Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.    X

Zrobię przelew z Twojego konta

Drogi czytelniku, oto nowy sposób na szybką i wygodną płatność internetową: podajesz firmie X swój login i hasło do systemu bankowości elektronicznej, a także jednorazowy kod autoryzujący transakcję. O nic więcej się nie troszczysz, firma X loguje się używając Twoich danych i samodzielnie przelewa odpowiednią sumę na konto sklepu, a Ty w tym czasie możesz odpoczywać. Brzmi jak ponury żart? Trzymaj się mocno, bo to wcale nie żart - firmą X jest Payment Network AG, operator systemu płatności Sofort Banking.

Czemu o tym piszę?

System płatności Sofort Banking jest dostępny w Polsce podobno od lutego bieżącego roku, ale jego debiut przeszedł bez echa, i do dziś ciężko znaleźć sklep internetowy udostępniający tę metodę płatności. Dlatego nic nie wiedziałem o ich praktykach, dopóki na blogu Hackmana nie przeczytałem wpisu pod tytułem "Jak za darmo dostać buty w Deichmanie" [1]. Temat podchwycił również Niebezpiecznik [2], umieściła go na stronie głównej Gazeta.pl [3]. Trudno się dziwić popularnością tematu, bo pomysł Sofort Banking na biznes wydaje się być dość karkołomny - banki na każdym kroku przestrzegają nas przed udostępnianiem komukolwiek danych do logowania oraz jednorazowych kodów, i chyba nie trzeba nikogo przekonywać, że jest to najbardziej podstawowa zasada bezpieczeństwa przy korzystaniu z bankowości elektronicznej. Dokładny sposób działania usługi soforbanking, który po krótce przedstawiłem, jest szczegółowo opisany w artykułach [1] i [2], które wszystkim gorąco polecam, a których treści nie będę tutaj powtarzał.

Oni tak na serio?

Pozwolę sobie przytoczyć informację z działu FAQ jednego ze sklepów współpracujących z Sofort Banking:

Co to jest Sofortbanking?
Model działania jest podobny do e-przelewu. Jedyna różnica polega na tym, że do swojego konta bankowego klient loguje się na stronie firmy Payment Network AG a nie na stronie swojego banku. Metoda jest całkowicie bezpieczna. Sofortbanking nie przekazuje sprzedawcy żadnych danych w postaci PINu lub kodu weryfikacyjnego. Płatność ma miejsce na bezpiecznym formularzu płatności firmy Payment Network AG, który gwarantuje, niemożność jakichkolwiek nadużyć.
źródło: [4]

Czyli innymi słowy: "Drogi użytkowniku, ta metoda jest bezpieczna. Podajesz komuś obcemu swój login i hasło, ale obiecujemy, że nam tych danych nie przekaże. Oni gwarantują, że że system jest bezpieczny, więc jest bezpieczny. Naprawdę."

Zwróćmy uwagę, że to nie jest phishing, lecz oficjalnie działający system płatności. Serio. Na swojej stronie chwalą się, że "Począwszy od roku 2005 przy pomocy sofortbanking zapłaciło już ponad milion klientów". Piszą, że system jest bezpieczny, bo kodu autoryzacyjnego do potwierdzania transakcji można użyć tylko raz, "Żaden ze sprzedawców nie ma dostępu do danych użytkownika końcowego", "Dane dostępowe bankowości internetowej [...] nie są zapisywane przez Payment Network AG", firma posiada "Ubezpieczenie na wypadek mało prawdopodobnego przypadku nadużycia danych osobowych", a "Ochrona danych jest regularnie sprawdzana przez TÜV i potwierdzana certyfikatem" [5] [6] [7].

System jest bezpieczny, ponieważ firma nam to obiecuje, a na dodatek ma certyfikaty, więc wszystko jest OK.

Co na to banki?

Poszukałem w regulaminie swojego banku informacji na temat bezpieczeństwa danych dostępowych, i znalazłem postanowienia o takiej treści:
1. Klient zobowiązany jest do logowania, autoryzacji oraz składania dyspozycji
za pośrednictwem elektronicznych kanałów dostępu wyłącznie osobiście.
2. Klient jest zobowiązany do zachowania w tajemnicy informacji zapewniają-
cych bezpieczne korzystanie z Konta, w szczególności do nieudostępniania
innym osobom oraz nieujawniania informacji dotyczących sposobu korzystania
z instrumentów uwierzytelniających.
źródło: [8]

Czyli: 1) nikt poza mną nie może korzystać z mojego konta, 2) nie mogę nikomu ujawniać danych do logowania.

Z pewnością w regulaminach innych banków znajdują się analogiczne takie postanowienia. Co istotne, we wpisie [1] rzecznicy prasowi banków zaprzeczają, że istnieje współpraca pomiędzy bankami a systemem Sofort Banking. Wynika z tego, że równie dobrze moglibyście podać mi swoje dane do kont, a ja w zamian za niewielką prowizję (pobieraną od sklepów) wykonam przelewy za Wasze zakupy. Zgadzacie się?

Bezpieczeństwo w innych systemach płatności.

W Polsce istnieją (i są popularne) różne systemy szybkich płatności on-line. Użytkownik dokonuje przelewu ze swojego konta na konto operatora płatności (w tym samym banku), często dla wygody dane do przelewu są już uzupełnione - nam pozostaje tylko je potwierdzić. W wielu bankach przelewy wewnętrzne sa realizowane prawie natychmiast, dzięki czemu operator może poinformować sklep, że nasza płatność została zrealizowana, a pieniądze przelać na konto sklepu w normalnym trybie. Operator płatności dowiaduje się od banku, czy płatność się powiodła, natomiast przelew wykonujemy sami, tak samo, jak wykonujemy zwykły przelew. Nasze dane są bezpieczne (o ile nie mamy w systemie keyloggera, ale to inna bajka).

Płatność kartą płatniczą lub kredytową przez internet jest trochę mniej bezpieczna. Jak nauczył nas wyciek danych klientów Sony - może być dużo mniej bezpieczna. Jednak na kartę można nałożyć limit dla transakcji bezgotówkowych i wypłat, można mieć osobny rachunek (i do niego kartę) do płatności internetowych, na którym pomiędzy transakcjami będzie się znajdowała niewielka ilość pieniędzy, wreszcie niektóre banki oferuję kartę wirtualną, specjalnie do płatności internetowych, "doładowywaną" tylko w razie potrzeby. Poza tym, jeśli wykażemy, że ktoś posłużył się naszą kartą bez naszej wiedzy i zgody, bank powinien uwzględnić reklamację i zwrócić środki.

Sofort robi różnicę

Zdecydowanie gorzej wyglądają konsekwencje nadużyć, które mogą pojawić się w przypadku korzystania z Sofort Banking.
Ze strony firmy Payment Network AG [6]:

Poprzez wydanie polecenia przelewu w systemie sofortbanking zlecają nam Państwo, aby automatycznie skontrolować, czy Państwa konto pokrywa kwotę zleconą do przelewu (kontrola pokrycia rachunku bankowego), i czy ewentualne inne przelewy w systemie sofortbanking realizowane z Państwa konta w przeciągu ostatnich 30 dni wykonane zostały z powodzeniem.

Czyli pracownicy Sofort Banking przed wykonaniem przelewu z mojego konta obejrzą sobie stan środków, a może również jego historię, żeby upewnić się, że mam za co płacić w sklepach internetowych.

Zgroza! Operator płatności internetowych ma grzebać w historii mojego rachunku bankowego? Ma patrzeć, ile mam pieniędzy, ile zarabiam, jakie mam kredyty, gdzie jadam, i gdzie robię zakupy? Przecież to są dane objęte tajemnicą bankową! W ustawieniach konta często są również adresy, numery telefonów, numer PESEL, numer dowodu osobistego... Jak można tak wrażliwe dane udostępniać zupełnie obcym osobom trzecim?

Płatność kartą wygląda jednak dużo lepiej pod względem bezpieczeństwa - obciążenie karty nie daje żadnego dostępu do rachunku bankowego. Poza tym, jak napisałem wcześniej, nieautoryzowane obciążenia karty można skutecznie reklamować. Co będzie, jeśli zareklamuję nieautoryzowany przelew wykonany przez Sofort Banking? Moim zdaniem, bank umyje ręce - skoro wyraźnie napisał w regulaminie, że dyspozycje muszę składać osobiście, i nie mogę udostępniać nikomu danych do logowania, sam ponoszę konsekwencje swojej (delikatnie mówiąc) lekkomyślności.

Podsumowując

System jest ponoć bardzo popularny w Niemczech. Czy to znaczy, że nasi zachodni sąsiedzi tak bezgranicznie ufają spółce Payment Network AG, że pozwalają jej pracownikom przeglądać historię swoich rachunków bankowych? Aż trudno w to uwierzyć. Oczywiście, nie mam żadnych podstaw, żeby wątpić w uczciwość operatora płatności Sofort Banking. Czy jednak kogoś z Was przekona to, żeby podać im login i hasło?

Źródła

[1] http://corporate-misfire.blogspot.com/2012/05/jak-za-darmo-dostac-buty...[2] http://niebezpiecznik.pl/post/zakupy-przez-internet-za-darmo-powazne-b...[3] http://wyborcza.biz/biznes/1,100896,11778748,Sposob_na_szybki_przelew_...[4] http://www.deichmann.com/PL/pl/shop/content/faq.html[5] https://www.payment-network.com/deb_com_pl/customerarea/security[6] https://www.payment-network.com/deb_com_pl/customerarea/faq[7] https://www.payment-network.com/deb_com_pl/general/dataprotection[8] http://inteligo.pl/pliki/umowy-rachunku-bankowego/regulamin_102003.pdf 

internet bezpieczeństwo

Komentarze

0 nowych
gowain   18 #1 24.05.2012 09:41

Wczoraj o tym też czytałem. Jakiś kosmos normalnie. Na ile trzeba być głupim, żeby komuś dać dostęp do swojego konta bankowego... Co do umywania rąk przez bank - to w sumie ja jestem tego pewien - To jest całkowite złamanie ich ostrzeżeń..

Co do wpisu, to bardzo fajnie się go czyta :)

LordRuthwen   5 #2 24.05.2012 10:32

Najgorsze jest to, że ten system jest dość popularny na zachód od nas.
Znaczy, że my, żyjący w ciemnogrodzie, gdzieś na kresach, gdzie niedźwiedzie po ulicach chodzą (wyobrażenie Polski jednej z francuzek z jakimi zetknęła się moja siostra ;) ), mamy większą świadomość bezpieczeństwa niż lepiej rozwinięte społeczeństwa tego kontynentu? No bo jak inaczej nazwać to, że ten system się u nas nie przyjął?
Nazwę kojarzę już od kilku lat.

Banan   10 #3 24.05.2012 10:41

Mam nadzieję, że w Polsce się to nie przyjmie. Poza tym ciekawe, że akurat dostałem reklamę banku po prawej stronie =P

przemor25   14 #4 25.05.2012 02:39

To jakaś paranoja. Swiat zmierza do sytuacji w której obywatel nie będzie chciał kiwnąć palcem bo inne podmioty wykonają za niego potrzebną czynność. Ech... futurystyczne wizje z komiksów z mojego dzieciństwa powoli się realizują :)

budda86   9 #5 25.05.2012 08:12

@an.szop
Nie do końca masz rację. Bank jest instytucją finansową, która przez prawo jest zobowiązana m. in. do dochowania tajemnicy bankowej. Aktywa banku są gwarantowane przez Bankowy Fundusz Gwarancyjny. Działalność banków jest obwarowana bardzo wieloma szczegółowymi przepisami, i jest kontrolowana przez instytucje nadzoru finansowego. W żadnym wypadku nie można porównywać wiarygodności banku do wiarygodności firmy zajmującej się przelewami online.

Jeśli ktoś płaci księgowemu zajmującemu się jego finansami osobistymi, tak jak piszesz, to po pierwsze jest to osoba zaufana, a po drugie odbywa się to na zasadach ściśle określonych w umowie. Także te sytuacje też trudno porównywać.

mordzio   14 #6 25.05.2012 08:55

Większość banków realizuje usługę szybkich przelewów gdzie jedynie zatwierdza się kwotę bez konieczności podawania danych. Pewnie chcieli obejść opłaty za korzystanie z takiej usługi (w stylu mTransfer)

Pomijając fakt, że podanie komuś loginu i hasła do bankowości elektronicznej to szczyt głupoty to nie rozumiem jednego zdania z tekstu " Co będzie, jeśli zareklamuję nieautoryzowany przelew wykonany przez Sofort Banking? "
Nieautoryzowany ? przelew potwierdza się sms do konkretnej operacji co więcej hasło jest ważne 15 minut. Np. w mBanku żeby zmienić numer telefonu do autoryzacji operacji trzeba najpierw zadzwonić na infolinie.

budda86   9 #7 25.05.2012 09:26

@mordzio
Teoretycznie rzecz biorąc, nieuczciwy pracownik Sofortu może, zamiast zapłacić za zakupy klientów, wyczyścić im konta i zniknąć na Kajmanach. Nie twierdzę, że prawdopodobieństwo takiego zdarzenia jest wysokie, i teoretycznie Sofort jest od tego ubezpieczony. To jednak nie wystarczy, żebym zaryzykował :)

corrtez   11 #8 25.05.2012 11:43

Hmmm nie bardzo mi sie to podoba. Nie ufam firmom a juz napewno nie tym co zarabiaja na przegladaniu (i nie tylko )kont bankowych a nie sa bankiem...

lex_iuris   10 #9 25.05.2012 11:52

Nawet jakby się przyjęło to co z tego. Mamy głowy na karku więc powinno być ok. Lepiej powinni przyśpieszyć obniżkę prowizji od zapłat kartami VISY, Master etc.,, bo papier wychodzi z mody

parasite85   7 #10 25.05.2012 13:46

W sumie, jak znajdują jeleni na tego typu usługę....to tylko pogratulować pomysłu. Już widzę nagłówki w mediach kiedy ich systemy zostaną skompromitowane.

  #11 29.05.2012 12:18

rewelacja... :) firma, która zapamiętuje dane Twojego konta i próbuje chargować Cię bez Twojej wiedzy... przecież wystarczy jakiś przeciek albo niezadowolony pracownik... zero wyobraźni. Wydaje mi się, że opinia prężnej firmy na zachodzie jest też rozdmuchana przez pracowników... dziękuję - dobranoc, nie interesują mnie takie rozwiązania i wydaje mi się, że nie jest to tylko moje zdanie.

  #12 04.06.2012 18:59

chciałem powiedzieć, że dokładnie tak samo działa to np. w austrii gdzie czasem kupuję gry przez steam'a. dopiero po przeczytaniu artykułu, zmieniam za każdym razem pin....

  #13 24.06.2012 15:48

Hej grono madrych ludzi ktorzy zyjac na wschod od Odry wierza ze kazdy czylowiek jest zaprogramowyna do kradziezy.
O.K. Wysmialem brak zaufania. Macie racje zrobilem to to to taki charakter. Tam nie siedzi operator tylko robot i nie przeglada przelewow bo o tym wiedzialby bank. Sytem jest zatwirdzony przez TUV czyli organizacje do kontroli techniki. Jako Informatyk powiem wam ze mam dostepy do wielu danych ale nie wpadam na pomysl aby szpiegowac ludzi lub naduzywac zaufania. Dlatego sie nim cisze. Mam nadzieje ze Firma Sofortüberweisung bedzie cieszyc sie moim zaufaniem. Zacytuje "Sa ludzie co mowia nie ufaj nikomu, posluchasz tych madrali zostaniesz w domu sam ....."
Pozdrowienia z Hamburga

  #14 15.04.2013 21:52

nieporozumienie - jak mozna prosić o nr klienta i hasło???? Żadnych pośredników!!!! W naszym kraju to nie przejdzie!!!

  #15 03.05.2013 16:23

O CZYM WY TU NOWICJuSZE PISZECIE, SB TO BARDZO DOBRA INSTYUCJA FINANSOWA

Pierdzielenie o nieuatoryzowanych przelewach to jakaś głupota i kretyństwo.
Praktycznie w każdym banku każdy pracownik ma konta na tacy i moze zrobić przelew na Kajmany czy tam sobie chce, wystarczy autoryzacja drugiego takiego samego głupka i mają przelew i 10 lat do odsiadki. Kto myslący się na to złapie. ludzie dla kilku baniek można ryzykowac, ale zawyczaj kilka baniek to się trzyma na kontach prestige i Privat Banking.

Jestem klientem tego banku mam płatności i konto, posiadam 2 firmy w PL i jedną w DE, kilka dużych sklepów w DE i nie pomyślałbym o instystucji, która ma gwarancje i TUV aby mogła pozwolić sobie na jakieś chore lewe przelewy.

Poza tym ten bank jest typowo rozliczeniowym, usprawniający handel online. Nie specjalizuje się w depozytach.

Wystarczy co jakiś czas robić przelewy z utargu do swojego innego banku np w PL i po kłopocie.

Poza tym ten bank ma naprawde niskie opłaty 3,5 x mniej niż płatności u nas popularne, ale najwazniejsze jest to każdy z byle jakiego kraju może kupić towar w twoim sklepie i zapłacić. Kasę masz natychmiast/ sofort.

Czy to wam dają PayU, DotPay, Płatności.pl i inne polskie firmy transakcyjne????

PayPal daje ale to inna bajka i inne opłaty o wiele wyższe.

Polecam ten bank i płatności. Obłsuga OK. Czas działania przy przyznawaniu płatnosci to 3-4 dni więc tragedii nie ma. teraz chyba szybciej. W centrali nawet polska obsługa.
jest gut, nie wydziwiajcie i nie wymyslajcie bajek.

  #16 09.05.2013 13:35

Sofort to jedna z 2 form płatności za wizę USA (druga - przy okienku w Banku Pocztowym). Rozumiem, że rząd USA gwarantuje zwrot nielegalnie pobranych pieniędzy w razy wycieku danych?
Ja jednak idę na pocztę, wolę odstać swoje w kolejce...

  #17 29.05.2013 13:31

Kupiłem dziewczynie buty w deichmanie i wszystko było ok. z tego co rozumiem system jest automatyczny wiec nikt nie ma dostepu do moich danych.

  #18 26.07.2013 10:40

Widzę na forum, że głupich nie brakuje :)
Ja miałem tak zapłacić za wizę USA, na szczęście była opcja zapłaty osobiście w Banku Pocztowym :)

  #19 21.08.2013 17:16

nieźle, ja bym w życiu nie udostępniła swojego loginu i hasła,mam obawy przed robieniem przelewów przez stronę banku a co mówić przez takie podejrzane coś. Można szybko kasę stracić w taki sposób, dobrze, że mam w moim antywirusie opcję bank guard, zabezpieczeń nigdy za wiele tym bardziej jak ma się spore oszczędności na koncie

  #20 13.11.2014 10:50

Właśnie mam załacić za zakupy w sklepie internetowym, zdaje się polska wersja jakiegoś niemieckiego. Oferuje płatność przelewem, sofort albo paypal.
W pierwszej chwili myślałem, że nie rozumiem o co chodzi, ale jednak rozumiem. Nie rozumiem jak ludzie mogą z czegoś takiego korzystać, zgroza.

  #21 17.11.2014 14:03

wlasnie chcialem kupic bitcoiny w niemczech, ale musialbym skorzystac z sofort zeby uwierzytelnic konto, co troche mija sie z celem.

mysle, ze system jest bezpieczny, ale sluzy przede wszystkim dostepowi do informacji o transakcjach roznym instytucjom publicznym.

  #22 16.06.2015 18:18

Czytam te komentarze i widze ciemnota, ciemnota i jeszcze raz ciemnota. Sami pseudo spece od bezpieczenstwa i madre glowy. Zalosne po prostu zalosne. jednak mentalnie Polacy dalej w ciemnogrodzie. A potem czemu tak Jest w polsce? Powiem wam. Bo siano w glowach macie. Amen.

  #23 16.12.2015 14:04

@mordzio: jak to co? jak dajesz dostęp (login i hasło) do konta to po pierwsze ktoś może w nieautoryzowany sposób zmienić limit na koncie, dodać "wiarygodnego" odbiorcę przelewów, przesłać kasę. sprawdzić twoją historię transakcji i udostępniać te dane w ramach big data innym firmom itp. itd.

  #24 17.01.2016 15:25

@emte23 (niezalogowany): gówno może - przynajmniej w mbanku każda taka zmiana czy zdefiniowanie nowego odbiorcy, musi być potwierdzone kodem jednorazowym. Więc jedynie może sobie pogrzebać w koncie, ale kasa ci nie zginie. Nie wiem tylko jak jest z e-malerem, bo zdaje się, że tam transakcje przeprowadzało się bez kodów jednorazowych.