מדיניות הונאות ואבטחה
לא סיסמאות על הצפנה ברמה בנקאית, אלא המנגנונים עצמם, מי מחזיק במה, ומה הם לא מכסים.
1. מטרה והיקף
1.1 מטרה. מדיניות זו מתארת את האמצעים ש־Nelvoi Ltd נוקטת למניעת הונאות, להגנה על חשבונות ולאבטחת הפלטפורמה, ואת מה שניתן לעשות כדי להגן על עצמכם.
1.2 היקף. המדיניות חלה על כל משתמשי הפלטפורמה ועוסקת במניעת הונאות, בבקרות אבטחה, באימות זהות, בניהול אירועים ובחלוקת האחריות בינינו לביניכם.
1.3 הערה לגבי השלב הנוכחי. NELVOI עדיין לא הושקה. הבקרות שלמטה מתארות את התוכנית כפי שהיא נבנית וכפי שתפעל; מה שכבר קיים היום חל על האתר הזה עצמו.
יתרות פיאט מוחזקות אצל שותפי הנפקה ובנקאות מורשים, בחשבונות נפרדים מכספי התפעול של החברה.
Apple Pay ו־Google Pay מעבירים לבית העסק טוקן חד-פעמי. חנות שנפרצה לא יכולה להדליף את הכרטיס.
קריפטו אינו מכוסה באף הסדר לביטוח פיקדונות, בשום מקום. עדיף לנו לכתוב זאת כאן מאשר להשאיר אתכם להניח אחרת.
2. איך היתרה מוחזקת בפועל
„הכסף שלכם בטוח“ הוא המשפט הכי פחות מועיל בענף הזה. מה שחשוב הוא מי מחזיק בכסף בפועל, האם הוא מעורבב בכספי החברה, ומה קורה לו אם החברה נעלמת. אלה שלוש שאלות שונות, ויש להן שלוש תשובות שונות, בהתאם לשאלה אם היתרה בפיאט או בקריפטו.
יתרות פיאט. כסף שנטען על כרטיס מוחזק אצל שותפי ההנפקה והבנקאות המורשים שמפעילים את תוכנית הכרטיסים, בחשבונות מופרדים – נפרדים מכספי התפעול של NELVOI ומזוהים כשייכים ללקוחות. ההפרדה היא מה שמאפשר להחזיר את היתרות ללקוחות במקום שיעמדו לרשות נושי החברה. זה מנגנון שונה מביטוח פיקדונות, הוא מגן מפני כשל אחר, ולא נטשטש את ההבדל: ביטוח פיקדונות בבנק מחזיר את הכסף אם הבנק קורס, והפרדה מבטיחה שהכסף מעולם לא היה של החברה ולכן היא לא יכולה לאבד אותו.
יתרות קריפטו. קריפטו שנשלח מומר ליתרת פיאט זמינה לשימוש ולא מוחזק כפוזיציית השקעה – הכרטיס מוציא פיאט, וההמרה מתבצעת בכניסה. קריפטו שמוחזק באופן זמני במהלך התהליך נמצא אצל שותף משמורת מפוקח, ולא במפתחות על המחשבים הניידים שלנו. שום חלק מכך אינו מכוסה בביטוח פיקדונות בשום מקום בעולם, כי אין הסדר כזה שמכסה קריפטו. מי שטוען אחרת מבולבל או מוכר משהו.
מה קורה בחדלות פירעון. כספי לקוחות מופרדים אינם נכסי החברה, וזה כל הטעם בהפרדה. בחדלות פירעון הם מזוהים ככספי לקוחות ומוחזרים בהליך החל בתחום השיפוט של המנפיק. ההליך לוקח זמן – שבועות או חודשים, לא שעות – ועדיף לנו שתדעו זאת עכשיו ולא תגלו ברגע הגרוע ביותר.
ההסתייגות הכנה. NELVOI עדיין לא הושקה, והפסקאות שלמעלה מתארות את מבנה התוכנית, לא שירות פעיל שמחזיק היום בכסף שלכם. שותף ההנפקה, תחום השיפוט והסדר ההגנה על הכספים יפורטו בעמוד הזה ובתנאים לפני פתיחת החשבונות.
3. הבקרות שלנו
ארבע שכבות. כל אחת עולה לנו, וכך אפשר לדעת שהן אמיתיות.
אימות זהות
מסמך ממשלתי שנבדק לאמיתותו, בדיקת חיוּת שמוודאת שהפנים תואמות אותו, אישור מקום מגורים, וסינון מול רשימות סנקציות ואנשי ציבור. קשרים בסיכון גבוה עוברים בדיקת נאותות מוגברת, והסינון נמשך גם אחרי ההצטרפות, כי הרשימות משתנות.
אבטחת החשבון
אימות דו-שלבי, הנדרש למשיכות, לשינויי אבטחה ולהוספת מכשיר. הצפנה בתעבורה ובאחסון. פקיעת הפעלה אוטומטית ורשימת מכשירים מחוברים שניתן לנתק מרחוק. הגישה של העובדים מבוססת תפקיד, מוגבלת למינימום הנדרש ומתועדת.
ניטור עסקאות
סינון בזמן אמת, ניתוח התנהגותי של דפוסים שאינם תואמים את השימוש הרגיל בחשבון, בדיקות קצב ומגבלות, סינון סנקציות של צדדים נגדיים, והתראות אוטומטיות שנבדקות על ידי אדם ולא נסגרות אוטומטית.
תשתית
חומות אש וזיהוי חדירות, ניהול פגיעויות ועדכוני אבטחה, פיתוח מאובטח, ניטור רציף ומבדקי חדירה עצמאיים כחלק מתוכנית טרום ההשקה, לצד בדיקת האבטחה של שותף ההנפקה, שכל תוכנית כרטיסים חייבת לעבור לפני העלייה לאוויר.
4. אבטחת החשבון
הכרטיס והיתרה חשובים פחות מהחשבון שהם תלויים בו. רוב ההפסדים בפיננסים לצרכן מתחילים בכך שמישהו אחר נכנס לחשבון, לא בפריצה טכנית.
אימות דו-שלבי
זמין בכל חשבון ונדרש לפעולות רגישות: משיכות, שינוי הגדרות אבטחה, הוספת מכשיר חדש. תוקף שיש לו רק את הסיסמה לא יגיע רחוק.
שליטה במכשירים ובהפעלות
כל מכשיר מחובר מופיע ברשימה עם הפעילות האחרונה שלו, ואפשר לנתק כל אחד מהם מרחוק. אם הפעלה נראית לא תקינה, אפשר לסיים אותה בלי לחכות לתמיכה.
התראות על הפעולות החשובות
הודעה על כל תשלום ועל שינויים בהגדרות האבטחה, בכתובת האימייל הרשומה או במספר הטלפון. שקט הוא הדרך שבה השתלטות על חשבון נשארת בלתי מורגשת במשך ימים.
תקופת המתנה בשינויים רגישים
שינוי אימייל או מספר טלפון בחשבון מגביל את המשיכות באופן זמני. זו אי-נוחות חד-פעמית עבורכם ומכשול רציני למי שזה עתה גנב את פרטי הכניסה.
5. הגנה עצמית מפני הונאות
אלה עוצרים את ההתקפות שמצליחות בפועל. אף אחד מהם אינו טכני.
סיסמה ייחודית ואימות דו-שלבי
ייחודית, כדי שפריצה לאתר אחר לא תהיה פריצה לכאן. דו-שלבי, כדי שסיסמה גנובה לא תספיק לבדה. עדיף אפליקציית אימות על פני SMS: אפשר להחליף SIM.
לעולם לא למסור קוד
אין לנו צורך בסיסמה, בקוד אימות דו-שלבי, במספר הכרטיס המלא או בביטוי שחזור, ולעולם לא נבקש אותם. מי שמבקש אחד מהם אינו אנחנו, גם אם כתובת השולח נראית כך.
מגיעים אלינו בהקלדת הכתובת
לא לוחצים על קישורים בהודעות לא צפויות. פותחים את nelvoi.com בעצמכם. קישור שנראה נכון באימייל הוא החלק הזול ביותר בערכת פישינג.
לחשוד בדחיפות
לחץ לפעול מיד הוא המכנה המשותף של כמעט כל הונאה מוצלחת. בקשה לגיטימית תעמוד גם בשעה של בדיקה.
לאבטח את המכשיר ואת חשבון האימייל
האימייל הוא נתיב האיפוס של כל השאר; יש לאבטח אותו לפחות כמו את הכסף. כדאי לעדכן תוכנות ולהימנע מפעולות פיננסיות ברשתות ציבוריות.
לבדוק לפני אישור
נמען, רשת, סכום, מטבע. בבלוקצ'יין טעות כאן היא סופית – ראו סעיף 7.
6. אם משהו משתבש
מה עושים, לפי הסדר. שני הצעדים הראשונים באחריותכם, והם אלה שעוצרים את הדימום.
להקפיא את הכרטיס
לחיצה אחת בלוח הבקרה, או מכל מכשיר שאפשר להתחבר ממנו. תשלומים חדשים נדחים מיד והיתרה נשארת במקומה. זה הדבר הראשון שעושים – זה לוקח שניות וניתן לביטול.
להחליף סיסמה ולנתק מכשירים אחרים
אם יש חשד שלמישהו אחר יש גישה לחשבון ולא רק לכרטיס, זה הצעד שמוציא אותו. שתי הפעולות נמצאות בהגדרות האבטחה.
לכתוב לתמיכה
אל [email protected], מהכתובת הרשומה בחשבון אם אפשר. יש לפרט מה קרה ומתי. אנו עונים בתוך יום עסקים אחד, ודיווחים על פריצה לחשבון עוקפים את התור.
אנחנו בודקים ופועלים
אנחנו יכולים להקפיא כרטיסים, לחסום מכשיר, להנפיק מחדש מספר כרטיס ולשמור את רישומי העסקאות לצורך מחלוקת. מה שאיננו יכולים לעשות הוא לבטל העברת בלוקצ'יין שהושלמה – אף אחד לא יכול.
7. חלוקת האחריות
7.1 באחריותנו. קיום הבקרות שבסעיף 3; בדיקת דיווחים ללא דיחוי; הקפאת מה שצריך להקפיא; שמירת רישומי העסקאות; הודעה לכם ולרשויות כאשר אירוע אבטחה מחייב זאת.
7.2 באחריותכם. שמירה על אבטחת פרטי הכניסה והמכשירים; הפעלת אמצעי האבטחה שאנו מספקים; בדיקת עסקאות לפני אישורן; דיווח ללא דיחוי על כל פעולה לא מורשית.
7.3 מה שאיננו יכולים לבטל. כמפורט בתנאים וההגבלות, איננו אחראים להפסדים הנובעים מפרטי כניסה שמסרתם, מגישה לא מורשית באמצעות אימות שנפרץ, מפישינג או מהנדסה חברתית שבהם מסרתם את המידע, או מעסקאות שאישרתם – גם אם הוטעיתם לאשר אותן. זו אינה הסתייגות שאנו מסתירים: בגללה קיים סעיף 5, ובגללה הונאת תשלום מאושר היא הסוג הקשה ביותר לתיקון בכל עולם הפיננסים.
7.4 מה שאף אחד לא יכול לבטל. העברת בלוקצ'יין שהושלמה אינה ניתנת לביטול על ידינו, על ידי שותפינו או על ידי כל גורם אחר. כאשר השבה אפשרית מבחינה טכנית, ננסה לבצע אותה ולא נגבה תשלום על הניסיון.
8. ניהול אירועים
8.1 נוהל. אנו מקיימים נהלים מתועדים לתגובה לאירועים, שמטרתם לזהות אירועים ולהכילם, לחקור את שורש הבעיה, ליישם צעדים מתקנים ולהודיע לנפגעים.
8.2 הודעה. כאשר אירוע משפיע על המידע האישי שלכם או על החשבון שלכם, נודיע לכם ככל שהדין החל מחייב, ללא דיחוי בלתי סביר, ונמסור את מה שידוע לנו ואת מה שאנו ממליצים לעשות. לא נעכב הודעה כדי לנסח גרסה שנשמעת טוב יותר.
8.3 רשויות אכיפה. אנו משתפים פעולה עם רשויות אכיפה ורגולטורים החוקרים הונאות ופשעי סייבר, ועשויים לדווח על פעילות חשודה בלי להודיע לכם כאשר החוק מתיר או מחייב זאת – ראו במדיניות איסור הלבנת הון מדוע לפעמים איננו יכולים לספר לכם.
9. הבקרות בידיים שלכם, ואין צורך לבקש אותן מאיתנו
רוב הנזק לחשבונות נגרם בשעה שלפני שמישהו מגיע לתמיכה. לכן מה שעוצר אותו נמצא באפליקציה, לא מאחורי תור טלפוני.
- הקפאה בלחיצה אחת — תשלומים חדשים נדחים מיד, והיתרה נשארת במקומה
- החלפת המספר — בחינם, ובלי להעביר את החשבון או את הכסף
- אישור בטלפון — 3-D Secure בתשלומים בסיכון גבוה, כך שמספר גנוב לא מספיק
- פרטים מאחורי אימות חדש — המספר המלא מוצג רק כשמבקשים אותו
10. מה כל זה לא מכסה
כנות לגבי הגבולות חשובה יותר מרשימה ארוכה יותר של הבטחות מרגיעות.
קריפטו אינו מכוסה בביטוח פיקדונות. הסדרי ביטוח פיקדונות ממשלתיים מגינים על פיקדונות בנקאיים, לא על יתרות קריפטו. נכסים המוחזקים בקריפטו חשופים לסיכון שוק ואינם מבוטחים מפניו.
העברות בבלוקצ'יין הן סופיות. כספים שנשלחו לכתובת שגויה או ברשת שגויה – אף אחד לא יכול להחזיר אותם. תמיד יש לבדוק את הרשת לפני השליחה: זו הדרך הנפוצה ביותר שבה אנשים מאבדים כסף, ואין לה שום קשר לאבטחה שלנו.
אף אחד מ־NELVOI לעולם לא יבקש סיסמה, קוד 2FA או מספר כרטיס מלא. מי שמבקש זאת מתחזה אלינו. כתובת התמיכה היחידה שלנו היא [email protected].
11. שאלות על אבטחה
כספי לקוחות מוחזקים בחשבונות מופרדים אצל שותפים מפוקחים, בנפרד מכספי החברה, וזה מה שמאפשר להחזיר אותם ללקוחות ולא להתייחס אליהם כנכסי החברה. זה לא אותו דבר כמו ביטוח פיקדונות, ולא נתאר זאת כך.
הם מועברים לספק אימות מפוקח שמבצע את הבדיקה. אנחנו מקבלים את התוצאה ואת הנתונים שהחוק מחייב, לא עותק של כל מה שהועלה.
מתחברים ממכשיר אחר ומקפיאים את הכרטיסים, או כותבים אל [email protected] ואנחנו נקפיא אותם עבורכם. היתרה נשארת במקומה – היא קשורה לחשבון המאומת ולא למכשיר.
מבדקי חדירה עצמאיים הם חלק מתוכנית טרום ההשקה, לצד בדיקת האבטחה של שותף ההנפקה שלנו, שכל תוכנית כרטיסים חייבת לעבור לפני העלייה לאוויר.
לא, וחשוב לדייק מדוע. הסדרי ביטוח פיקדונות – FSCS בבריטניה, FDIC בארצות הברית, הדירקטיבות של האיחוד האירופי בנושא ביטוח פיקדונות – מכסים פיקדונות בבנקים מורשים. יתרת כרטיס שמוחזקת אצל שותף מפוקח לכסף אלקטרוני או להנפקה מוגנת במקום זאת באמצעות הפרדה: הכסף נשמר בנפרד מכספי החברה, ולכן נשאר שלכם ולא הופך לנכס של העסק. יתרות קריפטו אינן מכוסות בכלום, בשום מקום. ספק שטוען שיתרות הקריפטו שלו מבוטחות מתאר משהו אחר, לא ביטוח פיקדונות.
אנחנו יכולים להקפיא חשבון, ובמצבים מסוימים החוק מחייב אותנו. דיני איסור הלבנת הון מחייבים חברות מפוקחות ושותפיהן לעכב או לסרב לעסקאות בנסיבות מוגדרות, ובחלק מתחומי השיפוט גם אוסרים לספר לכם את הסיבה באותו רגע. איננו יכולים לקחת את הכסף לשימוש שלנו – כספים מופרדים אינם שלנו. מדיניות איסור הלבנת הון מפרטת מה מפעיל בדיקה ומה אנו יכולים ולא יכולים לומר.
ברוב המקרים אי אפשר להשיב אותו, וזו הדרך הנפוצה ביותר שבה אנשים מאבדים כסף בקריפטו – ואין לה קשר לאבטחה של ספק כלשהו. שליחת USDT ברשת הלא נכונה, או לכתובת של נכס אחר, פירושה בדרך כלל שהכסף אבד. יש לבדוק את הרשת לפני האישור. כשהשבה אפשרית מבחינה טכנית ננסה לבצע אותה, אבל איננו יכולים להבטיח זאת ולא נגבה תשלום על הניסיון.
לעולם לא נבקש סיסמה, קוד אימות דו-שלבי, מספר כרטיס מלא או ביטוי שחזור – לא באימייל, לא בטלפון, לא בצ'אט, אף פעם. כתובת התמיכה היחידה שלנו היא [email protected] והאתר היחיד שלנו הוא nelvoi.com. הודעה שמבקשת אחד מאלה אינה מאיתנו, גם אם כתובת השולח נראית כך. יש להעביר אותה אל [email protected] ולמחוק.
איננו מוכרים נתונים אישיים. הנתונים משותפים עם הגורמים הדרושים להפעלת השירות – ספק האימות שמבצע את בדיקות הזהות, שותפי ההנפקה והבנקאות שמחזיקים ביתרות ומעבדים תשלומים, ורשתות הכרטיסים שמנתבות עסקאות – ועם רשויות כשהחוק מחייב. מדיניות הפרטיות מפרטת את הקטגוריות ואת הסיבות.
מבדקי חדירה עצמאיים הם חלק מתוכנית טרום ההשקה, לצד בדיקת האבטחה של שותף ההנפקה שלנו, שכל תוכנית כרטיסים חייבת לעבור לפני העלייה לאוויר. תוכניות כרטיסים גם כפופות לדרישות PCI DSS החלות על טיפול בנתוני כרטיסים, וזו אחת הסיבות לכך שמספרי כרטיס מלאים מטופלים בפלטפורמת ההנפקה ואינם נשמרים אצלנו.
המשך קריאה
- האם כרטיס קריפטו בטוח? הסיכונים אמיתיים, אבל הם לא אלה שאנשים דואגים מהם. מה באמת מגן על הכסף, וממה שום דבר לא מגן עליו. קריאה →
- אימות, ולמה אין דרך לעקוף אותו כל מנפיק כרטיסים שואל מי אתם לפני שהוא מנפיק משהו. מה נבדק בפועל, ומה גורם לבדיקה להידחות. קריאה →
עדיין אין כאן כלום בקטגוריה זו.
מסמך זה זמין בכמה שפות. במקרה של סתירה בין הגרסאות, הגרסה האנגלית גוברת.