Retningslinjer for svindel og sikkerhet
Ikke slagord om kryptering på banknivå, men de konkrete mekanismene, hvem som oppbevarer hva, og hva de ikke dekker.
1. Formål og virkeområde
1.1 Formål. Disse retningslinjene beskriver tiltakene Nelvoi Ltd har for å forebygge svindel, beskytte kontoer og sikre Plattformen, og hva du selv kan gjøre for å beskytte deg.
1.2 Virkeområde. De gjelder alle brukere av Plattformen og omfatter forebygging av svindel, sikkerhetskontroller, identitetsverifisering, håndtering av hendelser og fordelingen av ansvar mellom oss og deg.
1.3 Om status. NELVOI er ennå ikke lansert. Kontrollene nedenfor beskriver programmet slik det bygges og slik det skal drives. Det som er på plass i dag, gjelder selve dette nettstedet.
Fiatsaldoer oppbevares hos lisensierte utsteder- og bankpartnere, på kontoer som holdes adskilt fra selskapets egne driftsmidler.
Apple Pay og Google Pay gir brukerstedet et engangstoken. En butikk som blir hacket, kan ikke lekke kortet ditt.
Kryptovaluta dekkes ikke av noen innskuddsgarantiordning, noe sted. Det skriver vi heller her enn å la deg tro noe annet.
2. Slik oppbevares saldoen din i praksis
«Pengene dine er trygge» er den minst nyttige setningen i denne bransjen. Det som betyr noe, er hvem som faktisk oppbevarer pengene, om de blandes med selskapets egne, og hva som skjer med dem hvis selskapet forsvinner. Det er tre ulike spørsmål, og de har tre ulike svar avhengig av om saldoen er i fiat eller krypto.
Fiatsaldoer. Penger som fylles på et kort, oppbevares hos de lisensierte utsteder- og bankpartnerne som driver kortprogrammet, på segregerte kontoer – holdt adskilt fra NELVOIs egne driftsmidler og merket som kundenes penger. Det er segregeringen som gjør at disse saldoene kan betales tilbake til kundene og ikke blir tilgjengelige for selskapets kreditorer. Det er en annen mekanisme enn innskuddsgaranti, den beskytter mot en annen type svikt, og vi kommer ikke til å viske ut forskjellen: En bankinnskuddsgaranti betaler deg tilbake hvis banken går over ende, mens segregering sikrer at pengene aldri var selskapets å tape.
Kryptosaldoer. Kryptovaluta du sender, veksles til en fiatsaldo du kan bruke, og holdes ikke som en investeringsposisjon: Kortet bruker fiat, og vekslingen skjer på vei inn. Krypto som oppbevares midlertidig under denne prosessen, ligger hos en regulert depotpartner, ikke med nøkler på våre egne bærbare maskiner. Ingen del av dette dekkes av en innskuddsgarantiordning noe sted i verden, for ingen slik ordning dekker krypto. Den som sier noe annet, har enten misforstått eller prøver å selge deg noe.
Hva som skjer ved insolvens. Segregerte kundemidler er ikke selskapets eiendeler, og det er nettopp hele poenget med å segregere dem. Ved en insolvens identifiseres de som kundenes penger og tilbakeføres gjennom den prosessen som gjelder i utstederens jurisdiksjon. Den prosessen tar tid, uker eller måneder, ikke timer, og det vil vi heller at du vet nå enn at du oppdager det i verst tenkelig øyeblikk.
Det ærlige forbeholdet. NELVOI er ennå ikke lansert, og avsnittene ovenfor beskriver hvordan programmet er strukturert, ikke en aktiv tjeneste som oppbevarer pengene dine i dag. Den konkrete utstederpartneren, jurisdiksjonen og sikringsordningen for kundemidler vil bli oppgitt på denne siden og i vilkårene før kontoene åpner.
3. Kontrollene våre
Fire lag. Hvert av dem koster oss noe, og det er slik du kan se at de er reelle.
Identitetsverifisering
Et offentlig utstedt dokument som kontrolleres for ekthet, en livssjekk av at ansiktet stemmer med dokumentet, bekreftelse av bosted og kontroll mot sanksjonslister og lister over politisk eksponerte personer. Kundeforhold med høyere risiko får forsterkede kundetiltak, og kontrollen fortsetter etter opprettelsen av kundeforholdet, fordi listene endrer seg.
Kontosikkerhet
Tofaktorautentisering, påkrevd for uttak, sikkerhetsendringer og tilføying av enheter. Kryptering under overføring og ved lagring. Automatisk utløp av økter og en liste over innloggede enheter som du kan logge ut eksternt. De ansattes tilgang er rollebasert, begrenset til det strengt nødvendige og loggført.
Transaksjonsovervåking
Kontroll i sanntid, atferdsanalyse av mønstre som ikke stemmer med kontoens vanlige bruk, kontroll av transaksjonshastighet og beløpsgrenser, sanksjonskontroll av motparter og automatiske varsler som gjennomgås av et menneske i stedet for å lukkes automatisk.
Infrastruktur
Brannmurer og inntrengingsdeteksjon, sårbarhetshåndtering og oppdateringer, sikker utviklingspraksis, kontinuerlig overvåking og uavhengig penetrasjonstesting som en del av programmet før lansering, sammen med utstederpartnerens egen sikkerhetsgjennomgang, som ethvert kortprogram må bestå før det settes i drift.
4. Kontosikkerhet
Kortet og saldoen betyr mindre enn kontoen de er knyttet til. De fleste tap i forbrukerfinans begynner med at noen andre kommer seg inn på en konto, ikke med et teknisk innbrudd.
Tofaktorautentisering
Tilgjengelig på alle kontoer og påkrevd for sensitive handlinger: uttak, endring av sikkerhetsinnstillinger og tilføying av en ny enhet. En angriper som bare har passordet ditt, kommer ingen vei.
Kontroll over enheter og økter
Alle innloggede enheter vises med siste aktivitet, og hver av dem kan logges ut eksternt. Hvis en økt ser mistenkelig ut, kan du avslutte den uten å vente på kundestøtte.
Varsler om de handlingene som betyr noe
Et varsel for hver betaling og ved endring av sikkerhetsinnstillinger, registrert e-postadresse eller telefonnummer. Når det er stille, kan en kontokapring gå ubemerket i flere dager.
Karantene ved sensitive endringer
Endrer du e-postadressen eller telefonnummeret på en konto, begrenses uttak midlertidig. For deg er det en ulempe én gang, for en som nettopp har stjålet innloggingsopplysningene dine, et alvorlig hinder.
5. Slik beskytter du deg mot svindel
Dette stopper de angrepene som faktisk lykkes. Ingen av tiltakene er tekniske.
Et unikt passord og tofaktorautentisering
Unikt, så et innbrudd på et annet nettsted ikke blir et innbrudd her. To faktorer, så et stjålet passord ikke er nok alene. Velg en autentiseringsapp fremfor SMS: Et SIM-kort kan byttes.
Del aldri en kode
Passordet ditt, en tofaktorkode, det fulle kortnummeret og en gjenopprettingsfrase er ting vi aldri trenger og aldri ber om. Den som ber om noe av dette, er ikke oss, uansett hvordan avsenderadressen ser ut.
Skriv inn adressen selv
Ikke følg lenker i uventede meldinger. Åpne nelvoi.com selv. En lenke som ser riktig ut i en e-post, er den billigste delen av et phishingsett.
Vær skeptisk til hastverk
Press om å handle umiddelbart er fellesnevneren for nesten all vellykket svindel. En legitim henvendelse tåler at du bruker en time på å sjekke den.
Sikre enheten og e-postkontoen
E-posten din er veien til å tilbakestille alt annet, så sikre den minst like godt som pengene dine. Hold programvaren oppdatert, og unngå økonomiske handlinger på offentlige nettverk.
Sjekk før du bekrefter
Mottaker, nettverk, beløp, valuta. På en blokkjede er en feil her endelig, se punkt 7.
6. Hvis noe går galt
Hva du skal gjøre, i rekkefølge. De to første stegene er dine, og det er de som stanser skaden.
Frys kortet
Ett trykk i kontrollpanelet, fra hvilken som helst enhet du kan logge inn på. Nye betalinger avvises umiddelbart, og saldoen blir der den er. Gjør dette før alt annet: Det tar sekunder og kan oppheves.
Bytt passord og logg ut andre enheter
Hvis du tror noen andre har tilgang til kontoen og ikke bare kortet, er det dette steget som fjerner dem. Du finner begge deler i sikkerhetsinnstillingene.
Skriv til kundestøtte
[email protected], helst fra adressen som er knyttet til kontoen. Fortell hva som skjedde og når. Vi svarer innen én virkedag, og meldinger om kompromitterte kontoer går foran i køen.
Vi undersøker og handler
Vi kan fryse kort, blokkere en enhet, utstede et nytt kortnummer og bevare transaksjonshistorikken for en tvist. Det vi ikke kan gjøre, er å reversere en fullført blokkjedeoverføring. Det kan ingen.
7. Hvor ansvaret ligger
7.1 Vårt. Å opprettholde kontrollene i punkt 3, undersøke meldinger raskt, fryse det som må fryses, bevare transaksjonshistorikken og varsle deg og myndighetene der et brudd krever det.
7.2 Ditt. Å holde innloggingsopplysninger og enheter sikre, slå på sikkerhetsfunksjonene vi tilbyr, kontrollere transaksjoner før du bekrefter dem og melde fra raskt om alt som er uautorisert.
7.3 Det vi ikke kan gjøre om. Som det fremgår av vilkårene, er vi ikke ansvarlige for tap som skyldes innloggingsopplysninger du har gitt fra deg, uautorisert tilgang gjennom kompromittert autentisering, phishing eller sosial manipulering der du ga fra deg opplysningene, eller transaksjoner du har godkjent, også der du ble lurt til å godkjenne dem. Dette er ikke en ansvarsfraskrivelse vi gjemmer bort: Det er grunnen til at punkt 5 finnes, og grunnen til at svindel med autoriserte betalinger er den vanskeligste typen å rette opp noe sted i finansverdenen.
7.4 Det ingen kan gjøre om. En fullført blokkjedeoverføring kan ikke reverseres av oss, av partnerne våre eller av noen andre. Der gjenoppretting er teknisk mulig, vil vi forsøke det, og vi tar ikke betalt for forsøket.
8. Håndtering av hendelser
8.1 Prosedyre. Vi har dokumenterte prosedyrer for hendelseshåndtering for å oppdage og begrense hendelser, undersøke grunnårsaker, gjennomføre korrigerende tiltak og varsle de berørte.
8.2 Varsling. Der en hendelse berører personopplysningene eller kontoen din, varsler vi deg i den grad gjeldende lov krever det, uten ugrunnet opphold, med det vi vet og det vi anbefaler deg å gjøre. Vi utsetter ikke et varsel for å få formulert et som høres bedre ut.
8.3 Politi og myndigheter. Vi samarbeider med politi og tilsynsmyndigheter som etterforsker svindel og datakriminalitet, og vi kan rapportere mistenkelig aktivitet uten å varsle deg der loven tillater eller krever det. Se retningslinjene mot hvitvasking for hvorfor vi noen ganger ikke kan fortelle deg det.
9. Kontrollene er dine, ikke noe du må søke oss om
Den meste skaden på kontoer skjer i timen før noen får kontakt med kundestøtte. Derfor ligger det som stopper den, i appen og ikke bak en telefonkø.
- Frys med ett trykk — nye betalinger avvises umiddelbart, saldoen blir der den er
- Bytt kortnummer — gratis og uten at kontoen eller pengene må flyttes
- Bekreftelse på telefonen — 3-D Secure på betalinger med høyere risiko, så et stjålet nummer ikke er nok
- Kortdetaljer bak ny autentisering — det fulle nummeret vises bare når du ber om det
10. Hva dette ikke dekker
Å være åpen om begrensningene er viktigere enn en lengre liste med beroligende ord.
Kryptovaluta dekkes ikke av innskuddsbeskyttelse. Statlige innskuddsgarantiordninger beskytter bankinnskudd, ikke kryptosaldoer. Eiendeler i krypto er utsatt for markedsrisiko og er ikke forsikret mot den.
Blokkjedeoverføringer er endelige. Hvis du sender midler til feil adresse eller på feil nettverk, kan ingen reversere det. Sjekk alltid nettverket før du sender. Dette er den aller vanligste måten folk taper penger på, og det har ingenting med sikkerheten vår å gjøre.
Ingen fra NELVOI vil noen gang be om passordet ditt, 2FA-koden din eller det fulle kortnummeret ditt. Den som gjør det, utgir seg for å være oss. Vår eneste kundestøtteadresse er [email protected].
11. Spørsmål om sikkerhet
Kundemidler oppbevares på segregerte kontoer hos regulerte partnere, adskilt fra selskapets penger, og det er dette som gjør at de kan tilbakeføres til kundene i stedet for å bli behandlet som selskapets eiendeler. Dette er ikke det samme som innskuddsgaranti, og vi kommer ikke til å beskrive det slik.
De sendes til en regulert verifiseringsleverandør som utfører kontrollen. Vi mottar resultatet og de opplysningene loven krever, ikke en kopi av alt du lastet opp.
Logg inn fra en annen enhet og frys kortene dine, eller skriv til [email protected], så fryser vi dem for deg. Saldoen din blir der den er: Den er knyttet til den verifiserte kontoen din, ikke til enheten.
Uavhengig penetrasjonstesting er en del av programmet før lansering, sammen med utstederpartnerens egen sikkerhetsgjennomgang, som ethvert kortprogram må bestå før det settes i drift.
Nei, og det er verdt å være presis om hvorfor. Innskuddsgarantiordninger – FSCS i Storbritannia, FDIC i USA, EUs direktiver om innskuddsgaranti – dekker innskudd i lisensierte banker. En kortsaldo hos en regulert e-penge- eller utstederpartner sikres i stedet gjennom segregering: Pengene dine holdes adskilt fra selskapets, så de forblir dine og ikke blir en eiendel i virksomheten. Kryptosaldoer er ikke dekket av noe som helst, noe sted. En leverandør som hevder at kryptosaldoene er forsikret, beskriver noe annet enn innskuddsgaranti.
Vi kan fryse en konto, og i noen situasjoner er vi lovpålagt å gjøre det. Hvitvaskingsregelverket pålegger regulerte foretak og partnerne deres å holde tilbake eller avvise transaksjoner i bestemte situasjoner, og i noen jurisdiksjoner er det også forbudt å fortelle deg hvorfor der og da. Vi kan ikke ta pengene dine til eget bruk: Segregerte midler er ikke våre. Retningslinjene mot hvitvasking beskriver hva som utløser en gjennomgang, og hva vi kan og ikke kan fortelle deg.
I de fleste tilfeller kan det ikke gjenopprettes, og dette er den aller vanligste måten folk taper penger på i krypto. Det har ingenting med sikkerheten hos noen leverandør å gjøre. Sender du USDT på feil kjede, eller til en adresse for en annen eiendel, er midlene som regel tapt. Sjekk nettverket før du bekrefter. Der gjenoppretting er teknisk mulig, vil vi prøve, men vi kan ikke love det, og vi tar ikke betalt for forsøket.
Vi vil aldri be om passordet ditt, en tofaktorkode, det fulle kortnummeret eller gjenopprettingsfrasen din: ikke på e-post, ikke på telefon, ikke i chat, aldri. Vår eneste kundestøtteadresse er [email protected], og vårt eneste nettsted er nelvoi.com. Hvis en melding ber om noe av dette, er det ikke fra oss, uansett hvordan avsenderadressen ser ut. Videresend den til [email protected] og slett den.
Vi selger ikke personopplysninger. Opplysninger deles med de partene som er nødvendige for å drive tjenesten – verifiseringsleverandøren som utfører identitetskontroller, utsteder- og bankpartnerne som oppbevarer saldoer og behandler betalinger, og kortnettverkene som ruter transaksjoner – og med myndighetene der loven krever det. Personvernerklæringen viser kategoriene og begrunnelsene.
Uavhengig penetrasjonstesting er en del av programmet før lansering, sammen med utstederpartnerens egen sikkerhetsgjennomgang, som ethvert kortprogram må bestå før det settes i drift. Kortprogrammer omfattes også av PCI DSS-kravene til håndtering av kortdata, som er en av grunnene til at fulle kortnumre håndteres av utstederplattformen og ikke lagres hos oss.
Les videre
- Er et kryptokort trygt? Risikoen er reell, men den er ikke den folk bekymrer seg for. Her ser du hva som faktisk beskytter pengene, og hva ingenting beskytter dem mot. Les →
- Verifisering, og hvorfor du ikke kommer utenom den Alle kortutstedere spør hvem du er før de utsteder noe. Her ser du hva som faktisk kontrolleres, og hva som gjør at en kontroll blir avvist. Les →
Ingenting i denne kategorien ennå.
Dette dokumentet finnes på flere språk. Ved avvik mellom versjonene gjelder den engelske versjonen.