זיהוי במענה הקולי. זה ההבדל המהותי בין שחזור לגיטימי לבין ניסיון הונאה: הלקוח הוא שפונה ביוזמתו לערוץ הרשמי, ולא מישהו שמתקשר אליו ומבקש את הקוד.

איך לא שומרים את הקוד

הקוד אישי וסודי. אין למסור אותו לאף אחד, גם לא לקופאי שמציע "לעזור", ואין לשמור אותו על הכרטיס או לידו, למשל על פתק בארנק. כל היתרון האבטחתי של התשלום החכם מתבטל ברגע שגנב מוצא את הכרטיס ואת הקוד באותו מקום. כשמקלידים במסוף בתור צפוף, כדאי לכסות את המקלדת ביד השנייה.

איך יודעים אם הכרטיס חכם, ומה עושים אם לא

הבדיקה פשוטה ולוקחת שנייה: מסתכלים על חזית הכרטיס. כרטיס שיש בו שבב מוזהב הוא כרטיס חכם, וכרטיס שאין בו שבב מוחלף בכרטיס חכם במועד החידוש. מכיוון שהמעבר נמשך כמה שנים ורוב הכרטיסים חודשו בינתיים, רוב הכרטיסים שנמצאים כיום בארנקים הם חכמים. כרטיס ללא שבב, שהתמיכה בו הסתיימה ב-31.12.2024, לא יאפשר לשלם בקופה, ומי שמחזיק כרטיס כזה צריך לפנות לבנק או לחברת כרטיסי האשראי ולבקש כרטיס חלופי.

כרטיס חכם עם נגיעה וכרטיס חכם בלי נגיעה

לא כל כרטיס חכם תומך בתשלום ללא מגע. כרטיס שתומך בנגיעה מסומן בסמל של גלים מעוגלים, בדומה לסמל רשת אלחוטית. אם הסמל לא מופיע, הכרטיס חכם אבל מחייב הכנסה למסוף בכל עסקה. מי שמעדיף לשלם בנגיעה, למשל משום שהכנסת הכרטיס לחריץ מסורבלת עבורו, יכול לבקש מהגוף המנפיק כרטיס שתומך בתשלום ללא מגע.

מקרים שבהם כדאי לבדוק במיוחד

כרטיסים נטענים הוחרגו בזמנו מההחלפה האוטומטית, ולכן מי שמשתמש בכרטיס כזה צריך לוודא בעצמו שיש בו שבב. מידע נוסף על המוצר הזה מופיע במאמר על כרטיס אשראי נטען. מקרה נוסף הוא כרטיס שמשמש בעיקר בחו"ל: מי שמחזיק כרטיס אשראי בינלאומי צריך שבב ממילא, כי ברוב העולם התקן נהוג כבר שנים. כדאי גם לבדוק כרטיסים משניים ששוכבים זמן רב במגירה ומשמשים כגיבוי, כי דווקא אותם נוטים לשכוח לחדש.

טיפ: לפני נסיעה או לפני קנייה גדולה, כדאי לוודא שהקוד הסודי זכור ושהכרטיס חכם. קנייה מעל 300 ש"ח בלי קוד זמין פשוט לא תושלם בכרטיס.

אבטחה: על מה הקוד מגן, ומה קורה ברכישות מרחוק

היתרון המרכזי של התשלום החכם הוא אבטחתי. כשכרטיס נגנב או אובד, מי שמחזיק בו אינו יודע את הקוד הסודי, ולכן אינו יכול לבצע עסקאות גדולות שדורשות הקלדה. ניסיונות חוזרים להקליד קוד שגוי מובילים לחסימת הכרטיס. ההצפנה של כל עסקה בנפרד מקשה גם על זיוף כרטיסים מנתונים שהועתקו. עם זאת, חשוב להבין את הגבולות: בתשלום ללא מגע עד 300 ש"ח לא נדרש קוד, ולכן מי שאיבד את הכרטיס צריך לחסום אותו מיד ולא להסתמך על כך שהקוד מגן עליו.

רכישות בטלפון ובאינטרנט

בעסקה טלפונית או באינטרנט לא מקלידים את הקוד הסודי. מוסרים מספר כרטיס, תוקף, שלוש הספרות שבגב הכרטיס ומספר תעודת זהות. אף מוכר, בטלפון או באינטרנט, אינו אמור לבקש את הקוד בן ארבע הספרות, ובקשה כזאת היא סימן אזהרה ברור. חשוב גם להבחין בין הקוד הסודי לבין סיסמה חד פעמית שנשלחת במסרון לאישור עסקה מקוונת: הסיסמה החד פעמית אינה הקוד הסודי, והיא נועדה לשימוש של בעל הכרטיס בלבד, באתר שבו הוא עצמו מבצע את הרכישה.

שכבות הגנה נוספות

מי שקונה הרבה באינטרנט יכול להוסיף שכבת הגנה באמצעות כרטיס אשראי וירטואלי, שמספרו שונה מזה של הכרטיס הפיזי. בנוסף, כדאי להפעיל התראות על כל עסקה באפליקציה של הבנק או של חברת כרטיסי האשראי, כך שכל חיוב חריג מתגלה בתוך דקות ולא רק בסוף החודש. גם שמירה על המחשב שבו מזינים פרטי כרטיס היא חלק מהתמונה, ועל כך מורחב במאמר על הגנה על המחשב והמידע שבו.

מה המעבר שינה לצרכנים ולבתי העסק

מעבר לאבטחה, התקן שינה את חוויית התשלום עצמה. בשיטה הישנה לקוחות רבים התקשו בהעברת הכרטיס בחריץ: לא תמיד היה ברור לאיזה כיוון לסובב את הכרטיס, מאיזה צד הפס המגנטי ובאיזו מהירות להעביר אותו, וניסיונות חוזרים היו מראה נפוץ בקופות. תשלום בנגיעה פותר את כל זה בהצמדה פשוטה של הכרטיס למסוף. השינוי מקל במיוחד על אנשים עם מוגבלויות או קשיי מוטוריקה, אבל גם על כל מי שפשוט מעדיף תשלום מהיר בלי להתעסק עם חריצים.

הנתונים מראים עד כמה מהר הציבור אימץ את הדרך החדשה. כבר בנובמבר 2020, בשלבים הראשונים של המעבר, כמחצית מהעסקאות בשיטה החכמה היו ללא מגע, וביולי 2023 תשלומים ללא מגע היוו כמחצית מכמות העסקאות בישראל, ותשלומים בארנקים דיגיטליים בטלפון עוד כ-17%. זו תנועה ברורה מהעברת כרטיס לנגיעה, ומהכרטיס הפיזי לטלפון.

לצד הנוחות, יש גם צד שכדאי להכיר. ככל שהתשלום קל ומהיר יותר, קל יותר גם להוציא. נגיעה בכרטיס אינה מרגישה כמו הוצאת שטרות מהארנק, וכדאי לעקוב אחרי ההוצאות באפליקציה. מי שמשתמש באשראי בפריסה צריך להיזהר במיוחד מהצטברות חוב, ועל הסיכונים בכך מורחב במאמר על כרטיס אשראי מתגלגל.

בצד בתי העסק, המעבר חייב השקעה במסופים חדשים, ומנגנון הסטת האחריות יצר תמריץ ברור לעשות זאת: בית עסק שלא עבר לתקן נושא בסיכון של עסקאות שנבעו משימוש לרעה בכרטיס. התקן אפשר גם את כניסת שירותי התשלום בטלפון לישראל, שלא היו יכולים לפעול על גבי התשתית הישנה. כיום, כשיותר מ-99% מהמסופים הוסבו והתמיכה בתקן הישן הסתיימה, התשלום החכם הוא פשוט הדרך הרגילה לשלם.

מקורות