Zrobię przelew z Twojego konta
Drogi czytelniku, oto nowy sposób na szybką i wygodną płatność internetową: podajesz firmie X swój login i hasło do systemu bankowości elektronicznej, a także jednorazowy kod autoryzujący transakcję. O nic więcej się nie troszczysz, firma X loguje się używając Twoich danych i samodzielnie przelewa odpowiednią sumę na konto sklepu, a Ty w tym czasie możesz odpoczywać. Brzmi jak ponury żart? Trzymaj się mocno, bo to wcale nie żart - firmą X jest Payment Network AG, operator systemu płatności Sofort Banking.
Czemu o tym piszę?
System płatności Sofort Banking jest dostępny w Polsce podobno od lutego bieżącego roku, ale jego debiut przeszedł bez echa, i do dziś ciężko znaleźć sklep internetowy udostępniający tę metodę płatności. Dlatego nic nie wiedziałem o ich praktykach, dopóki na blogu Hackmana nie przeczytałem wpisu pod tytułem "Jak za darmo dostać buty w Deichmanie" [1]. Temat podchwycił również Niebezpiecznik [2], umieściła go na stronie głównej Gazeta.pl [3]. Trudno się dziwić popularnością tematu, bo pomysł Sofort Banking na biznes wydaje się być dość karkołomny - banki na każdym kroku przestrzegają nas przed udostępnianiem komukolwiek danych do logowania oraz jednorazowych kodów, i chyba nie trzeba nikogo przekonywać, że jest to najbardziej podstawowa zasada bezpieczeństwa przy korzystaniu z bankowości elektronicznej. Dokładny sposób działania usługi soforbanking, który po krótce przedstawiłem, jest szczegółowo opisany w artykułach [1] i [2], które wszystkim gorąco polecam, a których treści nie będę tutaj powtarzał.
Oni tak na serio?
Pozwolę sobie przytoczyć informację z działu FAQ jednego ze sklepów współpracujących z Sofort Banking:
Co to jest Sofortbanking? Model działania jest podobny do e-przelewu. Jedyna różnica polega na tym, że do swojego konta bankowego klient loguje się na stronie firmy Payment Network AG a nie na stronie swojego banku. Metoda jest całkowicie bezpieczna. Sofortbanking nie przekazuje sprzedawcy żadnych danych w postaci PINu lub kodu weryfikacyjnego. Płatność ma miejsce na bezpiecznym formularzu płatności firmy Payment Network AG, który gwarantuje, niemożność jakichkolwiek nadużyć.
źródło: [4]
Czyli innymi słowy: "Drogi użytkowniku, ta metoda jest bezpieczna. Podajesz komuś obcemu swój login i hasło, ale obiecujemy, że nam tych danych nie przekaże. Oni gwarantują, że że system jest bezpieczny, więc jest bezpieczny. Naprawdę."
Zwróćmy uwagę, że to nie jest phishing, lecz oficjalnie działający system płatności. Serio. Na swojej stronie chwalą się, że "Począwszy od roku 2005 przy pomocy sofortbanking zapłaciło już ponad milion klientów". Piszą, że system jest bezpieczny, bo kodu autoryzacyjnego do potwierdzania transakcji można użyć tylko raz, "Żaden ze sprzedawców nie ma dostępu do danych użytkownika końcowego", "Dane dostępowe bankowości internetowej [...] nie są zapisywane przez Payment Network AG", firma posiada "Ubezpieczenie na wypadek mało prawdopodobnego przypadku nadużycia danych osobowych", a "Ochrona danych jest regularnie sprawdzana przez TÜV i potwierdzana certyfikatem" [5][6][7].
System jest bezpieczny, ponieważ firma nam to obiecuje, a na dodatek ma certyfikaty, więc wszystko jest OK.
Co na to banki?
Poszukałem w regulaminie swojego banku informacji na temat bezpieczeństwa danych dostępowych, i znalazłem postanowienia o takiej treści:
1. Klient zobowiązany jest do logowania, autoryzacji oraz składania dyspozycji za pośrednictwem elektronicznych kanałów dostępu wyłącznie osobiście. 2. Klient jest zobowiązany do zachowania w tajemnicy informacji zapewniają- cych bezpieczne korzystanie z Konta, w szczególności do nieudostępniania innym osobom oraz nieujawniania informacji dotyczących sposobu korzystania z instrumentów uwierzytelniających.
źródło: [8]
Czyli: 1) nikt poza mną nie może korzystać z mojego konta, 2) nie mogę nikomu ujawniać danych do logowania.
Z pewnością w regulaminach innych banków znajdują się analogiczne takie postanowienia. Co istotne, we wpisie [1] rzecznicy prasowi banków zaprzeczają, że istnieje współpraca pomiędzy bankami a systemem Sofort Banking. Wynika z tego, że równie dobrze moglibyście podać mi swoje dane do kont, a ja w zamian za niewielką prowizję (pobieraną od sklepów) wykonam przelewy za Wasze zakupy. Zgadzacie się?
Bezpieczeństwo w innych systemach płatności.
W Polsce istnieją (i są popularne) różne systemy szybkich płatności on-line. Użytkownik dokonuje przelewu ze swojego konta na konto operatora płatności (w tym samym banku), często dla wygody dane do przelewu są już uzupełnione - nam pozostaje tylko je potwierdzić. W wielu bankach przelewy wewnętrzne sa realizowane prawie natychmiast, dzięki czemu operator może poinformować sklep, że nasza płatność została zrealizowana, a pieniądze przelać na konto sklepu w normalnym trybie. Operator płatności dowiaduje się od banku, czy płatność się powiodła, natomiast przelew wykonujemy sami, tak samo, jak wykonujemy zwykły przelew. Nasze dane są bezpieczne (o ile nie mamy w systemie keyloggera, ale to inna bajka).
Płatność kartą płatniczą lub kredytową przez internet jest trochę mniej bezpieczna. Jak nauczył nas wyciek danych klientów Sony - może być dużo mniej bezpieczna. Jednak na kartę można nałożyć limit dla transakcji bezgotówkowych i wypłat, można mieć osobny rachunek (i do niego kartę) do płatności internetowych, na którym pomiędzy transakcjami będzie się znajdowała niewielka ilość pieniędzy, wreszcie niektóre banki oferuję kartę wirtualną, specjalnie do płatności internetowych, "doładowywaną" tylko w razie potrzeby. Poza tym, jeśli wykażemy, że ktoś posłużył się naszą kartą bez naszej wiedzy i zgody, bank powinien uwzględnić reklamację i zwrócić środki.
Sofort robi różnicę
Zdecydowanie gorzej wyglądają konsekwencje nadużyć, które mogą pojawić się w przypadku korzystania z Sofort Banking. Ze strony firmy Payment Network AG [6] :
Poprzez wydanie polecenia przelewu w systemie sofortbanking zlecają nam Państwo, aby automatycznie skontrolować, czy Państwa konto pokrywa kwotę zleconą do przelewu (kontrola pokrycia rachunku bankowego), i czy ewentualne inne przelewy w systemie sofortbanking realizowane z Państwa konta w przeciągu ostatnich 30 dni wykonane zostały z powodzeniem.
Czyli pracownicy Sofort Banking przed wykonaniem przelewu z mojego konta obejrzą sobie stan środków, a może również jego historię, żeby upewnić się, że mam za co płacić w sklepach internetowych.
Zgroza! Operator płatności internetowych ma grzebać w historii mojego rachunku bankowego? Ma patrzeć, ile mam pieniędzy, ile zarabiam, jakie mam kredyty, gdzie jadam, i gdzie robię zakupy? Przecież to są dane objęte tajemnicą bankową! W ustawieniach konta często są również adresy, numery telefonów, numer PESEL, numer dowodu osobistego... Jak można tak wrażliwe dane udostępniać zupełnie obcym osobom trzecim?
Płatność kartą wygląda jednak dużo lepiej pod względem bezpieczeństwa - obciążenie karty nie daje żadnego dostępu do rachunku bankowego. Poza tym, jak napisałem wcześniej, nieautoryzowane obciążenia karty można skutecznie reklamować. Co będzie, jeśli zareklamuję nieautoryzowany przelew wykonany przez Sofort Banking? Moim zdaniem, bank umyje ręce - skoro wyraźnie napisał w regulaminie, że dyspozycje muszę składać osobiście, i nie mogę udostępniać nikomu danych do logowania, sam ponoszę konsekwencje swojej (delikatnie mówiąc) lekkomyślności.
Podsumowując
System jest ponoć bardzo popularny w Niemczech. Czy to znaczy, że nasi zachodni sąsiedzi tak bezgranicznie ufają spółce Payment Network AG, że pozwalają jej pracownikom przeglądać historię swoich rachunków bankowych? Aż trudno w to uwierzyć. Oczywiście, nie mam żadnych podstaw, żeby wątpić w uczciwość operatora płatności Sofort Banking. Czy jednak kogoś z Was przekona to, żeby podać im login i hasło?
Źródła
[1] http://corporate-misfire.blogspot.com/2012/05/jak-za-darmo-dostac-buty... [2] http://niebezpiecznik.pl/post/zakupy-przez-internet-za-darmo-powazne-b... [3] http://wyborcza.biz/biznes/1,100896,11778748,Sposob_na_szybki_przelew_... [4] http://www.deichmann.com/PL/pl/shop/content/faq.html [5] https://www.payment-network.com/deb_com_pl/customerarea/security [6] https://www.payment-network.com/deb_com_pl/customerarea/faq [7] https://www.payment-network.com/deb_com_pl/general/dataprotection [8] http://inteligo.pl/pliki/umowy-rachunku-bankowego/regulamin_102003.pdf