02 Dove sono i fondi
Non da noi.
È il punto più importante di questa pagina, e il più frainteso del settore.
Segregazione
I saldi dei clienti sono custoditi su conti di segregazione distinti detenuti dall'istituto di moneta elettronica emittente, separati dai nostri fondi propri. Se BuyVirtualCards cessasse l'attività domani, quei fondi non farebbero parte del nostro attivo: resterebbero suoi.
Non deteniamo le sue cripto-attività
Una ricarica viene convertita all'incasso. Non esiste un portafoglio BuyVirtualCards dove dormano i bitcoin dei clienti, quindi nessuna concentrazione di fondi da rubare. Il modo migliore per non farsi rubare un tesoro è non costituirlo.
Nessuna esposizione al mercato
Il suo saldo è denominato in moneta elettronica. Un calo del bitcoin dopo la sua ricarica non lo tocca. Simmetricamente, un rialzo non le giova: non è un prodotto d'investimento e non pretendiamo il contrario.
03 Il suo conto
Secondo fattore obbligatorio
Applicazione di autenticazione (TOTP) o chiave di sicurezza fisica (WebAuthn). L'SMS non è proposto come fattore unico: il dirottamento della SIM è troppo diffuso per sostenere il contrario.
Password in hash scrypt
Parametri conformi alle raccomandazioni OWASP, sale casuale per conto, confronto a tempo costante. Non possiamo leggere la sua password, e nessuno qui può.
Sessioni firmate
Cookie HttpOnly, SameSite=Lax, Secure in produzione, firmato in HMAC-SHA256. Inaccessibile al JavaScript della pagina, quindi fuori portata di un'iniezione di script.
Avvisi sulle operazioni sensibili
Accesso da un dispositivo sconosciuto, cambio di password, aggiunta di un conto bancario: ogni evento genera un'e-mail con un link di blocco immediato.
04 I dati di carta
Non conserviamo il suo numero.
Numero completo, data di scadenza e codice di sicurezza sono detenuti dall'istituto emittente, nel suo ambiente certificato PCI-DSS. Quando li mostra nell'area cliente, vengono recuperati al volo e resi in un frame isolato: non transitano mai dai nostri server applicativi e non sono mai scritti nei nostri registri.
Ciò che conserviamo: le ultime quattro cifre, il circuito, la scadenza e lo stato della carta. Abbastanza per mostrarla in un elenco, non abbastanza per pagarci.
Cosa vede ciascun soggetto
- BuyVirtualCards
- Saldo, registro operazioni, ultime quattro cifre di ogni carta.
- Istituto emittente
- Dati di carta completi, in un ambiente PCI-DSS. È il suo mestiere e la sua responsabilità regolamentare.
- Prestatore di incasso
- L'importo della fattura e l'indirizzo di deposito. Nessun dato di carta, nessun accesso al suo saldo.
- L'esercente
- Ciò che qualsiasi carta gli trasmette durante un pagamento. Su una carta usa e getta, un numero che non servirà mai due volte.
05 Segnalare una falla
Divulgazione responsabile
Se trova una vulnerabilità, scriva a [email protected]. Confermiamo la ricezione entro 48 ore e teniamo informato il ricercatore fino alla correzione. Non perseguiamo chi rispetta il quadro qui accanto. Le chiediamo 90 giorni prima di qualsiasi pubblicazione.
Il quadro
- Testi unicamente sui suoi conti
- Nessun attacco di negazione del servizio
- Nessun accesso né esfiltrazione di dati altrui
- Nessuna ingegneria sociale verso i nostri team o clienti
- Si fermi non appena una falla è confermata, e la segnali
06 Diffidare, anche di noi
Come riconoscere una truffa.
Il settore «da cripto a carta» attira molti truffatori. Ecco i segnali che devono farla fuggire — li applichi anche a noi.
Nessuno può emettere una carta a nome di una banca di cui non è mandatario. Un sito che propone di «generare» su richiesta una carta Revolut, BNP Paribas o Bank of America mente su ciò che vende. Pagherà in cripto, senza rimedio, e non riceverà nulla di utilizzabile.
Un servizio di pagamento serio indica l'istituto che emette le sue carte e pubblica il numero di autorizzazione. Se questa informazione è introvabile, è perché dietro non c'è alcun istituto.
Contatori di clienti che salgono da soli, recensioni elogiative tutte pubblicate nella stessa settimana, loghi di stampa senza articolo corrispondente, «dal 2018» su un dominio registrato tre mesi fa. Questi segnali si fabbricano in un'ora e servono solo a prendere in prestito una fiducia che non è stata guadagnata. Verifichi l'anzianità di un dominio con un whois.
Non la contatteremo mai per primi su Telegram, WhatsApp o Discord, e non le chiederemo mai la password, il codice monouso, né un versamento per «sbloccare» il conto. Qualsiasi richiesta del genere è un tentativo di frode, qualunque nome mostri il mittente.