سیاست مقابله با کلاهبرداری و امنیت
نه شعار دربارهٔ رمزنگاری در سطح بانکی، بلکه سازوکارهای مشخص، اینکه چه چیزی نزد چه کسی است و چه چیزهایی پوشش داده نمی‌شوند.
۱. هدف و دامنه
۱.۱ هدف. این سیاست اقداماتی را شرح میدهد که Nelvoi Ltd برای جلوگیری از کلاهبرداری، حفاظت از حساب‌ها و تأمین امنیت پلتفرم به کار می‌گیرد و نیز کارهایی را که خودتان برای حفاظت از خود می‌توانید انجام دهید.
۱.۲ دامنه. این سیاست شامل همهٔ کاربران پلتفرم است و پیشگیری از کلاهبرداری، کنترل‌های امنیتی، احراز هویت، مدیریت حوادث و تقسیم مسئولیت میان ما و شما را در بر می‌گیرد.
۱.۳ توضیحی دربارهٔ مرحلهٔ فعلی. NELVOI هنوز راهاندازی نشده است. کنترل‌های زیر برنامه‌ای را توصیف میکنند که در حال ساخت است و به همین شکل اجرا خواهد شد؛ آنچه امروز برقرار است فقط به همین وبسایت مربوط میشود.
موجودی‌های فیات نزد شرکای صادرکننده و بانکی دارای مجوز و در حساب‌هایی جدا از پول عملیاتی خود شرکت نگهداری میشوند.
Apple Pay و Google Pay به فروشنده یک توکن یک‌بارمصرف میدهند. فروشگاهی که هک شود نمی‌تواند کارت شما را لو بدهد.
ارز دیجیتال در هیچ کجای جهان مشمول طرح تضمین سپرده نیست. ترجیح می‌دهیم این را صریح بنویسیم تا اینکه تصور دیگری پیدا کنید.
۲. موجودی شما واقعاً چگونه نگهداری میشود
«وجوه شما امن است» کم‌فایده‌ترین جملهٔ این صنعت است. مهم این است که پول عملاً نزد چه کسی است، آیا با پول خود شرکت مخلوط میشود و اگر شرکت از میان برود چه بر سر آن میآید. اینها سه پرسش متفاوت‌اند و پاسخشان بسته به اینکه موجودی فیات باشد یا کریپتو فرق میکند.
موجودی‌های فیات. پولی که به کارت واریز میشود نزد شرکای صادرکننده و بانکی دارای مجوز که برنامهٔ کارت را اجرا میکنند، در حسابهای تفکیکشده نگهداری میشود؛ یعنی جدا از پول عملیاتی خود NELVOI و با مشخص بودن اینکه متعلق به مشتریان است. همین تفکیک باعث میشود این موجودیها به مشتریان بازگردانده شوند و در اختیار طلبکاران شرکت قرار نگیرند. این سازوکار با بیمهٔ سپرده فرق دارد، از شکست دیگری حفاظت میکند و ما این دو را با هم مخلوط نمیکنیم: تضمین سپردهٔ بانکی اگر بانک ورشکست شود پول شما را برمی‌گرداند، اما تفکیک وجوه تضمین میکند که این پول از اول مال شرکت نبوده که از دست برود.
موجودی‌های کریپتو. ارز دیجیتالی که می‌فرستید به موجودی فیات قابل خرج تبدیل میشود و به‌عنوان موقعیت سرمایه‌گذاری نگهداری نمیشود؛ کارت با فیات خرج میکند و تبدیل در هنگام ورود پول انجام میشود. هر مقدار کریپتویی که در این فرایند به‌طور موقت نگهداری شود نزد یک شریک امانت‌داری تحت نظارت است، نه با کلیدهایی روی لپ‌تاپ‌های خود ما. هیچ بخشی از این فرایند در هیچ کجای جهان مشمول طرح تضمین سپرده نیست، چون چنین طرحی کریپتو را پوشش نمی‌دهد. هر کسی خلاف این را بگوید یا سردرگم است یا چیزی برای فروش دارد.
در صورت ورشکستگی چه میشود. وجوه تفکیک‌شدهٔ مشتریان جزو دارایی‌های شرکت نیستند و هدف اصلی تفکیک هم همین است. در ورشکستگی، این وجوه به‌عنوان پول مشتریان شناسایی و از طریق فرایند قابل اجرا در حوزهٔ قضایی صادرکننده بازگردانده میشوند. این فرایند زمان می‌برد، چند هفته یا چند ماه و نه چند ساعت، و ترجیح می‌دهیم از الان این را بدانید تا اینکه در بدترین لحظه متوجه شوید.
قید صادقانه. NELVOI هنوز راهاندازی نشده و بندهای بالا ساختار برنامه را توصیف میکنند، نه سرویس فعالی که امروز پول شما را نگه می‌دارد. نام شریک صادرکننده، حوزهٔ قضایی و ترتیبات حفاظت از وجوه پیش از باز شدن حساب‌ها در این صفحه و در شرایط و ضوابط اعلام میشود.
۳. کنترل‌های ما
چهار لایه. هر کدام برای ما هزینه دارد و واقعی بودنشان را از همین می‌توان فهمید.
احراز هویت
بررسی اصالت مدرک دولتی، بررسی زنده بودن برای تطبیق چهره با مدرک، تأیید محل سکونت و غربالگری در فهرست‌های تحریم و اشخاص دارای ریسک سیاسی. رابطه‌های پرریسک‌تر مشمول بررسی دقیق تشدیدشده هستند و غربالگری پس از ثبت‌نام هم ادامه دارد، چون فهرست‌ها تغییر میکنند.
امنیت حساب
احراز هویت دو مرحلهای که برای برداشت، تغییرات امنیتی و افزودن دستگاه الزامی است. رمزنگاری دادهها در حین انتقال و در حالت ذخیره. پایان خودکار نشست و فهرست دستگاه‌های واردشده که می‌توانید از راه دور از آنها خارج شوید. دسترسی کارکنان مبتنی بر نقش، با کمترین سطح لازم و ثبت‌شده است.
پایش تراکنش
غربالگری لحظه‌ای، تحلیل رفتاری برای یافتن الگوهای ناسازگار با استفادهٔ عادی از حساب، بررسی و محدودیت سرعت تراکنش، غربالگری تحریمی طرف‌های معامله و هشدارهای خودکاری که یک انسان بررسی میکند و خودکار بسته نمی‌شوند.
زیرساخت
فایروال و تشخیص نفوذ، مدیریت آسیب‌پذیری و به‌روزرسانی امنیتی، توسعهٔ امن، پایش مداوم و آزمون نفوذ مستقل به‌عنوان بخشی از برنامهٔ پیش از راهاندازی، در کنار بررسی امنیتی خود شریک صادرکننده که هر برنامهٔ کارت باید پیش از فعال شدن از آن بگذرد.
۴. امنیت حساب
کارت و موجودی کم‌اهمیت‌تر از حسابی هستند که به آن وابسته‌اند. بیشتر زیان‌ها در خدمات مالی مصرف‌کنندگان از ورود شخص دیگری به حساب شروع میشود، نه از رخنهٔ فنی.
احراز هویت دو مرحلهای
روی همهٔ حساب‌ها در دسترس است و برای کارهای حساس الزامی است: برداشت، تغییر تنظیمات امنیتی و افزودن دستگاه جدید. مهاجمی که فقط رمز عبور شما را داشته باشد به جایی نمی‌رسد.
کنترل دستگاه و نشست
همهٔ دستگاه‌های واردشده با آخرین فعالیتشان فهرست میشوند و می‌توانید از راه دور از هر کدام خارج شوید. اگر نشستی به نظرتان مشکوک است، بدون انتظار برای پشتیبانی آن را پایان دهید.
هشدار برای کارهای مهم
اعلان برای هر پرداخت و برای تغییر تنظیمات امنیتی، ایمیل ثبت‌شده یا شمارهٔ تلفن. سکوت همان چیزی است که باعث میشود تصاحب حساب روزها دیده نشود.
دورهٔ انتظار برای تغییرات حساس
تغییر ایمیل یا شمارهٔ تلفن حساب، برداشت را موقتاً محدود میکند. این برای شما یک بار زحمت دارد و برای کسی که تازه اطلاعات ورود شما را دزدیده مانعی جدی است.
۵. محافظت از خود در برابر کلاهبرداری
اینها جلوی حمله‌هایی را می‌گیرند که واقعاً موفق میشوند. هیچ‌کدام فنی نیستند.
رمز عبور یکتا و احراز هویت دو مرحلهای
یکتا، تا هک شدن سایتی دیگر به معنای هک شدن این حساب نباشد. دو مرحلهای، تا رمز دزدیده‌شده به‌تنهایی کافی نباشد. اپ احراز هویت را به پیامک ترجیح دهید، چون سیم‌کارت را می‌توان تعویض کرد.
هرگز کدی را به کسی ندهید
ما هرگز به رمز عبور، کد دو مرحلهای، شمارهٔ کامل کارت یا عبارت بازیابی شما نیاز نداریم و آنها را نمیخواهیم. هر کسی این اطلاعات را بخواهد ما نیستیم، نشانی فرستنده هر چه میخواهد باشد.
نشانی را خودتان تایپ کنید
روی لینک‌های پیام‌های غیرمنتظره نزنید. nelvoi.com را خودتان باز کنید. لینکی که در ایمیل درست به نظر می‌رسد ارزان‌ترین بخش یک بستهٔ فیشینگ است.
به عجله بی‌اعتماد باشید
فشار برای اقدام فوری ویژگی مشترک تقریباً همهٔ کلاهبرداری‌های موفق است. درخواست واقعی با یک ساعت بررسی از بین نمی‌رود.
دستگاه و حساب ایمیل را امن کنید
ایمیل شما راه بازیابی همهٔ حسابهای دیگر است؛ دست‌کم به اندازهٔ پولتان از آن محافظت کنید. نرم‌افزارها را به‌روز نگه دارید و در شبکههای عمومی کار مالی انجام ندهید.
پیش از تأیید بررسی کنید
گیرنده، شبکه، مبلغ، ارز. در بلاک‌چین خطا در این موارد قطعی است؛ بخش ۷ را ببینید.
۶. اگر مشکلی پیش آمد
کارهایی که باید به ترتیب انجام دهید. دو گام اول با خود شماست و همین دو گام جلوی زیان را می‌گیرند.
مسدود کردن کارت
یک لمس در پنل کاربری یا از هر دستگاهی که بتوانید وارد شوید. پرداخت‌های جدید فوراً رد میشوند و موجودی سر جایش میماند. پیش از هر کار دیگری این را انجام دهید؛ چند ثانیه طول می‌کشد و برگشت‌پذیر است.
رمز عبور را تغییر دهید و از دستگاه‌های دیگر خارج شوید
اگر فکر می‌کنید کسی به خود حساب دسترسی دارد و نه فقط به کارت، این گام او را بیرون میکند. هر دو در تنظیمات امنیتی هستند.
به پشتیبانی بنویسید
به [email protected] و در صورت امکان از ایمیل ثبت‌شده در حساب بنویسید. بگویید چه شده و چه زمانی. ظرف یک روز کاری پاسخ می‌دهیم و گزارش‌های نفوذ به حساب خارج از نوبت بررسی میشوند.
ما بررسی و اقدام میکنیم
کارهایی که می‌توانیم انجام دهیم: مسدود کردن کارتها و دستگاه، صدور دوبارهٔ شمارهٔ کارت و حفظ سابقهٔ تراکنش برای اعتراض. آنچه نمی‌توانیم بازگرداندن انتقال بلاک‌چینی انجام‌شده است و هیچ‌کس دیگری هم نمی‌تواند.
۷. مسئولیت با کیست
۷.۱ مسئولیت ما. حفظ کنترل‌های بخش ۳؛ بررسی سریع گزارش‌ها؛ مسدود کردن آنچه لازم است؛ حفظ سابقهٔ تراکنش؛ اطلاع‌رسانی به شما و مراجع هرگاه رخنه‌ای آن را الزامی کند.
۷.۲ مسئولیت شما. امن نگه داشتن اطلاعات ورود و دستگاه‌ها؛ فعال کردن قابلیت‌های امنیتی که ارائه می‌دهیم؛ بررسی تراکنشها پیش از تأیید؛ گزارش سریع هر مورد غیرمجاز.
۷.۳ آنچه ما نمی‌توانیم جبران کنیم. طبق شرایط و ضوابط، ما مسئول زیان ناشی از اطلاعات ورودی که خودتان فاش کردهاید، دسترسی غیرمجاز از راه احراز هویت به خطر افتاده، فیشینگ یا مهندسی اجتماعی که در آن خودتان اطلاعات را داده‌اید، یا تراکنش‌هایی که خودتان تأیید کردهاید نیستیم، حتی اگر با فریب به تأیید آنها واداشته شده باشید. این سلب مسئولیتی پنهان نیست: دلیل وجود بخش ۵ همین است و همین باعث میشود کلاهبرداری با پرداخت تأییدشده توسط خود شما در سراسر دنیای مالی سخت‌ترین نوع برای جبران باشد.
۷.۴ آنچه هیچ‌کس نمی‌تواند جبران کند. انتقال بلاک‌چینی انجام‌شده را نه ما، نه شرکای ما و نه هیچ‌کس دیگری نمی‌تواند برگرداند. هرجا بازیابی از نظر فنی ممکن باشد تلاش میکنیم و بابت آن هزینهای نمیگیریم.
۸. مدیریت حوادث
۸.۱ رویه. رویه‌های مکتوبی برای واکنش به حوادث داریم تا حوادث را شناسایی و مهار کنیم، علت ریشه‌ای را بررسی کنیم، اقدامات اصلاحی را اجرا کنیم و به افراد متأثر اطلاع دهیم.
۸.۲ اطلاع‌رسانی. اگر حادثه‌ای بر اطلاعات شخصی یا حساب شما اثر بگذارد، طبق الزامات قانون قابل اجرا و بدون تأخیر ناموجه به شما اطلاع می‌دهیم و می‌گوییم چه می‌دانیم و چه توصیه‌ای داریم. اطلاع‌رسانی را برای نوشتن متنی خوش‌آهنگ‌تر به تأخیر نمی‌اندازیم.
۸.۳ مراجع قانونی. با مراجع انتظامی و نهادهای ناظری که کلاهبرداری و جرایم سایبری را بررسی میکنند همکاری میکنیم و هرجا قانون اجازه دهد یا الزام کند ممکن است فعالیت مشکوک را بدون اطلاع شما گزارش دهیم. برای اینکه چرا گاهی نمی‌توانیم به شما بگوییم، سیاست مبارزه با پول‌شویی را ببینید.
۹. کنترل‌ها در دست شماست و نیازی به درخواست از ما نیست
بیشتر آسیب به حساب در ساعتی رخ میدهد که هنوز کسی به پشتیبانی نرسیده است. برای همین ابزارهای جلوگیری از آن در اپلیکیشن هستند، نه پشت صف تلفن.
- مسدود کردن با یک لمس — پرداخت‌های جدید فوراً رد میشوند و موجودی سر جایش میماند
- تعویض شماره — رایگان، بدون جابه‌جایی حساب یا پول
- تأیید روی گوشی شما — در پرداخت‌های پرریسک‌تر 3-D Secure فعال است، پس شمارهٔ دزدیده‌شده کافی نیست
- مشخصات کارت پشت احراز هویت تازه — شمارهٔ کامل فقط وقتی نمایش داده میشود که خودتان بخواهید
۱۰. آنچه پوشش داده نمیشود
صراحت دربارهٔ محدودیت‌ها مهم‌تر از فهرست بلندتری از اطمینان‌بخشی است.
ارز دیجیتال مشمول حمایت از سپرده نیست. طرحهای دولتی تضمین سپرده از سپردههای بانکی حمایت میکنند، نه از موجودی کریپتو. دارایی کریپتویی ریسک بازار دارد و در برابر آن بیمه نیست.
انتقال بلاک‌چینی قطعی است. اگر وجوه را به نشانی یا شبکهٔ اشتباه بفرستید، هیچ‌کس نمی‌تواند آن را برگرداند. همیشه پیش از ارسال شبکه را بررسی کنید. این رایجترین راه از دست دادن پول است و ربطی به امنیت ما ندارد.
هیچ‌کس از طرف NELVOI هرگز رمز عبور، کد 2FA یا شمارهٔ کامل کارت شما را نمی‌خواهد. هر کسی چنین چیزی بخواهد خود را به جای ما جا زده است. تنها نشانی پشتیبانی ما [email protected] است.
۱۱. پرسش‌هایی دربارهٔ امنیت
وجوه مشتریان در حسابهای تفکیکشده نزد شرکای تحت نظارت و جدا از پول شرکت نگهداری میشوند و به همین دلیل به مشتریان بازگردانده میشوند، نه اینکه دارایی شرکت به حساب بیایند. این با بیمهٔ سپرده یکی نیست و ما آن را چنین توصیف نمیکنیم.
مدارک به یک ارائهدهندهٔ احراز هویت تحت نظارت داده میشوند که بررسی را انجام میدهد. ما نتیجه و دادههای لازم طبق قانون را دریافت میکنیم، نه نسخهای از همهٔ چیزهایی که بارگذاری کردهاید.
از دستگاه دیگری وارد شوید و کارتها را مسدود کنید، یا به [email protected] بنویسید تا ما آنها را برایتان مسدود کنیم. موجودی شما سر جایش میماند، چون به حساب احراز هویتشدهٔ شما وابسته است، نه به دستگاه.
آزمون نفوذ مستقل بخشی از برنامهٔ پیش از راهاندازی است، در کنار بررسی امنیتی خود شریک صادرکننده که هر برنامهٔ کارت باید پیش از فعال شدن از آن بگذرد.
خیر، و ارزش دارد دقیقاً بگوییم چرا. طرحهای تضمین سپرده، مانند FSCS در بریتانیا، FDIC در ایالات متحده و دستورالعملهای تضمین سپردهٔ اتحادیهٔ اروپا، سپردههای بانکهای دارای مجوز را پوشش میدهند. موجودی کارت نزد شریک پول الکترونیکی یا صادرکنندهٔ تحت نظارت، در عوض با تفکیک حفاظت میشود: پول شما جدا از پول شرکت نگهداری میشود، پس مال شما میماند و دارایی شرکت نمیشود. موجودی کریپتو هیچ پوششی ندارد، در هیچ کجا. هر ارائهدهندهای که ادعا کند موجودی کریپتو بیمه است، چیزی غیر از بیمهٔ سپرده را توصیف میکند.
مسدود کردن حساب در اختیار ماست و در برخی شرایط قانوناً مجبور به این کار هستیم. قانون مبارزه با پول‌شویی شرکت‌های تحت نظارت و شرکای آنها را ملزم میکند در شرایط مشخص تراکنش را نگه دارند یا رد کنند و در برخی حوزه‌های قضایی حتی گفتن دلیل آن به شما را در همان زمان ممنوع میکند. ما نمی‌توانیم پول شما را برای مصرف خودمان برداریم، چون وجوه تفکیکشده مال ما نیستند. سیاست مبارزه با پول‌شویی توضیح میدهد چه چیزی باعث بررسی میشود و چه چیزهایی را می‌توانیم یا نمی‌توانیم به شما بگوییم.
در بیشتر موارد قابل بازیابی نیست و این رایجترین راه از دست دادن پول در کریپتوست، که ربطی به امنیت هیچ ارائهدهندهای ندارد. ارسال USDT در زنجیرهٔ اشتباه یا به نشانی یک دارایی دیگر معمولاً یعنی از دست رفتن وجوه. پیش از تأیید، شبکه را بررسی کنید. هرجا بازیابی از نظر فنی ممکن باشد تلاش میکنیم، اما قولی نمیدهیم و بابت این تلاش هزینهای نمیگیریم.
ما هرگز رمز عبور، کد دو مرحلهای، شمارهٔ کامل کارت یا عبارت بازیابی شما را نمیخواهیم: نه با ایمیل، نه با تلفن، نه در چت و نه هیچ وقت دیگر. تنها نشانی پشتیبانی ما [email protected] و تنها وبسایت ما nelvoi.com است. اگر پیامی یکی از اینها را بخواهد از طرف ما نیست، نشانی فرستنده هر چه میخواهد باشد. آن را به [email protected] بفرستید و حذف کنید.
ما دادههای شخصی را نمیفروشیم. دادهها فقط با طرفهایی که برای ارائهٔ خدمات لازماند به اشتراک گذاشته میشوند: ارائهدهندهٔ احراز هویت که بررسی هویت را انجام میدهد، شرکای صادرکننده و بانکی که موجودیها را نگه میدارند و پرداختها را پردازش میکنند و شبکههای کارت که تراکنشها را مسیریابی میکنند، و نیز با مراجع هرجا قانون الزام کند. سیاست حریم خصوصی دستهها و دلایل را فهرست کرده است.
آزمون نفوذ مستقل بخشی از برنامهٔ پیش از راهاندازی است، در کنار بررسی امنیتی خود شریک صادرکننده که هر برنامهٔ کارت باید پیش از فعال شدن از آن بگذرد. برنامههای کارت همچنین مشمول الزامات PCI DSS برای کار با دادههای کارت هستند و یکی از دلایلی که شمارهٔ کامل کارت را پلتفرم صادرکننده پردازش میکند و ما آن را ذخیره نمیکنیم همین است.
ادامهٔ مطلب
- آیا کارت کریپتو امن است؟ ریسکها واقعیاند، اما همانهایی نیستند که مردم نگرانشان هستند. اینجا می‌گوییم واقعاً چه چیزی از پول محافظت میکند و از چه چیزی هیچ محافظتی نیست. خواندن →
- احراز هویت و اینکه چرا راه دوری ندارد هر صادرکنندهای پیش از صدور کارت میپرسد شما کیستید. اینجا توضیح می‌دهیم واقعاً چه چیزی بررسی میشود و چه چیزی باعث رد شدن آن میشود. خواندن →
در این دسته هنوز مطلبی نیست.
این سند به چند زبان در دسترس است. در صورت هرگونه مغایرت میان نسخه‌ها، نسخهٔ انگلیسی ملاک است.
