Privacy.com Virtuele Kaarten: Hoe Betalingsprivacy Werkt

Een virtuele kaart doet één specifieke ding: het verandert wat de handelaar ontvangt, niet wat jouw bank weet. Dit is het hele mechanisme en het begrijpen ervan verklaart zowel de bescherming die je krijgt als de bescherming die je niet krijgt.

De meeste artikelen behandelen virtuele kaarten als een algemeen privacyhulpmiddel en slaan de technische details over. Dit artikel behandelt wat er op een kaart wordt opgeslagen, waarom de magneetstrip het zwakke punt is, en hoe de kaarttypes van Privacy.com zich in de praktijk gedragen.

De praktische winst is beperkt en concreet: een gestolen nummer wordt nutteloos voor een dief, omdat het alleen werkt bij de handelaar waarvoor het is uitgegeven.

Het Korte Antwoord #

Wat Staat Er Op Een Betaalkaart #

Drie dingen autoriseren een card-not-present transactie: het primaire rekeningnummer, de vervaldatum en de verificatiewaarde.

De PAN is geen willekeurige reeks. Het eerste cijfer identificeert het schema, de volgende meerdere identificeren de uitgevende bank, en de rest identificeert de rekening. De structuur betekent dat een kaartnummer op plausibiliteit wordt gecontroleerd zonder iemand te hoeven contacteren, en waarom de Luhn-controlecijfer een enkele verwisselde cijfer detecteert.

De CVV bewijst dat iemand de kaart fysiek vasthield toen deze werd uitgegeven. Het wordt niet op de magneetstrip opgeslagen, wat precies de reden is waarom een skimmer die de strip kopieert deze nooit verkrijgt.

Bekijk dit alles zelf met de Magnetic Stripe Decoder and Encoder , die Track 1 en Track 2 ontleedt, de servicecodecijfers decodeert en het resultaat opnieuw codeert. Het draait volledig in je browser, wat belangrijk is omdat dit de volledige inhoud van een betaalkaart is.

Waarom De Magneetstrip Het Zwakke Punt Is #

De strip slaat rekeninggegevens in platte tekst op, en elke compatibele lezer kan deze lezen.

Een magneetstrip bevat tot drie tracks. Track 1 bevat de PAN, de naam van de kaarthouder, de vervaldatum en een driecijferige servicecode, en het is de enige track met alfabetische tekst. Track 2 bevat de PAN, vervaldatum en servicecode in een dichtere numerieke codering, en Track 2 is wat bijna elk verkooppuntterminal leest. Track 3 wordt door de grote netwerken vrijwel niet gebruikt en is vaak helemaal niet op de kaart aanwezig.

De servicecode is het waard om te begrijpen, omdat het het toegestane gebruik van de kaart beschrijft. Cijfer één betreft de interchange-regels, cijfer twee de autorisatieafhandeling, en cijfer drie het dienstenbereik. Een kaart gecodeerd als 201 staat internationale interchange toe, heeft geen speciale autorisatie nodig en kent geen dienstbeperkingen.

De geschiedenis verklaart waarom de strip zo lang heeft standgehouden. In 1969 probeerde een IBM-ingenieur genaamd Forrest Parry magnetische tape op een plastic kaart te bevestigen, maar het lukte niet zonder schade. Zijn vrouw stelde voor een strijkijzer te gebruiken, en de hitte bond de tape aan de kaart. Deze improvisatie werd de standaard voor meer dan een halve eeuw.

Twee ontwikkelingen beëindigen dit:

De strip werd vervangen door chip- en contactloze betalingen omdat het kopiëren ervan geen vaardigheid vereist behalve het bezitten van een lezer. Onze magneetstriptool toont hoe weinig data nodig is om een werkende track te reconstrueren.

Hoe Trackgegevens Te Lezen #

Een magneetstripstring is een reeks velden, geen tweede kaartnummer. De lezer vindt de startsentinel, scheidt velden, leest de vervaldatum en servicecode, en controleert dan de eindsentinel en LRC.

De optionele sentinels identificeren de fysieke recordgrenzen. Een decoder laat ze vaak weg bij het weergeven van de velden, maar een fysieke encoder heeft het volledige recordformaat nodig dat de lezer verwacht.

Voorbeeld Spoor 1 #

Dit is een synthetisch voorbeeld. Het gebruikt de standaard test-PAN van de tool en nepnaam, vervaldatum, servicecode en discretionaire gegevens. Het is geen Privacy.com-kaart en het zijn geen geldige betalingsgegevens.

%B4111111111111111^TEST/USER^2912501000000000?

Lees het van links naar rechts:

Het echt gecodeerde record bevat ook een LRC-teken na de eind sentinel wanneer de lezer dit verwacht. De zichtbare tekstvorm is nuttig om de structuur te bestuderen. De bitniveauweergave bevat ook oneven pariteit voor elk teken.

Voorbeeld Spoor 2 #

Spoor 2 verwijdert de naam en formaatcode. Dezelfde synthetische waarden worden:

;4111111111111111=291250100000000?

Spoor 2 is korter omdat het geen kaarthoudernaam bevat. Veel terminals lezen Spoor 2 voor gewone swipe-transacties, terwijl Spoor 1 het naamveld levert wanneer een lezer dit opvraagt.

Servicecode Cijfers #

De drie servicecode cijfers beschrijven terminal- en autorisatiegedrag. Ze bevatten niet de CVV, en het wijzigen ervan op een echte kaart zonder toestemming van de uitgever levert een verkeerd of misleidend betalingsbewijs op.

Eerste cijfer betreft uitwisseling en chipvoorkeur:

Tweede cijfer betreft autorisatieverwerking:

Derde cijfer betreft servicebeperkingen:

Bijvoorbeeld, 201 betekent internationale uitwisseling met chipgebruik waar mogelijk, normale autorisatieverwerking en geen servicebeperkingen. De decoder toont elk cijfer apart zodat je de tabel niet uit je hoofd hoeft te leren.

LRC en Pariteit #

De LRC is een controleteken, geen extra veld om te verzinnen. De encoder XOR’t de datawaarde van elk teken van de start sentinel tot de eind sentinel. Het zet het resultaat terug om in het afdrukbare tekenbereik van het spoor en rapporteert de gecodeerde oneven-pariteitsbits apart.

Spoor 1 gebruikt een zes-bit ALPHA-tekenset. De datawaarde is de ASCII-code minus 0x20. Spoor 2 gebruikt een vier-bit BCD-tekenset. De datawaarde is de lage nibble van de ASCII-code. Toepassing van de Spoor 1 mapping op Spoor 2 geeft de verkeerde LRC.

De decoderoptie Inclusief berekende LRC voegt het afdrukbare LRC-teken toe aan de uitvoer. De uitsplitsing toont ook het LRC-bitpatroon met oneven pariteit. Gebruik dit om te leren hoe een lezer het record controleert, niet om de controles van een uitgever te omzeilen.

Synthetische kaarten schrijven voor testen #

Gebruik de decoder om teststrings te schrijven, niet voor echte betaalkaarten. De tool accepteert velden, bouwt Spoor 1 en Spoor 2 opnieuw op, voegt optionele sentinels toe en berekent de LRC. Het draait lokaal in de browser.

1. Open de Magnetic Stripe Decoder and Encoder .
2. Selecteer Load Test Card. Dit vult de tool met de synthetische PAN 4111111111111111, de naam TEST/USER, vervaldatum 2912, servicecode 201 en test discretionaire gegevens.
3. Schakel Include start and end sentinels in om de fysieke recordgrenzen weer te geven.
4. Schakel Include calculated LRC in om het berekende controleteken toe te voegen.
5. Schakel Split discretionary data into PVKI, PVV and CVV alleen in om te zien hoe een negencijferig synthetisch veld wordt weergegeven. Die labels zijn issuer-conventies, geen universele Track 1- of Track 2-indeling.
6. Wijzig de naam, vervaldatum, servicecode of synthetische discretionaire gegevens. De uitvoer wordt tijdens het typen bijgewerkt.
7. Vergelijk de gedecodeerde velden met de gegenereerde strings. Maak de velden leeg als je klaar bent.

Voor een synthetische Track 1-oefening, gebruik:

PAN: 4111111111111111
Surname: TEST
First name: USER
Expiry: 12/29
Service code: 201
Discretionary data: 000000000

Voor een synthetische Track 2-oefening, gebruik dezelfde PAN, vervaldatum, servicecode en een numeriek discretionair veld. De gegenereerde Track 2-string laat de naam weg omdat Track 2 geen naamveld heeft.

Kopieer geen live Privacy.com PAN, vervaldatum, CVV of discretionaire waarde naar een beschrijfbare kaart. Privacy.com beschrijft zijn product als virtuele kaartnummers die via de website of app worden aangemaakt. De officiële pagina presenteert de dienst niet als een systeem voor het schrijven van magnetische strepen, terwijl een virtueel kaartnummer geen bewijs is van een door de issuer geautoriseerd fysiek streeprecord. Een beschrijfbare testkaart met een live credential creëert een duplicaat betaalinstrument en overtreedt issuer-voorwaarden of betalingsregels.

De veilige grens is eenvoudig: gebruik de ingebouwde synthetische voorbeeldkaart van de tool, gebruik een labkaart met dummywaarden en gebruik een door de issuer goedgekeurde fysieke kaart wanneer je persoonlijk wilt betalen. Probeer geen Privacy.com virtuele kaart om te zetten in een fysieke swipe-kaart.

Wat een Virtuele Kaart Verandert #

Een virtuele kaart is een tweede nummer dat voor het eerste staat.

Wanneer je betaalt met een virtuele kaart, ontvangt de handelaar een nummer, vervaldatum en CVV die bij de virtuele kaart horen. Je echte PAN bereikt hen nooit. Praktisch gezien wordt het verschil duidelijk na een datalek:

Wat het niet verandert is net zo belangrijk. Je bank ziet de transactie nog steeds. Het kaartnetwerk verwerkt het nog steeds. De issuer kent je identiteit nog steeds, omdat anti-witwasregels verificatie vereisen. Een virtuele kaart vermindert de blootstelling aan de handelaar. Het is geen manier om anoniem te betalen.

Het onderscheid verwart mensen constant. Als je dreigingsmodel de issuer of het netwerk omvat, verandert een virtuele kaart daar niets aan.

De Drie Soorten Kaartvormige Dingen #

De terminologie wordt inconsistent gebruikt en het verschil is belangrijk als je kiest wat je aan een handelaar geeft.

Een mobiele portemonnee gebruikt een geheel vierde mechanisme. Wanneer je een kaart aan een portemonnee toevoegt, slaat de portemonnee een apparaat-specifieke token op in plaats van je PAN, en ontvangt de handelaar die token. Dit heet tokenisatie en het is waarom betalen met een telefoon veiliger is dan het plastic overhandigen, zelfs zonder virtuele kaart.

Netwerktokenisatie en virtuele kaarten lossen overlappende delen van hetzelfde probleem op. Tokenisatie beschermt het nummer tijdens verzending en opslag. Een virtuele kaart beschermt je tegen wat de handelaar daarna bewaart.

Privacy.com Kaarttypes #

Privacy.com biedt vier kaartgedragingen en ze zijn niet uitwisselbaar.

Merchant locking is het mechanisme dat het meeste waarde biedt. Een vergrendelde kaart faalt bij elke handelaar behalve degene waarmee het eerst werd gebruikt, wat betekent dat een datalek bij die handelaar een nummer oplevert dat elders nutteloos is.

Single-use is de sterkere optie waar van toepassing. Een kaart die sluit na één incasso kan helemaal niet worden hergebruikt en het verwijdert de noodzaak om later te onthouden het te sluiten.

Twee operationele details die het waard zijn om te weten:

• Gedeelde kaarten vergrendelen op de eerste handelaar waarmee ze worden gebruikt, dus het delen met een familielid of werknemer draagt nog steeds de handelaarbeperking.
• Een kaart wordt gepauzeerd in plaats van gesloten. Pauzeren is omkeerbaar, wat handig is als je een abonnement tijdelijk wilt stoppen zonder de kaartgegevens te verliezen.

Uitgavelimieten en Controle #

Elke kaart heeft een uitgavelimiet, wat een aparte controle is van merchant locking.

Stel zowel een limiet per transactie als een maandelijkse limiet in op elke kaart die aan een abonnement is gekoppeld. Een handelaar die stilletjes zijn prijs verhoogt, raakt de limiet in plaats van je saldo, en je merkt het aan een mislukte incasso in plaats van een ontbrekende afschriftregel.

Onze Persoonlijke Financiële Veiligheid module plaatst dit naast kredietbevriezingen en kaarttokenisatie als de drie controles die beperken wat een enkele gecompromitteerde handelaar kan bereiken.

Plannen en Wat Elk Ontgrendelt #

Privacy.com biedt een gratis abonnement naast drie betaalde plannen. Prijzen en functielimieten kunnen veranderen, dus controleer de actuele voorwaarden voordat je je abonneert.

De gratis laag dekt het kernvoordeel op het gebied van beveiliging. Koppeling aan handelaar, eenmalige kaarten en bestedingslimieten zijn de mechanismen die blootstelling verminderen, en deze zijn beschikbaar zonder te betalen. De betaalde lagen voegen organisatie en gemak toe, niet extra bescherming.

Buitenlandse transactiekosten verschillen per laag. De gratis laag rekent 3% op buitenlandse transacties met een minimum van $0,50, terwijl de betaalde lagen dit niet doen.

Wat Privacy.com Niet Doet #

Duidelijkheid over de beperkingen is nuttiger dan een lijst met functies.

Het punt over het blokkeren door handelaren is in de praktijk belangrijk. Sommige abonnementsdiensten en luchtvaartmaatschappijen weigeren kaartreeksen die zij associëren met virtuele of prepaidkaarten, en geen enkele configuratie lost dit op. Houd een echte kaart achter de hand als noodoplossing voor die gevallen.

De eerlijke samenvatting: een virtuele kaart is een beheersmaatregel om blootstelling aan de kant van de handelaar te beperken, geen anonimiteitstool. Als je anonimiteit nodig hebt, is dat een ander probleem met andere hulpmiddelen.

Wie Geeft de Kaart Uit en Waarom Dat Belangrijk Is #

Een virtuele kaart is nog steeds een echte kaart, uitgegeven door een echte bank, onder een echte schemalicentie.

Dit is waarom de bescherming echt is. De kaart heeft dezelfde schema-beschermingen als elk ander Mastercard- of Visa-product, wat betekent dat rechten op terugboekingen en fraudeprocedures normaal van toepassing zijn. Het is geen cadeaubon of een gesloten winkelkrediet.

Twee certificeringen zijn het noemen waard omdat ze onafhankelijk verifieerbaar zijn in plaats van marketingclaims:

• PCI-DSS-naleving, de standaard van de betaalkaartindustrie voor het omgaan met kaartgegevens
• SOC 2 Type II, een geaudit rapport dat beveiligingscontroles over een periode behandelt in plaats van een momentopname

Over het bedrijfsmodel: het bedrijf geeft aan inkomsten te genereren uit interchange van handelaren en verkoopt geen klantgegevens aan adverteerders of derden. Dit is hetzelfde verdienmodel als elke andere kaartuitgever, wat het waard is om te begrijpen in plaats van als ongewoon te beschouwen.

De praktische reden om de uitgevende bank te controleren is verificatie. Iedereen beweert een kaartprogramma te runnen, en de naam van de uitgever op de kaart is wat je verifieert met de bank die in de documenten staat.

Controleer het schema en de bank via het PAN-prefix met de Magnetic Stripe Decoder , die het hoofdschema-gebied rapporteert en de Luhn-controlecijfer valideert.

Virtuele Kaarten Goed Gebruiken #

De controles helpen alleen als je ze instelt. Zes gewoonten leveren het meeste voordeel op.

1. Koppel elke kaart aan een handelaar tenzij er een reden is om dat niet te doen. De koppeling maakt een gelekt nummer nutteloos.
2. Gebruik eenmalige kaarten voor alles wat onbekend is, inclusief proefperiodes en eenmalige aankopen bij kleinere sites.
3. Stel beide bestedingslimieten in op abonnementskaarten, zodat een prijsverhoging mislukt in plaats van wordt afgeschreven.
4. Noem elke kaart naar de handelaar, zodat een transactielijst leesbaar is en een onverwachte afschrijving opvalt.
5. Pauzeer in plaats van sluit als je van plan bent een dienst te hervatten, en sluit als je dat niet doet.
6. Houd een echte kaart achter de hand voor handelaren die virtuele reeksen weigeren, zodat een geblokkeerde kassa geen noodsituatie wordt.

Veelgemaakte fout: een virtuele kaart zien als vervanging voor het controleren van je afschriften. Koppeling aan handelaar voorkomt één soort schade. Het detecteert geen gecompromitteerde rekening bij je bank, geen ongeautoriseerde overboeking of frauduleuze afschrijving op de echte kaart erachter.

Belangrijkste Punten #

• Een virtuele kaart verandert het nummer dat de handelaar opslaat. Je echte PAN bereikt hen nooit, dat is het hele mechanisme.
• Het maakt de transactie niet privé. Je bank, het netwerk en de uitgever zien het nog steeds, en identiteitsverificatie is verplicht.
• Koppeling aan handelaar is de meest waardevolle functie, omdat een gelekt nummer dan nergens anders werkt.
• De gratis laag bevat de beveiligingscontroles. Betaalde plannen voegen organisatie en gemak toe, geen extra bescherming.
• De magneetstrip slaat kaartgegevens in platte tekst op en wordt tegen 2033 verwijderd, met Amerikaanse banken die uitgifte stoppen in 2027.
• De CVV staat niet op de strip, daarom mist een skimmer die tracks kopieert wat veel online handelaren vereisen.
• Sommige handelaren weigeren virtuele kaartreeksen. Houd een echte kaart als noodoplossing.
• Verifieer de uitgevende bank in plaats van te vertrouwen op een kaartprogramma-claim, en controleer het PAN-prefix zelf.

Volgende Stappen #

1. Inspecteer de trackgegevens van je eigen kaart en zie precies wat een magneetstrip bevat: Magnetic Stripe Decoder and Encoder
2. Bevries je krediet als je dat nog niet hebt gedaan, dit is de sterkere maatregel tegen fraude bij nieuwe accounts: Personal Finance Security
3. Pas de tiering-discipline toe om te bepalen hoeveel moeite dit voor jouw situatie waard is: Prioritized Personal Security Checklist
4. Bekijk de Privacy.com-abonnementen en actuele voorwaarden voordat je je aanmeldt: Privacy.com
5. Controleer of je gegevens al in een datalek voorkomen voordat je aanneemt dat je niet bent getroffen: Have I Been Pwned
6. Lees de checklist voor betalingsbeveiliging voor de organisatorische tegenhanger: Incident Response Checklist

Referenties #

1. Privacy.com - wat virtuele kaarten zijn, merchant locking en bestedingslimieten
2. Digital card - Wikipedia, over digitale versus virtuele kaarten, magneetstriptracks, servicecodes, pariteit en LRC
3. ISO/IEC 7813:2006 - identificatiekaarten, financiële transactiekaarten, tracks 1 en 2 datastructuur
4. ISO/IEC 7813 - trackveldindeling in detail, inclusief sentinels en servicecodes
5. PCI Security Standards Council - vereisten voor de cardholder data environment
6. Consumer Financial Protection Bureau - kredietrapporten en scores
7. ANSI/ISO ALPHA data-encoding, de Track 1-tekenset en pariteitstabel
8. ISO-tekens voor magnetische kaarten, de Track 1- en Track 2-sets naast elkaar
9. Magnetische kaartgegevens lezen, een praktische walkthrough met een live kaartscan