Od 14 września inaczej logujemy się do bankowości elektronicznej, dodatkowo musimy autoryzować transakcje internetowe, a płacąc w sklepie co jakiś czas musimy podać PIN karty, nawet przy płatnościach do 50 zł. To efekt wejścia w życie unijnej dyrektywy o usługach płatniczych PSD2. Wszystko po to, żeby korzystanie z usług finansowych było bezpieczniejsze. Ale wraz z PSD2 zawiało też absurdami, a z poprawą bezpieczeństwa można polemizować
O zmianach, jakie wprowadza dyrektywa PSD2, sporo mogliście przeczytać na „Subiektywnie o finansach”. Tych, którzy nie są na bieżąco, zachęcam do lektury naszych wcześniejszych tekstów:
- Wymarzony moment, żeby inwestować w fundusze obligacji? Podcast z Pawłem Mizerskim [POWERED BY UNIQA TFI]
- Nowe funkcje terminali płatniczych. Jak biometria zmieni świat naszych zakupów? [POWERED BY FISERV]
- BaseModel.ai od BNP Paribas: najbardziej zaawansowana odsłona sztucznej inteligencji we współczesnej bankowości!? [POWERED BY BNP PARIBAS]
- Zmiany w logowaniu i płaceniu za zakupy. Nowe usługi bankowe, błyskawiczne reklamacje i niższa odpowiedzialność za fraudy. Wchodzi w życie PSD2. Co musisz wiedzieć?
- Żegnamy zdrapki i tokeny. Jak po 14 września będziemy się logowali do banków? Lektura obowiązkowa dla każdego!
- Dyrektywa PSD2 otwiera drzwi do naszych rachunków bankowych zewnętrznym firmom. Ale czy chcemy je tam wpuścić? Oni to zbadali
Obiecywano nam, że z PSD2 będzie bezpieczniej, ale nie, że będzie wygodniej. Każdy bezpiecznik wszczepiony w system bankowy sprawia, że np. logowanie się do bankowości elektronicznej zajmuje więcej czasu. Ale niektórych wprowadzonych zmian trudno nie nazwać absurdalnymi.
Tak jest np. z tzw. urządzeniem zaufanym. Może nim być smartfon, laptop czy „pecet”, czyli urządzenie za pośrednictwem którego logujemy się do banku. Dodając urządzenie do zaufanych, możemy uniknąć konieczności dodatkowej autoryzacji.
Zaufane urządzenie nie do usunięcia
Tak jest np. w mBanku. Żeby zalogować się do bankowości internetowej, poza wpisaniem loginu i hasła, trzeba dodatkowo potwierdzić logowanie przez aplikację mobilną (tzw. mobilna autoryzacja) lub przez kod SMS. Jeśli jednak dodamy urządzenie, z którego się logujemu, do zaufanych, nie trzeba potwierdzać w ten sposób każdego logowania. I tu zaczynają się schody. Nasz czytelnik donosi:
„Po dodaniu urządzenia do zaufanych, urządzenia nie da się usunąć, więc w przypadku kradzieży całe PSD2 nic nie znaczy. W mBanku nie da się przejrzeć dodanych zaufanych urządzeń ani ich usunąć, co jest sporym problemem w przypadku utraty dostępu do urządzenia, np. sprzedaży albo kradzieży”
mBank przyznaje, że tak jest, czyli że nie widać listy dodanych urządzeń i nie można nimi zarządzać. Bank obiecuje, że ten problem zostanie usunięty w ciągu najbliższego miesiąca. Klienci będą mogli korzystać z funkcji do zarządzania zaufanymi urządzeniami. mBank tłumaczy, że problem wynika z tego, iż do 14 września musiał zdążyć z kluczowymi zmianami, na resztę nie starczyło po prostu czasu. W tym miejscu przypomnę tylko złośliwie , że na przygotowanie się i wdrożenie zmian w związku z PSD2 banki miały naprawdę mnóstwo czasu.
Przeczytaj też: Spłaciłeś kredyt przed terminem? Masz prawo do zwrotu części prowizji. Jak to zrobić i ile masz na to czasu? Wyjaśniam!
Przeczytaj też: Empik Premium, czyli opłacasz subskrypcję i masz 15% zniżki oraz darmową dostawę. Czy to się opłaca? Sprawdzam!
Po 14 września kto pierwszy, ten lepszy
O ile w pierwszej sprawie mBank obiecuje zmiany, w drugiej, z którą zgłosił się czytelnik, rozkłada ręce. Chodzi o logowanie się do bankowości elektronicznej z tego samego urządzenia przez kilka osób.
„Moja żona też ma konto w mBanku i nie może logować się bez dodatkowej autoryzacji… chyba że z innej przeglądarki albo innego urządzenia. Bo ja pierwszy powiązałem konto z komputerem i w ten sposób zablokowałem jej taką możliwość. To nie żart. Brawo mBank! Tego nie przewidzieli”
mBank tłumaczy, że to nie jego widzimisię:
„Działamy zgodnie z wytycznymi EBA [unijny nadzorca bankowy – red.] i KNF. Zgodnie z nimi, z jednego urządzenia pod jednym adresem IP i jednej przeglądarki może korzystać jedna osoba – czyli jedna osoba może to urządzenie w danej przeglądarce dodać do zaufanych. To nie jest przeoczenie, ale wynik dostosowania się do wymogów regulacyjnych”
– usłyszałem w biurze prasowym mBanku. Jeśli więc do tej pory korzystaliście w domu z tego samego komputera do logowania się do banku, po 14 września obowiązuje zasada: kto pierwszy, ten lepszy 😉
Przeczytaj też: Klienci Banku Pocztowego dopieszczeni: wejdą do EnveloBanku, awizo dostaną SMS-em, a po list polecony nie będą musieli iść na pocztę
Miało być bezpieczniej, ale czytelnik ma wątpliwości
W sprawie zmian wprowadzonych przez PSD2 napisał do mnie pan Krzysztof, klient Santander Banku. W jego ocenie, dyrektywa i rozwiązania wprowadzone przez bank paradoskalnie obniżyły poziom bezpieczeństwa.
„Chciałem zwrócić uwagę na pewna rzecz związaną z dyrektywą PSD2, która miała prowadzić do zwiększenia bezpieczeństwa środków zgromadzonych na naszych rachunkach poprzez m.in. podwójną autoryzację. Otóż implementacja dyrektywy w niektórych bankach spowodowała de facto obniżenie tego bezpieczeństwa dla pewnej grupy klientów, tzn. tych, którzy chcą zatwierdzać przelewy i logowanie bezpieczniejszym sposobem niż SMS, czyli aplikacją mobilną”
Przed dyrektywą było tak: pan Krzysztof logował się do bankowości elektronicznej z poziomu telefonu, dodał urządzenie do zaufanych po to, żeby wykonać kolejny krok, czyli włączyć mobilny podpis (zatwierdzanie przelewu w aplikacji mobilnej), następnie włączył zatwierdzanie logowania do bankowości internetowej mobilnym podpisem. Dzięki temu zatwierdzanie logowania mobilnym podpisem działało zarówno na stronie internetowej banku, jak i w jego aplikacji mobilnej.
Ale obecnie, czyli po wejściu w życie dyrektywy PSD2, pan Krzysztof zauważył, że zatwierdzanie logowania do bankowości internetowej za pomocą mobilnego podpisu działa już tylko na stronie www, ale nie w aplikacji mobilnej.
„System ustawiony jest tak, że dodanie urządzenia mobilnego do zaufanych powoduje zniesienie wymogu podwójnej autoryzacji przy logowaniu, nie ma opcji wymuszenia takiego zachowania”
Przeczytaj też: W oddziale, przez kuriera, przelewem weryfikacyjnym, przez wideoczat, na selfie… Jak najlepiej założyć konto w banku? Sprawdzam!
Przeczytaj też: Rok po wejściu w życie RODO pytamy banki: „co wiecie na nasz temat?”. Nie takich odpowiedzi się spodziewaliśmy
Uwaga na phishing…
Zmiany w bankach to wymarzony moment dla oszustów do tego, by próbować przejąć kontrolę nad naszymi pieniędzmi. Uaktywniają się np. podczas fuzji banków, podsuwając klientom np. fałszywe strony internetowe banków. Takie socjotechniczne działania mają na celu wyciągnięcie od nas np. danych do logowania (oszuści podając się z bank przekonują, że to konieczne, bo w innym wypadku stracimy dostęp do rachunku). W tym kontekście zmiany wprowadzane przez PSD2 to idealny czas na łowy. Dlatego trzeba się mieć na baczności.
„Związana z wdrażaniem nowych rozwiązań konieczność wzmożonych kontaktów ze strony dostawców usług płatniczych ze swoimi klientami może zostać wykorzystana przez przestępców do prób wyłudzenia poufnych informacji, w tym poprzez przeprowadzanie ataków phishingowych, a w konsekwencji do kradzieży tożsamości lub kradzieży środków finansowych”
– ostrzega Komisja Nadzoru Finansowego. Urzędnicy apelują, by klienci postępowali zgodnie z ustalonymi np. przez banku standardami komunikacji. Podejrzenia powinny wzbudzić e-maile, SMS-y oraz próby kontaktu telefonicznego powołujące się na wejście w życie nowych rozwiązań, gdzie klient proszony jest o przekazanie informacji zawierających dane wrażliwe, m.in. dane logowania do bankowości elektronicznej, kody autoryzacyjne i kody PIN czy dane osobowe.
Z dystansem trzeba podchodzić do informacji o konieczności zmiany hasła lub innych danych do logowania za pomocą przesłanego linku internetowego, a podejrzane załączniki najlepiej od razu usuwać.
Z kolei FinCERT.pl – Bankowe Centrum Cyberbezpieczeństwa Związku Banków Polskich podało właśnie, że po 14 września w sieci pojawiły się fałszywe stron internetowe. Serwis zaufanatrzeciastrona.pl pokazał podrobione strony m.in. operatora płatności PayU, Santandera, Aliora i Getin Banku. Dlatego zanim podamy login i hasło, koniecznie trzeba sprawdzić, czy faktycznie jesteśmy na stronie internetowej banku. Wystarczy spojrzeć na pasek adresu i upewnić się, czy jest to adres należący do banku.
Przeczytaj też: Bank nie przyznał kredytu? Wkrótce będzie musiał szczegółowo wyjaśnić powód takiej decyzji. Będzie uczciwiej? Niekoniecznie
Przeczytaj też: Imię i nazwisko, PESEL, dowód osobisty, adres zamieszkania, wizerunek… Czym jest kradzież tożsamości? I jak się przed nią obronić?
…i wysokie rachunki za telefon!
Z kolei Związek Banków Polskich ostrzega też przed kosztami, które mogą się pojawić podczas logowania się do banku za granicą. Jedną z dodatkowych metod logowania w niektórych bankach jest mobilna autoryzacja, a więc w smartfonie trzeba włączyć transfer danych. W krajach Unii Europejskiej koszty nie powinny być wysokie, ale korzystając z internetu w krajach spoza Unii, można popłynąć finansowo. Co prawda transfer danych związany z potwierdzeniem logowania do bankowości internetowej poprzez aplikację nie jest duży, ale włączając transferu danych przez sieć komórkową ryzykujemy tym, że w tle inne aplikacje pobierać będą uaktualnienia.
Dlatego wyjeżdżając za granicę do krajów spoza UE, warto sprawdzić jakie dodatkowe sposoby uwierzytelnienia są wymagane przez bank od 14 września i wybrać taką, która nie wymaga włączenia transferu danych. Może to być np. kod SMS.
