Komisja Nadzoru Finansowego ostrzega przed niebezpiecznymi praktykami banków

Komisja Nadzoru Finansowego wydała dziś istotny komunikat, związany z bankowością internetową i dosyć nietypowym zachowaniem banków, które dalekie jest od zachowania wysokiego poziomu bezpieczeństwa klientów. Sprawa dotyczy przypadków, w których potencjalni klienci są proszeni o zalogowanie się do innego swojego banku w celu umożliwienia weryfikacji, czy bank może udzielić im kredytu. Najprawdopodobniej sprawę rozpoczęła niedawna afera związana z podobnym zachowaniem pracowników Alior Banku.

W swoim komunikacie Komisja zauważa, że coraz częściej dochodzi do dwóch niepokojących przypadków. W pierwszym klient podaje dane do konta w swoim innym banku za pośrednictwem specjalnej strony internetowej i to bank, w którym stara się kredyt, loguje się do jego konta, podając się za klienta, i sprawdza wiarygodność. W drugim na komputerze klienta instalowana jest aplikacja, która również ma za zadanie umożliwienie logowania do innego banku. Powiedzmy wprost: ma ona za zadanie przechwytywać dane użytkownika i być pośrednikiem podczas sprawdzania wiarygodności klienta. Problem w tym, że to tylko oprogramowanie, które może mieć luki, a nawet celowo wprowadzane furtki, umożliwiające przechwycenie istotnych danych.

Problem dotyczy jednak nie tylko oprogramowania, ale także podejścia samych pracowników banków. W ostatnim czasie bardzo poważny błąd związany z tą kwestią dotyczył Alior Banku. Jeden z klientów odwiedzający punkt obsługi został poproszony o zalogowanie się do konta z poziomu komputera bankowego, w celu przedstawienia dochodów za ostatnie miesiące jako czynności niezbędnej do sfinalizowania interesującej go umowy. Świadomy i na szczęście dbający o swoje dane klient odmówił takiego logowania, twierdząc, że boi się ich wycieku z niezaufanego komputera. Zaproponował więc logowanie za pomocą swojego komputera przenośnego. Pracownicy banku nie zgodzili się na takie rozwiązanie twierdząc, że może on ich oszukać uruchamiając na swoim komputerze fałszywą, spreparowaną witrynę. Tylko jaką pewność mógł mieć klient logując się na swoje konto z komputera bankowego?

Sprawę można traktować jako błahą, niemniej jest bardzo poważna. Samo podanie danych logowania pracownikowi innego banku, lub zalogowanie za pośrednictwem aplikacji wydanej przez inną firmę, skutkuje złamaniem regulaminu świadczenia usług w zasadzie każdego konta. W takich przypadkach klient traci prawo do reklamacji utraconych środków, jeżeli taka strata nastąpi, bo tak naprawdę sam podał swoje dane w nieautoryzowanym przez bank miejscu. Dozwolone jest logowanie się tylko przy pomocy oficjalnej witryny banku, w jakim posiadamy konto, lub za pośrednictwem jej oficjalnej aplikacji dostępowej np. na urządzenia mobilne. Inne formy logowania, a także ujawniania danych logowania, prowadzą do złamania regulaminu umowy.

Jak przyznaje Komisja Nadzoru Finansowego, takie praktyki niszczą budowaną latami świadomość tego, że bankowość elektroniczną należy traktować bardzo poważnie i zwracając szczególną uwagę na bezpieczeństwo. Dla klientów pracownicy banku lub ich komputer to osoby i rzeczy zaufane, a w rzeczywistości tak nie jest. Nawet pracownicy punktu obsługi mogą nie wiedzieć, że ich system został spenetrowany i przechwytuje wszystkie dane, wysyłając je atakującemu. W związku z tym i my uczulamy: pamiętajcie o tym, aby do swojego banku logować się tylko za pośrednictwem oficjalnej strony lub oficjalnej aplikacji. Ani pracownicy waszego, ani innego banku, nie mają prawa wymagać od was logowania do konta za pośrednictwem niezaufanego komputera.