Login i hasło do banku, by zasilić PayPala? Wszystko w zgodzie z dyrektywą UE 

Nie węszcie kryminalnej intrygi, bo jej po prostu tu nie ma. Sątylko dość karygodne, choć w pełni legalne praktyki sprzęganiausług e-finansowych, dopuszczone przez nową dyrektywę UniiEuropejskiej PSD2.Wprowadza ona dwa nowe typy usług. Są to:

– usługa inicjowania płatności (payment initiation service,PIS) oraz

– usługa dostępu do informacji o rachunku (account informationservice, AIS)

Wprowadzenie tych typów usług poszerzyło listę typówdostawców usług płatniczych o dostawcę usług płatniczychbędącego osobą trzecią (third party payment service provider,TPP). Taki właśnie operator może świadczyć usługę inicjowaniapłatności, polegającą na udzieleniu TPP dostępu do rachunkuonline płatnika. W jej ramach sprawdza on dostępność środkówpieniężnych, inicjuje płatność, a następnie przedstawiainformację o dokonaniu płatności.

Choć przyjęcie nowej dyrektywy wiązało się z wieloma obawamibranży bezpieczeństwa (wytykano m.in. brak jasnych regulacji co dozakresu i metod współpracy między bankami a TPP), to jednakprzeważyły głosy, że oto mamy wielką szansę na rozwój sektorausług finansowych, szczególnie w branży mobilnej.

O ile więc od strony prawnej do niczego się tu nie możnaprzyczepić, to widać już, że obawy branży bezpieczeństwa byłycałkowicie uzasadnione. To, jak PayPal wziął się do tejwspółpracy z nowym operatorem doładowań urąga dobrym praktykom.Nie tylko użytkownik jest zmuszany do podania swojego loginu ihasła do systemu e-bankowości (obsługiwane są Alior Bank, BankMillennium, iPKO, mBank ING Bank, Bank Pekao, Bank Zachodni WBK,Inteligo, Credit Agricole, Bank BPH, Getin Bank i BGZ BNP Paribas),ale też zostaje w tym celu przekierowany na adres, który wyglądajak z elementarza początkującego phishingowca –paypal-doladowania.pl.

Certyfikat SSL tu oczywiściejest, ale uważniejszy internauta szybko zauważy, że to zupełnieinny podmiot, nie PayPal Inc., lecz jakiś PayPal Pte Ltd,zarejestrowany pod domeną paypal-topup.fi. Domena ta na pierwszyrzut oka (a właściwie odpowiedź whois) należy do fińskiej firmyKeijo Heinonen Oy. Na drugi już przestaje: Keijo Heinonen Oy jestwłasnością firmy (kancelarii prawnej) Heinonen & Co AttorneysLtd, zajmującej się zarządzaniem prawami do własnościintelektualnej na całym świecie. Ot takie biuro w sporym biurowcu wHelsinkach.

Samo Trustly, którego logotyp dumnie widnieje na stroniepaypal-topup.fi, jest z kolei szwedzką spółką. Siedzibę ma wkamienicy na przedmieściach Sztokholmu, tuż obok sklepu z artykułami fryzjerskimi. Faktycznie, niezłalokalizacja jak na zaufanego operatora płatności.

Interfejs programowania – a co to takiego?Pomimo jednak nieciekawego wizerunku partnera, PayPal zrobił cozrobił, i wydaje się, że nie mógł zrobić inaczej. PSD2 dajewolną rękę w kwestii metod uzyskiwania dostępu do konta. Gdybybanki zakazały takiej formy loginów przez osoby trzecie, a w zamianudostępniły spójne API, pozwalające na operacje bankowe w sposóbprogramistyczny, z uwierzytelnianiem po swojej stronie, a nie postronie jakiejś dziwnej firmy ze Sztokholmu, problemu by nie było.

Tymczasem Unia Europejska, zachwycona metodą dość dobrze znanąw USA (które przecież nie powinno być w tej dziedzinie żadnymwzorem), zupełnie bezrefleksyjnie przyjęła dyrektywę, którejkonsekwencje będą fatalne. Użytkownicy przyzwyczają się, żegłupio wyglądające nazwy domen w usługach e-finansowych też sądobre i śmiało można klikać, a swoje hasło do banku podawaćmożna gdzie popadnie. Nawet maskowanie wówczas nie pomoże, kilkacykli doładowań i dziwny operator ze Szwecji całe hasłozrekonstruuje. Co się dzieje z tą bazą danych? Gdzie informacje sąprzekazywane? Zapytajcie Keijo Heinone Oy. Po fińsku oczywiście.

Zaufana Trzecia Strona słuszniezauważa, że w obecnej sytuacji o wiele bezpieczniejsze jestpodawanie stronom trzecim danych karty kredytowej, niż danychlogowania do banku. Podanie loginu i hasła to łamanie zasadyrozliczalności, brak kontroli nad zakresem udostępnionej informacji(włącznie z dostępem do całej historii transakcji), przelewy narachunki zaufane bez jakichkolwiek ograniczeń, oraz przedewszystkim łamanie regulaminów banków, które przecież naszychdanych nikomu podawać nie powinny.

Wysłaliśmy już w tej sprawie zapytania do wspomnianych wyżejpolskich banków – jak tylko uzyskamy wyjaśnienia, podzielimy sięnimi z Wami. Póki co jednak powiedzmy sobie szczerze: to nie jestwina PayPala, u siebie w USA przyzwyczajonego do takich rozwiązań,ale wina Komisji Europejskiej, bezmyślnie kopiującej z USA to conajgorsze.

Coś zaczęło się w tej sprawie dziać. mBank oraz iPKO zablokowaly Trustly dostęp do kont swoich klientów, przy próbie doładowania w ten sposób konta PayPala otrzymujemy komunikat o chwilowej niedostępności usługi.

Z kolei PKO BP dostępu nie wyłączyło, ale opublikowało na swojej stronie głównej komunikat do klientów, przypominający m.in., by nie udostępniać swoich danych do konta na stronach obcych serwisów internetowych.

W tym momencie PKO BP nie pozwala już Trustly na dostęp do swojego serwisu e-bankowości.