Hostel vuole il mio codice di sicurezza della mia carta di credito via e-mail, è legale?

Perché un ostello che ho prenotato tramite HostelWorld vorrebbe il codice di sicurezza della mia carta di credito (sul retro)?

Utilizzeranno questo per addebitare il proprio deposito e essenzialmente scherzare con le prenotazioni invece di lasciare che HostelWorld lo gestisca?

Dicono che la prenotazione non verrà salvata se non fornisci queste informazioni, è piuttosto scarso per un ostello utilizzare un sito web come HostelWorld e semplicemente "mancare di rispetto" a qualsiasi prenotazione effettuata tramite esso.

Dovrai inviare sulla nostra e-mail il codice di sicurezza (CVV / CVC) della carta che hai utilizzato al momento della prenotazione al fine di garantire la piena sicurezza della tua prenotazione, in caso contrario potresti farti perdere la prenotazione.

Ho avuto lo stesso problema con un ostello nel Regno Unito. Ho spinto l'ostello per una spiegazione e ho anche trovato un thread del forum dei gestori dell'ostello che discutevano di questa politica. Entrambi hanno dato la stessa spiegazione.

Dal loro punto di vista, era così che potevano prelevare i soldi dal mio conto se non mi fossi presentato . Hanno detto che lo fanno solo nei periodi di maggiore affluenza quando sanno che saranno pieni, quindi non perdono soldi allontanando i clienti solo per scoprire che i clienti prenotati non si presentano.

Ma non farlo!

Anche se ti fidi di questo ostello per non fregarti deliberatamente, stai mettendo tutti i dati della carta di credito di cui qualcuno avrebbe bisogno per commettere una frode con carta di credito, non garantita, non crittografata, archiviata su (se sei fortunato) un vecchio laptop ingannato seduto in un ricevimento, o (se sei sfortunato) in una pila di stampe di carta lasciate in giro incustodite mentre l'unico membro del personale che corregge risolve un po 'di emergenza. Sarebbe incredibilmente facile per un criminale, o anche solo per un opportunista a caso come uno staff dell'ostello scontento, un addetto alla riparazione di un computer locale o un ospite, ottenere informazioni sufficienti per clonare la carta o razziare il proprio account.

Ho rifiutato - e invece ho accettato di pagare una parte (60% se ricordo bene) della fattura in anticipo tramite PayPal . Ciò ha risolto in modo sicuro la loro preoccupazione per la mancata presentazione e, sebbene non ideale, ha garantito l'alloggio che desideravo quando ogni altro era pieno. Non è raro che i posti affollati insistano sul pagamento anticipato - la mia unica infelicità in questo è stata che sembra disonesto che questo non fosse stato evidente al momento della prenotazione e che non rispettassero il deposito che avrei già pagato.

HostelWorld fornisce alcuni dettagli della carta come il numero della carta, il nome, ecc. All'ostello, ma (per una buona ragione) non è sufficiente per l'ostello semplicemente prendere un debito utilizzando un normale apparecchio per carte.

Un problema comune e costoso per i proprietari di ostelli è che le persone che prenotano in periodi di piena attività non si presentano, lasciando camere e letti vuoti che potrebbero essere pieni. Inoltre (apparentemente) il deposito che paghi a HostelWorld rimane a HostelWorld come loro tassa, quindi in caso di mancata presentazione, l'ostello stesso non riceve nulla, nemmeno un deposito (ho solo una parola di un ostello su questo).

Si tratta di una soluzione rozza, a bassa tecnologia, forse illegale e certamente non conforme a PCI.

Ecco un thread su un forum di gestione di ostelli in cui ne discutono insieme ad altri modi di gestire i no-show di HostelWorld e hostelbookers . Qualcuno lo sottolinea giustamente:

può violare i tuoi T&C con il tuo fornitore di carte, oltre a non essere conforme a PCI!

... ma sembra essere moderatamente popolare comunque ...

È improbabile che l'ostello stesso truffi le persone (ma possibile), poiché gli ostelli vivono e muoiono per la loro reputazione (tranne le trappole per turisti ben posizionate in cui tutte le scommesse sono disattivate tra cui "mi sveglierò con tutti i miei bagagli ed entrambi i reni"), ma comunque, consiglio vivamente di non conformarsi perché:

1. Le informazioni complete sulla tua carta di credito rimarranno non crittografate su un sistema informatico non impostato per archiviare in modo sicuro le informazioni sulla carta di credito . Potrebbero persino trovarsi in una pila di e-mail stampate seduti su un tavolo, per quanto ne sai. Affinché un negozio online accetti e memorizzi i dettagli della carta di credito, deve superare severi controlli sulla sicurezza del suo server (conformità PCI) o rischiare una multa pesante. Il semplice testo in una e-mail fallirebbe sicuramente quei controlli.
2. Anche se ti fidi dell'ostello, non sai che puoi fidarti di tutti coloro che usano il computer dell'ostello . Il proprietario dell'ostello potrebbe essere legittimo (anche se ignorante / sconsiderato con le carte di credito dei propri ospiti), ma ci vorrebbe solo un receptionist scontato sottopagato, o un malvagio addetto alle riparazioni del computer locale, o un ospite che convince l'addetto alla reception che "urgentemente" deve usa il computer dell'ostello per 5 minuti o un ospite esperto o un vicino di casa (l'e-mail non è sicura) ...

Dal momento che la motivazione è di solito tutta l'ostello che si protegge da no-show, dovresti essere in grado di negoziare un compromesso in cui hai una parte della tassa in anticipo.

In caso contrario, resta altrove : o hanno ragioni più sinistre o non sono sufficientemente informati per ricevere denaro da PayPal (quindi sicuramente non ci si può fidare di mantenere al sicuro i dettagli della tua carta!).

Ecco alcuni estratti dal mio scambio di email per darti un esempio:

Loro:

Grazie per aver prenotato con noi!

Durante periodi di piena attività pre-autorizziamo le carte di credito al fine di coprire le spese di prenotazione in caso di mancato arrivo, temo che non sia stato possibile completare la pre-autorizzazione. Per fare ciò abbiamo bisogno del tuo numero CVC che purtroppo non è stato fornito al momento della prenotazione.

Per consentirci di garantire la prenotazione, ti preghiamo di contattarci immediatamente

Io: (parafrasando) diavolo no, non mi è mai stato chiesto prima, non inserisco i dati della mia carta in una e-mail e hai già ricevuto il mio deposito. Gioca bene o richiederò un rimborso sul deposito, prenota altrove e ti segnalerò a HostelWorld per tentativi di frode con carta di credito. (ma formulato in modo più educato)

Loro:

Non riceviamo deposito. £ 8,64 è stato già pagato ed è una commissione di Hostelworld.com. Nei nostri Termini e Condizioni è indicato che eseguiamo la pre-autorizzazione e per farlo abbiamo bisogno del numero CVC.

È possibile pagare in anticipo tramite paypal anziché previa autorizzazione.

Sepolti nei loro termini e condizioni:

Politica di pre-autorizzazione

La pre-autorizzazione non è un addebito e non sono stati addebitati fondi sul tuo account.

Perché la carta di credito è pre-autorizzata? Quando ci dai una carta di credito / debito, la pre-autorizzazione ci garantisce che i fondi sono disponibili a pagare per eventuali spese sostenute.

Quanto costa una pre-autorizzazione? L'importo che pre-autorizzeremo dipenderà dal valore della prenotazione e dal canale di prenotazione utilizzato per prenotare la prenotazione

Quando viene pre-autorizzata la carta? Tutte le carte di credito o di debito sono pre-autorizzate entro 24/48 ore dalla prenotazione ... I servizi commerciali HSBC sono responsabili della manutenzione e della gestione del processo di pre-autorizzazione.

Non volevo che i dettagli della mia carta rimanessero non garantiti nelle loro e-mail, ecc. E, a questo punto, tutti gli altri erano prenotati, quindi ho pagato in anticipo con PayPal, che ha funzionato bene senza problemi.

Dare il tuo codice di sicurezza tramite una connessione non sicura è una pessima idea. In questo modo essenzialmente trasformi il tuo conto bancario in un conto self-service.

Memorizzare il codice CVV in qualsiasi forma è contro i requisiti PCI DSS (Standard di sicurezza dei dati del settore delle carte di pagamento) e, inviandolo via e-mail, verrà archiviato su un computer di qualcuno che potrebbe non essere sicuro, ha un registratore di chiavi installato, ne ha alcuni senza patch bug nel sistema operativo sfruttati da malware o condivisi tra più persone. Se è un ostello, abbastanza spesso hanno altri viaggiatori con zaino e sacco a pelo che gestiscono la reception a tempo parziale, che sono su e via dopo poche settimane. Come fai a sapere che non stanno portando con sé una copia dei dettagli della carta?

Il CVV è la prova che sei in possesso della carta, perché nessun rivenditore online è autorizzato a conservare il CVV in qualsiasi forma. Ecco perché tutti i rivenditori online che ottengono questo diritto ti chiederanno il tuo numero CVV quando effettuerai un'altra transazione con loro, anche se prima hai fatto clic su "memorizza i miei dettagli di pagamento".

Senza il codice di sicurezza, tutti gli elenchi di numeri di carte di credito trapelati su Internet sono inutili, perché ogni volta che si desidera effettuare una transazione, verrà richiesto il CVV (ad eccezione dei pagamenti ricorrenti).

TL; DR: trova un altro ostello, altrimenti stai semplicemente dando pieno accesso al tuo conto bancario.

Non vi è alcun motivo legittimo per cui l'ostello dovrebbe chiedere questo. Quello che sta succedendo qui è che l'addebito della carta di credito senza codice CVC comporterà maggiori costi per l'ostello. Questi costi potrebbero essere inferiori se l'ostello ha un buon record. Presumibilmente l'ostello deve ancora dimostrare che il modo in cui svolgono la propria attività è abbastanza sicuro per la società di carte di credito con cui trattano per ridurre i costi per le transazioni con carta non presenti senza codice CVC.