Krátká řada čísel, která drží stovky korun
Když jsem před lety držel v ruce první voucher za 2 500 Kč a zíral na šestnáctimístný PIN tištěný drobným tiskem na termopapíru, prošla mi hlavou drobně absurdní myšlenka. Šestnáct číslic. Dvě a půl tisícovky. Kdyby tu řadu někdo opsal a zvládl být první u terminálu, peníze by byly pryč. Tahle myšlenka mě přiměla podívat se hlouběji do toho, jak je struktura PINu vlastně postavená — a po pár hodinách čtení jsem zjistil, že drobná řada čísel je za většinou útoků nečitelná podstatně sofistikovanější obranou, než to vypadá.
Paysafecard kupony jsou v Česku dostupné v hodnotách 200 Kč, 500 Kč, 1 200 Kč a 2 500 Kč. Šestnáct číslic na lístku není náhodný řetězec — má vlastní strukturu, kontrolní součty a vazbu na konkrétní transakci v systému Paysafe. Pro hráče je důležité tomu rozumět, protože kolem PINu běží celá ekonomika podvodů a ekosystém útočníků, kteří se ho snaží získat.
V téhle úvodní sekci nedávám návod ani technickou hloubku. Mapuju jen, kam celý článek směřuje. V dalších sekcích rozeberu strukturu kódu a co znamenají jednotlivé číslice, proč „generátory PINu“ jsou vždy podvod a tři pravidla ochrany kódu před zneužitím.
Struktura kódu a co znamenají jednotlivé číslice
Začnu tím, co PIN technicky není. Není to náhodný řetězec šestnácti číslic, který se generuje při tisku. Není to ani sériové číslo bez vazby na hodnotu. PIN je strukturovaný identifikátor, který v sobě nese informaci o nominálu voucheru, partnerské síti, ze které byl prodaný, a kontrolní součty pro ověření platnosti.
Konkrétní strukturu Paysafe veřejně nepublikuje (z dobrých důvodů — bylo by to návod pro útočníky), ale z analýzy vzorů a interních materiálů, které kolovaly v branži, vyplývá několik obecných zákonitostí. První skupina číslic obvykle identifikuje typ voucheru — měnu, nominál, prodejní region. Druhá skupina nese sériové číslo voucheru v rámci série. Třetí skupina je kontrolní součet, který umožňuje serveru ověřit, jestli je kód strukturálně platný, dřív než ho vůbec porovná s databází aktivních voucherů. Paysafe podporuje 260 platebních metod ve 48 měnách a zaměstnává přibližně 3 000 lidí — infrastruktura, která stojí za PINem, je masivní a obrana proti náhodnému uhádnutí je její základní vlastnost.
Co tahle struktura znamená pro útočníka. Pokud by někdo zkoušel uhádnout platný PIN náhodou, narazí na dvě bariéry. První — kontrolní součet odfiltruje 99,99 procenta náhodných řetězců dříve, než vůbec dojde k pokusu o transakci. Druhá — i u kódu, který strukturálně projde, musí PIN odpovídat reálně prodejné transakci v databázi Paysafe; každá taková transakce má svou unikátní kombinaci identifikátorů, kterých je v každém okamžiku pouze omezený počet. Pravděpodobnost trefy do platného PINu náhodou je v řádu jedna ku biliónu — což znamená v praxi nulová.
Co tahle struktura znamená pro hráče. PIN, který máte v ruce, je strukturálně unikátní a v okamžiku jeho přečerpání se v databázi Paysafe deaktivuje. Pokud byste tedy stejný PIN zkusili použít podruhé, systém by ho odmítl. To je důležitý rys, který vyvrací mýty o opakovaném použití voucheru — kupon je z definice jednorázový a po vyčerpání nelze obnovit.
Proč „generátory PINu“ jsou vždy podvod
Tahle sekce by měla být povinnou četbou pro každého, kdo někdy ve vyhledávači zadal frázi typu „paysafecard generator“ nebo „free paysafecard pin“. Generátory v reálném provedení neexistují — a tahle věta je pravdivá ve všech smyslech, ve kterých ji lze chápat.
Důvod technický. Generátor PINu by musel splnit dvě podmínky současně. První — vyrobit šestnáctimístný řetězec se správným kontrolním součtem. To je matematicky řešitelné, pokud útočník zná algoritmus, ale ten Paysafe v tajnosti drží a žádný veřejně známý generátor ho nereplikoval. Druhá podmínka — vyrobený řetězec musí odpovídat skutečnému voucheru v databázi Paysafe, který někdo skutečně koupil v trafice nebo na e-shopu. Tahle podmínka je v zásadě nesplnitelná, protože databáze je pod kontrolou Paysafe a útočník k ní z definice nemá přístup.
Tisíc sto třináct nelegálních značek cílí na české hráče proti 27 legálním provozovatelům — a podobné poměrné rozložení platí i pro nabídky „generátorů“. Tři velmi typické scénáře podvodu. První — stránka slibuje generátor, ale před stažením vyžaduje vyplnění surveys, registraci s telefonem nebo platbu „aktivačního poplatku“. Hráč po splnění úkolu nedostane nic — žádný PIN, žádné peníze zpět. Druhý — stránka nabízí generátor stažitelný jako program. Po stažení a spuštění program vypadá, že generuje PIN, ale ve skutečnosti instaluje malware na zařízení hráče. Účelem je sklízet hesla k bankovnictví, e-mailu nebo sázkovkám. Třetí — stránka generátoru je phishing maska pro krádež bankovních údajů, kterou hráč vyplňuje při „placení aktivace“.
Bruce Lowthers, CEO Paysafe Ltd., v podcastu Inside the ICE House (NYSE) v květnu 2024 mluvil o tom, jak se Paysafe v Evropě dlouhodobě věnuje hernímu byznysu a získává tím obrovský vhled do toho, co je důležité pro herní operátory. Ten vhled se promítá i do bezpečnostní vrstvy voucheru — Paysafe nemá zájem na tom, aby PIN šel napodobit, protože by to podlomilo důvěryhodnost celého produktu. Pokud byste tedy někde uviděli inzerát, který slibuje, že vám PIN „vyrobí“ za drobné, máte před sebou útok, ne příležitost.
Tři pravidla ochrany kódu před zneužitím
Po několika letech sledování útoků na voucherové sázkaře se mi formovala tři pravidla, která — pokud je dodržíte — sníží riziko zneužití PINu na zlomek. Žádné z nich není složité, žádné nepředstavuje neslučitelný konflikt s pohodlím.
Pravidlo jedna — PIN je tajemství, ne informace. Šestnáctimístný kód byste neměli psát do mailu, do SMS, do chatu, do dokumentu uloženého v cloudu. Drtivá většina krádeží PINu nepochází z technicky propracovaných útoků, ale ze sociálního inženýrství — kód se dostane do nesprávných rukou kvůli tomu, že ho hráč sám sdílí v komunikaci, kde by neměl. Pokud potřebujete PIN „uložit“, použijte buď účet myPaysafecard (kde se uloží zašifrovaně), nebo místo papíru se zámkem (peněženka, šuplík, aplikace pro správu hesel s šifrovaným úložištěm). Foto v galerii telefonu nebo screenshot v obrazové galerii nejsou bezpečná úložiště.
Pravidlo dvě — PIN se zadává pouze ve vlastním rozhraní sázkovky nebo paysafecard. Žádná legitimní podpora po vás celý PIN nikdy chtít nebude. Pokud vás kontaktuje „pracovník paysafecard“, „compliance manažer sázkovky“, „technická podpora“ s žádostí o PIN, je to vždy útok. Tahle situace je v branži dostatečně častá, že se vyplatí ji považovat za pravidlo, ne za výjimku. Skutečný systém pro ověření transakce používá referenční číslo, ne celý kód.
Pravidlo tři — PIN nesdílejte s lidmi, kterým by byl bezpředmětný. Rodinní příslušníci, kamarádi, kolegové. I tehdy, když si někoho jako blízkého váží na úroveň „svěřuji mu vlastní hesla“, není správné mu sdělovat PIN voucheru. Důvod není nedůvěra — důvod je zranitelnost. Když pošlete PIN přes WhatsApp partnerce, zpráva se ukládá na zařízení, na cloud, na serveru. Pokud kterýkoli z těchto bodů selže (telefon ukraden, cloud kompromitovaný), PIN je v nesprávných rukou. Pravidlo tří očí pro voucher znamená — kód vidíte vy, vidí ho terminál sázkovky a tam to končí. Pro pohled na on-line nákupní cestu, kde se elektronická vrstva péče o PIN vyplatí ještě víc, najdete v rozboru kde kód v elektronické podobě nakoupit bezpečně dodatečný kontext.
Otázky kolem PINu voucheru
Dvě otázky končí ve FAQ. Tady kontext, který se do nich nevejde.
Aplikace na ověření pravosti. Mě se občas hráči ptají, jestli existuje nezávislá aplikace, která jim před vkladem dá vědět, že PIN je platný. Krátká odpověď je, že oficiální cesta na ověření je výhradně přes paysafecard.com nebo aplikaci myPaysafecard. Aplikace třetích stran, které tohle slibují, jsou v drtivé většině podvodné — buď vylákají PIN (zadáte ho a oni ho použijí), nebo instalují malware. Oficiální paysafecard rozhraní je dostatečné a používáním třetích stran si zbytečně zvyšujete riziko.
Nečitelný PIN v trafice. Občas se stane, že termopapír v Sazka terminálu vytiskne kód s vadou — chybějící číslice, rozmazaný řádek, nepřehledná část kódu. V tomhle případě si neopisujte „přibližný“ kód, ale vraťte se rovnou na pultu, ukažte voucher obsluze a požadujte výměnu. Sazka má v procesu krytí pro tyto situace a nový lístek vám obsluha vytiskne ve většině případů ihned. Pokud vám to obsluha odmítá, kontaktujte podporu paysafecard se snímkem voucheru a popisem problému.
Co dělat, když kód uvidí někdo cizí
Když máte podezření, že PIN se dostal do cizích rukou — někdo ho viděl při focení, někdo ho zachytil ze vzdáleného pohledu na obrazovku, někdo ho našel v zapomenuté zprávě — máte úzké časové okno, ve kterém můžete situaci ještě zachránit. To okno je obvykle minuty, ne hodiny. Útočníci pracují automatizovaně a krádež vede k okamžitému použití. Co dělat — okamžitě otevřete sázkovku nebo účet myPaysafecard a vyčerpejte hodnotu voucheru. Útočník už vás v té chvíli nemůže předběhnout. Pokud nemáte čas na vklad, převeďte hodnotu do účtu myPaysafecard, kde leží pod heslem a 2FA. Pokud podezření přijde po faktu (zjistíte, že voucher byl vyčerpaný a vy ho nepoužili), reaktivní opatření jsou už bez šance — můžete jen kontaktovat paysafecard support a podat trestní oznámení s minimální pravděpodobností úspěchu. Bezpečnost PINu je primárně preventivní disciplína, kde tři pravidla popsaná v sekci výše stojí za to si pamatovat dřív, než nastane okamžik, ve kterém je budete potřebovat.