"Vă citesc un cod ca să anulez plata suspectă." Vocea de la telefon pare a unui operator de bancă, ești speriat și citești codul primit pe SMS. Câteva secunde mai târziu, banii dispar din cont. Codul acela nu a anulat nimic -- l-a autorizat.
Aici stă marea capcană a fraudelor cu coduri: ele exploatează exact contrariul a ceea ce crezi tu că faci. Tu crezi că oprești o plată. În realitate, o aprobi. Ca să nu mai cazi niciodată în această cursă, trebuie să înțelegi un singur lucru -- ce face, de fapt, codul pe care îl primești.
Ce este, de fapt, codul OTP
OTP vine de la "one-time password", adică o parolă de unică folosință. Este un cod numeric, valabil câteva minute, trimis de obicei prin SMS sau generat în aplicația băncii. Îl primești atunci când vrei să confirmi o operațiune sensibilă: o plată online, un transfer, adăugarea cardului într-o aplicație.
La plățile cu cardul pe internet, acest cod face parte din sistemul 3-D Secure -- stratul suplimentar de siguranță care cere o confirmare în plus față de datele cardului. Logica lui este simplă și solidă: chiar dacă cineva îți fură numărul cardului, nu poate finaliza plata fără codul care ajunge doar la tine.
De ce un cod AUTORIZEAză, nu anulează
Aici este miezul întregii probleme. Codul OTP nu este un buton de "stop". Este o semnătură. Când îl introduci sau îl rostești, spui sistemului: "da, eu sunt, aprob această operațiune". Nu există niciun scenariu legitim în care un cod OTP să anuleze ceva.
Gândește-te la el ca la o cheie de unică folosință care deschide o singură ușă -- ușa prin care ies banii tăi. Când un escroc îți cere codul "ca să oprească o plată", el inițiază în acel moment o tranzacție de pe contul tău. Sistemul îți trimite ție codul de confirmare. Tu i-l citești. El finalizează plata. Tu ai apăsat, fără să știi, pe "aprob".
Mesajul SMS care însoțește codul scrie aproape mereu suma și destinatarul. De aceea escrocul te grăbește și te ține în vorbă -- ca să nu apuci să citești textul, ci doar cifrele.
Unde apare frauda cu coduri
Scenariul "citește-mi codul ca să anulez" nu se limitează la bancă. Aceeași logică se folosește într-o mulțime de contexte, pentru că tot mai multe servicii confirmă acțiunile printr-un cod trimis pe telefon:
- banca -- falsul operator antifraudă care "oprește" o tranzacție suspectă
- plățile cu cardul -- o "verificare 3-D Secure" cerută la telefon de un fals magazin
- livrările de colete -- un cod cerut "ca să confirme reprogramarea livrării"
- marketplace-urile -- pe OLX sau Facebook Marketplace, un "cumpărător" îți cere un cod "ca să confirme că ești real"
Pe platformele de anunțuri, codul cerut de un fals cumpărător este adesea codul de înregistrare a contului tău sau un cod de plată -- cu el, escrocul îți preia contul sau golește plata. Regula nu se schimbă niciodată: codul rămâne la tine.
Cine NU îți cere niciodată codul
Lista este scurtă și absolută. Nicio bancă reală nu îți cere codul OTP la telefon sau prin SMS. Niciun curier nu are nevoie de el ca să livreze un colet. Nicio instituție de stat nu ți-l cere telefonic. Niciun cumpărător serios nu are nevoie de un cod ca să "confirme" că exiști.
Dacă cineva îți cere codul, indiferent ce poveste spune și indiferent ce număr apare pe ecran, ești într-o fraudă. Punct. Numărul afișat poate fi falsificat -- escrocii folosesc des tehnica explicată în ghidul despre falsul operator antifraudă, despre care scriem pe larg în articolul despre apelul fals de la bancă.
Cum te aperi în practică
Apărarea ține de un singur obicei mental: tratează orice cod primit pe telefon ca pe propria semnătură pe un cec. Nu o dai nimănui, niciodată, indiferent de motiv. Concret:
- Citește textul SMS-ului, nu doar cifrele. Verifică suma și ce confirmă codul.
- Nu rosti și nu introduce codul la cererea cuiva de la telefon. Tu îl folosești, pentru acțiunile tale.
- Dacă primești un cod pe care nu l-ai cerut, înseamnă că cineva încearcă o operațiune pe contul tău. Nu îl da nimănui și anunță banca.
- Nu trimite înapoi, prin alt SMS, coduri primite -- nici "STOP", nici cifrele.
Codul OTP venit din senin este, de fapt, un semnal de alarmă valoros. El îți spune că datele tale de card sau de cont sunt deja la cineva, care tocmai încearcă să le folosească. Dacă apare pe ecran fără ca tu să fi inițiat nimic, schimbă parolele și sună banca.
Ce faci dacă ai dat deja un cod
Dacă ai rostit un cod și bănuiești o fraudă, acționează în minute, nu în ore. Sună imediat banca la numărul oficial de pe card și cere blocarea cardului și a contului. Spune clar că ai oferit un cod de autorizare -- contează pentru analiza tranzacției. Adună dovezile și depune plângere la Poliția Română.
Pașii detaliați, în funcție de ce ai oferit, sunt în ghidul despre ce faci dacă ai dat date personale unui escroc. Iar dacă frauda a venit pe SMS, cu un link care îți cerea date, vezi cum recunoști un mesaj fals în articolul despre SMS-urile false de tip smishing.
Întrebări frecvente
Dar operatorul mi-a spus clar că e ca să anuleze plata. Nu poate fi adevărat? Nu. Un cod OTP nu anulează niciodată nimic -- doar autorizează. "Ca să anulez" este chiar formula standard a fraudei. Niciun sistem bancar nu folosește un cod pentru a opri o tranzacție.
Am primit un cod, dar nu l-am dat nimănui. Sunt în pericol? Faptul că ai primit codul fără să fi cerut o operațiune înseamnă că datele tale de card sunt la cineva. Tu nu ai autorizat nimic, deci plata nu a trecut -- dar schimbă parolele și anunță banca, fiindcă cineva încearcă.
Codul din aplicația băncii e mai sigur decât cel prin SMS? Ambele sunt sigure câtă vreme nu le dai nimănui. Riscul nu vine din canal, ci din momentul în care comunici codul altcuiva. Confirmarea în aplicație are avantajul că arată clar ce aprobi.
Pe scurt
Codul OTP, inclusiv cel din 3-D Secure, este semnătura ta pe o tranzacție -- el aprobă, nu anulează. Nimeni, nici măcar banca, nu are dreptul să ți-l ceară la telefon sau prin SMS. Citește textul mesajului, păstrează codul pentru tine și tratează orice cod primit din senin ca pe un semnal că cineva încearcă să îți folosească banii. O cifră rostită din panică poate goli un cont în câteva secunde.