El albergue quiere el código de seguridad de mi tarjeta de crédito por correo electrónico, ¿es legítimo?

Tuve este mismo problema con un albergue en el Reino Unido. Presioné al albergue para obtener una explicación y también encontré un hilo en el foro de gerentes de albergues que discutían esta política. Ambos dieron la misma explicación.

Desde su punto de vista, era para que pudieran sacar el dinero de mi cuenta si no me presentaba . Dijeron que lo hacen solo en períodos ocupados cuando saben que estarán llenos, por lo que no pierden dinero rechazando clientes solo para descubrir que los clientes reservados no se presentan.

¡Pero no lo hagas!

Incluso si confía en que este albergue no lo estafará deliberadamente, está poniendo toda la información de la tarjeta de crédito que alguien necesitaría para cometer un fraude con tarjeta de crédito, sin garantía, sin cifrar, almacenada (si tiene suerte) en una computadora portátil vieja y destrozada sentada en una recepción, o (si tiene mala suerte) en una pila de hojas impresas dejadas tiradas sin supervisión mientras el único miembro del personal de ese turno soluciona alguna emergencia. Sería sorprendentemente fácil para un delincuente, o incluso para un oportunista al azar, como un empleado de un albergue descontento, un reparador de computadoras local o un huésped, obtener suficiente información para clonar su tarjeta o asaltar su cuenta.

Me negué y, en cambio, acepté pagar una parte (60% si no recuerdo mal) de la factura por adelantado a través de PayPal . Esto resolvió de manera segura su preocupación por no presentarse y, aunque no era lo ideal, aseguró el alojamiento que quería cuando todos los demás lugares estaban llenos. No es muy raro que los lugares concurridos insistan en el pago por adelantado; mi único descontento con esto fue que parece deshonesto que esto no haya sido evidente en el momento en que hice la reserva, y que no respetaron el depósito que hice. ya pagado.

HostelWorld proporciona algunos detalles de la tarjeta como el número de la tarjeta, el nombre, etc. al albergue, pero (por una buena razón) no son suficientes para que el albergue simplemente realice un débito utilizando una máquina de tarjetas estándar.

Un problema común y costoso para los propietarios de albergues es que las personas reservan en períodos de mucho trabajo y luego no se presentan, dejando habitaciones y camas vacías que podrían estar llenas. Además (aparentemente) el depósito que pagas a HostelWorld se queda en HostelWorld como su tarifa, por lo que en caso de no presentarse, el albergue no recibe nada, ni siquiera un depósito (solo tengo la palabra de un albergue al respecto).

Esta es una solución tosca, de baja tecnología, posiblemente ilegal y ciertamente no compatible con PCI.

Aquí hay un hilo en un foro de gerentes de albergues donde lo discuten junto con otras formas de lidiar con las ausencias de HostelWorld y hostelbookers . Alguien lo señala con razón:

puede violar sus T&C con su proveedor de tarjeta, además de no cumplir con PCI!

...pero parece ser moderadamente popular, no obstante...

Es poco probable que el albergue en sí engañe a las personas (pero es posible), ya que los albergues viven y mueren en función de su reputación (excepto las trampas para turistas bien ubicadas donde todas las apuestas están canceladas, incluido "me despertaré con todo mi equipaje y ambos riñones"), pero aún así, recomiendo encarecidamente no cumplir porque:

1. La información completa de su tarjeta de crédito permanecerá sin cifrar en un sistema informático que no está configurado para almacenar de forma segura la información de la tarjeta de crédito . Incluso podrían estar en una pila de correos electrónicos impresos sobre una mesa, por lo que sabes. Para que una tienda en línea acepte y almacene detalles de tarjetas de crédito, debe pasar controles estrictos en la seguridad de su servidor (cumplimiento de PCI) o enfrentar una fuerte multa. El texto sin formato en un correo electrónico definitivamente fallaría en esos controles.
2. Incluso si confía en el albergue, no sabe que puede confiar en todos los que usan la computadora del albergue . El propietario del albergue puede ser legítimo (aunque ignorante/imprudente con las tarjetas de crédito de sus huéspedes), pero solo necesitaría una recepcionista descontenta mal pagada, o un reparador de computadoras local dudoso, o un huésped que convenza a la recepcionista de que "urgentemente" debe use la computadora del albergue durante 5 minutos, o un huésped o vecino experto en tecnología (el correo electrónico no es seguro)...

Dado que la motivación suele ser que el albergue se proteja de las ausencias, debería poder negociar un compromiso en el que pague parte de la tarifa por adelantado.

Si no lo hacen, quédese en otro lugar : o tienen razones más siniestras, o no son lo suficientemente alfabetizados en tecnología para recibir dinero a través de PayPal (¡por lo tanto , definitivamente no se puede confiar para mantener seguros los datos de su tarjeta!).

Aquí hay algunos extractos de mi intercambio de correo electrónico para darle un ejemplo:

A ellos:

¡Gracias por reservar con nosotros!

Durante los períodos de mayor actividad, preautorizamos las tarjetas de crédito para cubrir la tarifa de reserva en caso de que no llegue. Me temo que no pudimos completar la preautorización. Para hacer esto, necesitamos su número de CVC que, lamentablemente, no se proporcionó cuando realizó la reserva.

Para que podamos garantizar su reserva, contáctenos de inmediato.

Yo: (parafraseando) diablos, no, nunca me habían preguntado esto antes, no voy a poner los detalles de mi tarjeta en un correo electrónico, y ya tienes mi depósito. Juega bien o reclamaré un reembolso del depósito, reservará en otro lugar y te denunciaré a HostelWorld por intento de fraude con tarjeta de crédito. (pero redactado más cortésmente)

A ellos:

No recibimos depósito. Ya se han pagado £8,64 y es una tarifa de Hostelworld.com. En nuestros Términos y condiciones se establece que hacemos preautorización y para hacerlo, necesitamos el número CVC.

Hay opción de pago por adelantado por paypal en lugar de pre - autorización.

Enterrado en sus términos y condiciones:

Política de Autorización Previa

La preautorización no es un cargo y no se han debitado fondos de su cuenta.

¿Por qué se preautoriza la tarjeta de crédito? Cuando nos das una tarjeta de crédito/débito, la preautorización nos garantiza que los fondos están disponibles para pagar cualquier cargo incurrido.

¿Cuánto cuesta una preautorización? La cantidad que preautorizamos dependerá del valor de su reserva y del canal de reserva que utilizó para reservar su reserva

¿Cuándo se preautoriza la tarjeta? Todas las tarjetas de crédito o débito se preautorizan dentro de las 24/48 horas posteriores a la realización de la reserva... HSBC Merchant Services es responsable del mantenimiento y la gestión del proceso de preautorización.

No quería que los detalles de mi tarjeta permanecieran sin protección en sus correos electrónicos, etc., y en este punto, todos los demás lugares estaban reservados, así que pagué por adelantado con PayPal, lo que funcionó bien sin problemas.

Dar su código de seguridad a través de una conexión no segura es una muy mala idea. Al hacer esto, esencialmente convierte su cuenta bancaria en una cuenta de autoservicio.

Almacenar el código CVV en cualquier forma va en contra de los requisitos de PCI DSS (estándar de seguridad de datos de la industria de tarjetas de pago), y al enviarlo por correo electrónico se almacenará en la computadora de alguien que podría no ser segura, tiene un registrador de claves instalado, tiene algunos sin parchear. errores en el sistema operativo explotados por malware o se comparte entre varias personas. Si se trata de un albergue, a menudo tienen otros mochileros que se encargan de la recepción a tiempo parcial, que se levantan y se van después de unas semanas. ¿Cómo sabes que no se llevan una copia de los datos de la tarjeta?

El CVV es su prueba de que está en posesión de la tarjeta, porque ningún comerciante en línea puede almacenar el CVV de ninguna forma. Es por eso que todos los comerciantes en línea que hacen esto correctamente le pedirán su número de CVV cuando realice otra transacción con ellos, incluso si hizo clic en "almacenar mis detalles de pago" antes.

Sin el código de seguridad, todas las listas de números de tarjetas de crédito filtradas en Internet son inútiles, porque cada vez que desee realizar una transacción, se le solicitará el CVV (excepto para pagos recurrentes).

TL; DR: busque otro albergue, de lo contrario, solo está dando acceso completo a su cuenta bancaria.

No hay ninguna razón legítima por la que el albergue deba preguntar esto. Lo que está pasando aquí es que cargar la tarjeta de crédito sin el código CVC generará más costos para el albergue. Estos costos podrían ser menores si el albergue tiene un buen historial. Presumiblemente, el albergue aún tiene que demostrar que la forma en que realizan sus negocios es lo suficientemente segura como para que la compañía de tarjetas de crédito con la que tratan reduzca los costos de las transacciones sin tarjeta presente sin el código CVC.