Chính sách chống gian lận và bảo mật
Không phải khẩu hiệu về mã hóa chuẩn ngân hàng, mà là cơ chế cụ thể, ai giữ gì và những gì các cơ chế đó không bảo vệ.
1. Mục đích và phạm vi
1.1 Mục đích. Chính sách này mô tả các biện pháp Nelvoi Ltd duy trì để ngăn chặn gian lận, bảo vệ tài khoản và bảo mật Nền tảng, cùng những việc bạn có thể làm để tự bảo vệ mình.
1.2 Phạm vi. Chính sách áp dụng cho mọi người dùng Nền tảng, bao gồm phòng chống gian lận, kiểm soát bảo mật, xác minh danh tính, xử lý sự cố và cách phân chia trách nhiệm giữa chúng tôi với bạn.
1.3 Lưu ý về giai đoạn. NELVOI đang ở giai đoạn trước ra mắt. Các biện pháp kiểm soát dưới đây mô tả chương trình đang được xây dựng và sẽ vận hành như thế nào; những gì đã có hiện nay chỉ áp dụng cho chính trang web này.
Số dư tiền pháp định nằm tại các đối tác phát hành thẻ và ngân hàng được cấp phép, trong những tài khoản tách khỏi tiền hoạt động của công ty.
Apple Pay và Google Pay chỉ đưa cho cửa hàng một token dùng một lần. Cửa hàng có bị xâm nhập thì số thẻ của bạn cũng không bị lộ.
Không có chương trình bảo đảm tiền gửi nào, ở bất kỳ đâu, bảo vệ tiền mã hóa. Chúng tôi thà viết rõ điều này ở đây còn hơn để bạn hiểu khác đi.
2. Số dư của bạn thực sự được giữ thế nào
«Tiền của bạn an toàn» là câu vô ích nhất trong ngành này. Điều quan trọng là ai thực sự giữ tiền, tiền đó có lẫn với tiền của công ty không và chuyện gì xảy ra nếu công ty biến mất. Đó là ba câu hỏi khác nhau, và câu trả lời cho mỗi câu phụ thuộc vào việc số dư là tiền pháp định hay crypto.
Số dư tiền pháp định. Tiền nạp vào thẻ nằm tại các đối tác phát hành thẻ và ngân hàng được cấp phép đang vận hành chương trình thẻ, trong các tài khoản tách biệt: tách khỏi tiền hoạt động của NELVOI và được xác định là thuộc về khách hàng. Nhờ sự tách biệt này, số dư đó có thể được trả lại cho khách hàng thay vì rơi vào tay chủ nợ của công ty. Đây là cơ chế khác với bảo hiểm tiền gửi, bảo vệ trước một rủi ro khác, và chúng tôi không đánh đồng hai thứ: bảo đảm tiền gửi ngân hàng trả lại tiền cho bạn nếu ngân hàng đổ vỡ, còn tách biệt bảo đảm rằng số tiền đó chưa bao giờ là thứ công ty có thể làm mất.
Số dư crypto. Tiền mã hóa bạn gửi được chuyển đổi thành số dư tiền pháp định có thể chi tiêu, chứ không giữ như một khoản đầu tư: thẻ chi tiêu bằng tiền pháp định và việc chuyển đổi diễn ra ngay khi tiền vào. Lượng crypto giữ tạm trong quá trình này nằm tại một đối tác lưu ký chịu sự quản lý, không nằm trong những khóa lưu trên laptop của chúng tôi. Không phần nào trong đó thuộc phạm vi của chương trình bảo đảm tiền gửi ở bất kỳ nơi nào trên thế giới, vì không có chương trình nào như vậy bảo vệ crypto. Ai nói khác đi thì hoặc đang nhầm, hoặc đang muốn bán cho bạn thứ gì đó.
Chuyện gì xảy ra khi mất khả năng thanh toán. Tiền của khách hàng được tách biệt không phải tài sản của công ty, và đó chính là lý do phải tách biệt. Khi công ty mất khả năng thanh toán, số tiền này được xác định là tiền của khách hàng và được hoàn trả theo thủ tục áp dụng tại khu vực pháp lý của tổ chức phát hành. Thủ tục đó cần thời gian, tính bằng tuần hoặc tháng chứ không phải giờ, và chúng tôi muốn bạn biết từ bây giờ thay vì phát hiện vào lúc tệ nhất.
Lưu ý thẳng thắn. NELVOI đang ở giai đoạn trước ra mắt, và các đoạn trên mô tả cấu trúc của chương trình, không phải một dịch vụ đang giữ tiền của bạn hôm nay. Tên đối tác phát hành thẻ, khu vực pháp lý và cơ chế bảo vệ tiền khách hàng sẽ được công bố trên trang này và trong điều khoản trước khi mở tài khoản.
3. Các biện pháp kiểm soát của chúng tôi
Bốn lớp. Lớp nào cũng khiến chúng tôi tốn chi phí, và đó là cách bạn biết chúng có thật.
Xác minh danh tính
Kiểm tra tính xác thực của giấy tờ do nhà nước cấp, kiểm tra người thật để đối chiếu khuôn mặt với giấy tờ, xác nhận nơi cư trú và đối chiếu với danh sách trừng phạt và danh sách người có ảnh hưởng chính trị. Các quan hệ rủi ro cao hơn phải qua thẩm định tăng cường, và việc đối chiếu vẫn tiếp tục sau khi mở tài khoản, vì danh sách luôn thay đổi.
Bảo mật tài khoản
Xác thực hai yếu tố, bắt buộc khi rút tiền, thay đổi bảo mật và thêm thiết bị. Mã hóa khi truyền và khi lưu trữ. Tự động hết phiên đăng nhập và danh sách thiết bị đã đăng nhập mà bạn có thể ngắt từ xa. Quyền truy cập của nhân viên theo vai trò, ở mức tối thiểu cần thiết và có ghi nhật ký.
Giám sát giao dịch
Sàng lọc theo thời gian thực, phân tích hành vi để phát hiện mẫu hình khác với cách dùng tài khoản thông thường, kiểm tra tần suất và hạn mức, sàng lọc lệnh trừng phạt đối với bên giao dịch, cùng các cảnh báo tự động do con người xem xét chứ không tự động đóng.
Hạ tầng
Tường lửa và phát hiện xâm nhập, quản lý lỗ hổng và vá lỗi, quy trình phát triển an toàn, giám sát liên tục, và kiểm thử xâm nhập độc lập trong chương trình trước ra mắt, song song với đợt đánh giá bảo mật của chính đối tác phát hành thẻ, điều mọi chương trình thẻ phải vượt qua trước khi đi vào hoạt động.
4. Bảo mật tài khoản
Thẻ và số dư không quan trọng bằng tài khoản đứng sau chúng. Phần lớn tổn thất trong tài chính cá nhân bắt đầu từ việc người khác vào được tài khoản, không phải từ một vụ xâm nhập kỹ thuật.
Xác thực hai yếu tố
Có trên mọi tài khoản và bắt buộc với các thao tác nhạy cảm: rút tiền, đổi cài đặt bảo mật, thêm thiết bị mới. Kẻ tấn công chỉ có mật khẩu của bạn thì không làm được gì.
Kiểm soát thiết bị và phiên đăng nhập
Mọi thiết bị đã đăng nhập đều được liệt kê kèm hoạt động gần nhất, và bạn có thể đăng xuất từng thiết bị từ xa. Nếu thấy phiên nào đáng ngờ, bạn tự ngắt được mà không cần chờ bộ phận hỗ trợ.
Cảnh báo cho các thao tác quan trọng
Có thông báo cho mọi khoản thanh toán và cho mọi thay đổi về cài đặt bảo mật, email đăng ký hoặc số điện thoại. Vụ chiếm đoạt tài khoản có thể kéo dài nhiều ngày không ai hay chính vì sự im lặng.
Thời gian chờ sau các thay đổi nhạy cảm
Đổi email hoặc số điện thoại của tài khoản sẽ tạm thời hạn chế rút tiền. Với bạn đây là phiền toái một lần, còn với kẻ vừa đánh cắp thông tin đăng nhập thì là trở ngại lớn.
5. Tự bảo vệ trước gian lận
Những việc này ngăn được các kiểu tấn công thực sự thành công. Không việc nào mang tính kỹ thuật.
Mật khẩu riêng và xác thực hai yếu tố
Mật khẩu riêng để một trang khác bị lộ không kéo theo tài khoản này. Hai yếu tố để mật khẩu bị đánh cắp vẫn chưa đủ. Nên dùng ứng dụng xác thực thay vì SMS, vì SIM có thể bị tráo.
Không bao giờ chia sẻ mã
Mật khẩu, mã xác thực hai yếu tố, số thẻ đầy đủ và cụm từ khôi phục đều là thứ chúng tôi không cần và không bao giờ hỏi. Ai yêu cầu những thứ đó đều không phải chúng tôi, dù địa chỉ người gửi trông thế nào.
Tự gõ địa chỉ để vào trang của chúng tôi
Đừng bấm vào liên kết trong tin nhắn bất ngờ. Hãy tự mở nelvoi.com. Một liên kết trông đúng trong email là phần rẻ nhất của bộ công cụ lừa đảo.
Cảnh giác với sự gấp gáp
Thúc ép hành động tức thì là điểm chung của gần như mọi vụ lừa đảo thành công. Một yêu cầu chính đáng vẫn còn nguyên sau một giờ bạn kiểm tra.
Bảo vệ thiết bị và tài khoản email
Email là đường đặt lại mọi thứ khác; hãy bảo vệ nó ít nhất cũng kỹ như tiền của bạn. Luôn cập nhật phần mềm và tránh thao tác tài chính trên mạng công cộng.
Kiểm tra trước khi xác nhận
Người nhận, mạng, số tiền, loại tiền. Trên blockchain, sai ở đây là không sửa được; xem Mục 7.
6. Nếu có sự cố
Những việc cần làm, theo thứ tự. Hai bước đầu là của bạn, và đó là hai bước chặn được thiệt hại.
Khóa thẻ
Một lần chạm trong trang quản lý, từ bất kỳ thiết bị nào bạn đăng nhập được. Các khoản thanh toán mới bị từ chối tức thì và số dư vẫn nguyên chỗ cũ. Hãy làm việc này trước tiên: chỉ mất vài giây và có thể mở lại.
Đổi mật khẩu và đăng xuất các thiết bị khác
Nếu bạn nghĩ người khác đã vào được tài khoản chứ không chỉ có thẻ, đây là bước đẩy họ ra. Cả hai thao tác đều nằm trong cài đặt bảo mật.
Viết cho bộ phận hỗ trợ
Gửi tới [email protected], từ địa chỉ email của tài khoản nếu được. Hãy nói rõ chuyện gì đã xảy ra và khi nào. Chúng tôi trả lời trong vòng một ngày làm việc, và báo cáo về tài khoản bị xâm phạm được ưu tiên xử lý trước.
Chúng tôi điều tra và xử lý
Chúng tôi có thể khóa thẻ, chặn thiết bị, cấp lại số thẻ và lưu giữ hồ sơ giao dịch để phục vụ khiếu nại. Điều chúng tôi không làm được là đảo ngược một lệnh chuyển blockchain đã hoàn tất; không ai làm được điều đó.
7. Trách nhiệm thuộc về ai
7.1 Của chúng tôi. Duy trì các biện pháp kiểm soát ở Mục 3; điều tra báo cáo kịp thời; khóa những gì cần khóa; lưu giữ hồ sơ giao dịch; thông báo cho bạn và cơ quan chức năng khi một vụ xâm phạm đòi hỏi điều đó.
7.2 Của bạn. Giữ an toàn thông tin đăng nhập và thiết bị; bật các tính năng bảo mật chúng tôi cung cấp; xem lại giao dịch trước khi xác nhận; báo ngay mọi giao dịch trái phép.
7.3 Những gì chúng tôi không thể khắc phục. Như đã nêu trong Điều khoản và Điều kiện, chúng tôi không chịu trách nhiệm về tổn thất phát sinh từ thông tin đăng nhập do bạn tiết lộ, từ truy cập trái phép qua xác thực bị xâm phạm, từ lừa đảo trực tuyến hoặc thao túng tâm lý khi chính bạn đã cung cấp thông tin, hoặc từ các giao dịch do bạn cho phép, kể cả khi bạn bị lừa để cho phép. Đây không phải điều khoản miễn trừ được giấu đi: đó là lý do Mục 5 tồn tại, và là lý do gian lận chuyển khoản do chính khách hàng cho phép là loại khó khắc phục nhất trong tài chính.
7.4 Những gì không ai có thể khắc phục. Một lệnh chuyển blockchain đã hoàn tất không thể bị đảo ngược bởi chúng tôi, đối tác của chúng tôi hay bất kỳ ai khác. Khi về mặt kỹ thuật có thể thu hồi, chúng tôi sẽ thử và không tính phí cho việc đó.
8. Xử lý sự cố
8.1 Quy trình. Chúng tôi duy trì quy trình ứng phó sự cố bằng văn bản để phát hiện và khoanh vùng sự cố, điều tra nguyên nhân gốc, thực hiện biện pháp khắc phục và thông báo cho những người bị ảnh hưởng.
8.2 Thông báo. Khi sự cố ảnh hưởng đến thông tin cá nhân hoặc tài khoản của bạn, chúng tôi sẽ thông báo theo yêu cầu của pháp luật hiện hành, không chậm trễ quá mức, kèm những gì chúng tôi biết và những gì khuyên bạn nên làm. Chúng tôi không trì hoãn thông báo chỉ để soạn một bản nghe hay hơn.
8.3 Cơ quan thực thi pháp luật. Chúng tôi hợp tác với cơ quan thực thi pháp luật và cơ quan quản lý khi họ điều tra gian lận và tội phạm mạng, và có thể báo cáo hoạt động đáng ngờ mà không báo trước cho bạn nếu pháp luật cho phép hoặc yêu cầu. Xem chính sách chống rửa tiền để biết vì sao đôi khi chúng tôi không thể nói với bạn.
9. Quyền kiểm soát nằm trong tay bạn, không phải thứ phải xin chúng tôi
Phần lớn thiệt hại cho tài khoản xảy ra trong giờ trước khi có ai liên hệ được với bộ phận hỗ trợ. Vì vậy những công cụ ngăn thiệt hại nằm trong ứng dụng, không nằm sau hàng chờ điện thoại.
- Khóa bằng một lần chạm — khoản thanh toán mới bị từ chối tức thì, số dư vẫn nguyên chỗ cũ
- Đổi số thẻ — miễn phí, không cần chuyển tài khoản hay chuyển tiền
- Xác nhận trên điện thoại của bạn — 3-D Secure cho các khoản thanh toán rủi ro cao hơn, nên có số thẻ bị đánh cắp thôi là chưa đủ
- Thông tin thẻ cần xác thực lại — số đầy đủ chỉ hiện khi bạn yêu cầu
10. Những gì không được bảo vệ
Nói thẳng về giới hạn quan trọng hơn một danh sách trấn an dài hơn.
Tiền mã hóa không được bảo hiểm tiền gửi. Các chương trình bảo đảm tiền gửi của nhà nước bảo vệ tiền gửi ngân hàng, không bảo vệ số dư crypto. Tài sản giữ bằng crypto chịu rủi ro thị trường và không được bảo hiểm trước rủi ro đó.
Chuyển khoản blockchain là không thể đảo ngược. Nếu bạn gửi tiền đến sai địa chỉ hoặc sai mạng, không ai có thể đảo ngược. Luôn kiểm tra mạng trước khi gửi: đây là cách mất tiền phổ biến nhất, và không liên quan gì đến bảo mật của chúng tôi.
Không ai từ NELVOI sẽ hỏi mật khẩu, mã 2FA hay số thẻ đầy đủ của bạn. Ai hỏi những thứ đó là đang mạo danh chúng tôi. Địa chỉ hỗ trợ duy nhất của chúng tôi là [email protected].
11. Câu hỏi về bảo mật
Tiền của khách hàng được giữ trong các tài khoản tách biệt tại những đối tác chịu sự quản lý, tách khỏi tiền của công ty, nhờ đó có thể trả lại cho khách hàng thay vì bị coi là tài sản của công ty. Điều này không giống bảo hiểm tiền gửi, và chúng tôi không mô tả nó như vậy.
Giấy tờ được gửi cho một nhà cung cấp dịch vụ xác minh chịu sự quản lý, đơn vị thực hiện việc kiểm tra. Chúng tôi nhận kết quả và dữ liệu theo yêu cầu của pháp luật, không nhận bản sao của mọi thứ bạn tải lên.
Đăng nhập từ thiết bị khác và khóa thẻ, hoặc viết tới [email protected] để chúng tôi khóa giúp. Số dư của bạn vẫn nguyên: nó gắn với tài khoản đã xác minh, không gắn với thiết bị.
Kiểm thử xâm nhập độc lập là một phần của chương trình trước ra mắt, song song với đợt đánh giá bảo mật của chính đối tác phát hành thẻ, điều mọi chương trình thẻ phải vượt qua trước khi đi vào hoạt động.
Không, và cần nói chính xác vì sao. Các chương trình bảo đảm tiền gửi (FSCS ở Anh, FDIC ở Hoa Kỳ, các chỉ thị về bảo đảm tiền gửi của EU) bảo vệ tiền gửi tại ngân hàng được cấp phép. Số dư thẻ giữ tại đối tác tiền điện tử hoặc đối tác phát hành thẻ chịu sự quản lý thì được bảo vệ bằng cách tách biệt: tiền của bạn được giữ riêng với tiền của công ty, nên vẫn là của bạn chứ không trở thành tài sản của doanh nghiệp. Số dư crypto thì không được gì bảo vệ, ở bất kỳ đâu. Nhà cung cấp nào nói số dư crypto của họ được bảo hiểm là đang nói về thứ khác, không phải bảo hiểm tiền gửi.
Chúng tôi có thể khóa tài khoản, và trong một số tình huống pháp luật buộc chúng tôi phải làm vậy. Luật chống rửa tiền buộc các công ty chịu sự quản lý và đối tác của họ giữ lại hoặc từ chối giao dịch trong những trường hợp xác định, và ở một số khu vực pháp lý còn cấm cho bạn biết lý do vào thời điểm đó. Chúng tôi không thể lấy tiền của bạn để dùng cho mình: tiền đã tách biệt không phải của chúng tôi. Chính sách chống rửa tiền nêu rõ điều gì dẫn đến việc rà soát và chúng tôi được nói gì với bạn.
Trong đa số trường hợp là không lấy lại được, và đây là cách mất tiền phổ biến nhất trong crypto, không liên quan đến bảo mật của nhà cung cấp nào. Gửi USDT sai chuỗi hoặc tới địa chỉ của một tài sản khác thường có nghĩa là số tiền đã mất. Hãy kiểm tra mạng trước khi xác nhận. Khi về mặt kỹ thuật có thể thu hồi, chúng tôi sẽ thử, nhưng không thể hứa trước và không tính phí cho việc đó.
Chúng tôi không bao giờ hỏi mật khẩu, mã xác thực hai yếu tố, số thẻ đầy đủ hay cụm từ khôi phục của bạn: không qua email, không qua điện thoại, không qua chat, không bao giờ. Địa chỉ hỗ trợ duy nhất của chúng tôi là [email protected] và trang web duy nhất là nelvoi.com. Nếu tin nhắn hỏi bất kỳ thứ nào trong số đó thì đó không phải chúng tôi, dù địa chỉ người gửi trông thế nào. Hãy chuyển tiếp nó tới [email protected] rồi xóa đi.
Chúng tôi không bán dữ liệu cá nhân. Dữ liệu chỉ được chia sẻ với các bên cần thiết để vận hành dịch vụ (nhà cung cấp xác minh danh tính, đối tác phát hành thẻ và ngân hàng giữ số dư và xử lý thanh toán, các mạng lưới thẻ định tuyến giao dịch) và với cơ quan chức năng khi pháp luật yêu cầu. Chính sách quyền riêng tư liệt kê các loại dữ liệu và lý do.
Kiểm thử xâm nhập độc lập là một phần của chương trình trước ra mắt, song song với đợt đánh giá bảo mật của chính đối tác phát hành thẻ, điều mọi chương trình thẻ phải vượt qua trước khi đi vào hoạt động. Các chương trình thẻ cũng phải tuân theo yêu cầu PCI DSS về xử lý dữ liệu thẻ, đó là một lý do số thẻ đầy đủ do nền tảng phát hành xử lý chứ chúng tôi không lưu trữ.
Đọc tiếp
- Thẻ crypto có an toàn không? Rủi ro là có thật nhưng không phải những rủi ro người ta lo. Đây là những gì thực sự bảo vệ tiền của bạn, và những gì không gì bảo vệ được. Đọc →
- Xác minh, và vì sao không có đường vòng Mọi tổ chức phát hành thẻ đều hỏi bạn là ai trước khi phát hành. Đây là những gì thực sự được kiểm tra và điều gì khiến bạn bị từ chối. Đọc →
Chưa có bài nào trong danh mục này.
Tài liệu này có nhiều ngôn ngữ. Khi có khác biệt giữa các bản, bản tiếng Anh được ưu tiên áp dụng.