4 grudnia 2020

Czy można zmienić login w banku? Czytelniczce chcieli się włamać na konto złodzieje, więc o to poprosiła. Ale bank… odmówił! Czy taka historia może mieć happy end?

Czy można zmienić login w banku? Czytelniczce chcieli się włamać na konto złodzieje, więc o to poprosiła. Ale bank… odmówił! Czy taka historia może mieć happy end?

Danych logowania do banków powinniśmy strzec, jak oka w głowie. Co jednak zrobić, gdy mleko się rozleje i dane wyciekną? Czy można zmienić login w banku? Nasza czytelniczka spróbowała i postawa banku – delikatnie mówiąc – ją zaskoczyła

Napisała do nas czytelniczka – chciała pozostać anonimowa, więc nazwijmy ją panią Magdą. Spotkała ją przykra sytuacja – robiła zakupy w jakimś trefnym sklepie internetowym. Została przekierowana do złośliwej bramki z płatnościami, potem miała dodać zdefiniowanego odbiorcę i była o krok od utraty wszystkich oszczędności. Na szczęście się zreflektowała i szybko zmieniła hasło, a o sprawie poinformowała bank i policję (postępowanie zostało potem umorzone). To dosyć częsty rodzaj ataku i wcale nie dotyczy tylko starszych klientów.

Zobacz również:

Niestety login pozostawał w rękach hakerów, a czytelniczka dostawała potem powiadomienia w środku nocy o nieudanej próbie logowania. Niby pieniądze były bezpieczne, ale jednak jeden z kilku bezpieczników był zepsuty. No i takie SMS-y mogą zdenerwować. W konsekwencji Pani Magda zamknęła swoje konto w Alior Banku.

Czytaj też: Pan Krzysztof, złodzieje pieniędzy i częściowo „podmieniona” tożsamość. Weryfikacja kredytobiorców w Polsce nie działa prawidłowo

Procedury w banku zbyt… sztywne?

Czytelniczka była jednak przywiązana do swojego konta w Aliorze. Trudno się dziwić – to dobre konto, które oferuje ciekawe korzyści i pozwala dzięki temu wyciągać niezły procent z oszczędności (1% do 20 000 oraz 1% zwrotów za płatności mobilne do 20 zł – to razem nawet 402 zł darmowego zysku rocznie). Udała się więc do oddziału, aby założyć nowe konto z innym numerem i innymi danymi dostępowymi.

Niestety w oddziale zarówno pracownik w okienku, jak i kierownik placówki stwierdzili zgodnie, że nie ma możliwości zmiany identyfikatora klienta (czyli numeru CIF, mówiąc po „aliorowemu”). Nowe konto – owszem – można otworzyć, ale login do banku pozostanie ten sam.

Z ciekawości nasza czytelniczka zapytała jeszcze, co w sytuacji, gdyby chciała zostać współwłaścicielką konta męża. Tak zgadliście – login współwłaściciela do konta męża byłby identyczny i też nie można go było zmienić. Cóż, znam lepsze sposoby na ulokowanie oszczędności niż konto bankowe, do którego login znają przestępcy, wiec nie dziwię się, że pani Magda podziękowała za dalszą współpracę.

Czytaj też: Masz na komputerze ten system operacyjny? Lepiej uważaj, bo w razie kradzieży pieniędzy z konta banki mogą odrzucać reklamacje!

Warto pisać reklamacje?

Zapewne wielu z nas zrezygnowałoby w takim momencie ze starań, a przy okazji z konta w Aliorze. To taka sytuacja lose-lose, bo bank traci (całkiem wiernego) klienta, a czytelniczka musi zmienić konto, mimo że nie chciała. Pani Magda z mężem się jednak nie poddali i napisali pisemną reklamację do banku. Listowne reklamacje mają to do siebie, że bank widzi, że klient jest uparty, a do tego – często – bywają czytane przez trochę bardziej wyspecjalizowane w obsłudze problemów klientowskich osoby, niż te „z pierwszej linii frontu”.

Widziałem tą reklamację. Całej nie będę załączał – była ona długa, ostra (trudno się dziwić), ale też bardzo merytoryczna i powołująca się bezpośrednio na przepisy ustawy. Poniżej jeden cytat:

„Zgodnie z art. 50 Prawa bankowego każdy bank jest zobowiązany do „dołożenia szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych”. Myślę, że nie trzeba specjalnie argumentować, że nakaz korzystania z loginu znanego hakerom jest złamaniem tego punktu. Są już wyroki sądów, które stwierdzają, że „w niniejszym przypadku bank nie dołożył szczególnej staranności w tym zakresie” w sytuacjach, gdy bank nie wiedział o tym, że hakerzy poznali dane dostępowe klienta. Co wiec sąd orzeknie w sytuacji, w której bank o tym wie i sprzeciwia się zmianie tych danych?”

Czytelniczka powołuje się też na inne fragmenty ustawy i pyta „kto tutaj dopuszcza się rażącego niedbalstwa, bank, czy my?”. Chyba zadziałało, bo bank się zreflektował.

Czytaj też: Dane z dowodów osobistych i smartfonów, dane osobowe, tożsamość – to dziś cel złodziei. Jak nie dać się okraść z „cyfrowego majątku”?

Upragniona zmiana loginu w banku, ale… w kilku turach

Reklamacja przyniosła skutek, bo po jakimś czasie pani Magda odebrała telefon od kierowniczki dużej placówki banku, która wyjaśniła, że oczywiście jest możliwość zmiany CIF-u w takiej sytuacji, a pracownik w placówce musiał po prostu być niedoinformowany. Kierowniczka wyjaśniła dalsze kroki i zapewniła, że poinformuje mailowo pracowników wybranej placówki co i jak mają czynić dzięki wytycznym od działu informatycznego.

Pierwszym krokiem była… osobista wizyta w placówce banku i złożenie dyspozycji zmiany loginu. Tak – pani Magda przecież właśnie od tego zaczęła swoją „przygodę”. Historia zatoczyła koło i niestety trzeba było to zrobić jeszcze raz. Podziwiam cierpliwość czytelniczki. Tym razem pechowa pracownica banku, na którą trafiło (bo w bankach zdecydowanie wolą, jak ktoś przyjdzie po kredyt niż z jakąś dziwną dyspozycją – spróbujcie złożyć wniosek o zbiorczą informację o Waszych rachunkach w innych bankach i obserwujcie zdziwienie) mogła zajrzeć w maila od kierowniczki i postępować zgodnie ze wskazówkami.

Przy okazji dokonano aktualizacji danych dowodu osobistego pani Magdy (ta informacja nie jest bez znaczenia) – bankowcy coś w sobie mają, że jak zobaczą dowód, to muszą go kserować – przypomnę czytelniczka nie miała wtedy konta w banku, a więc bank uznał za niezbędne uaktualnienie dowodu w starej, nieużywanej kartotece.

Drugim krokiem była ponowna wizyta w oddziale banku w celu utworzenia nowej kartoteki z innym już loginem. Niestety instrukcje od informatyków na mailu pani obsługującej klientkę były niewystarczające. Co się nie zgadzało? Otóż dowód z takim numerem już istniał w rejestrze banku (a można go było nie skanować…). Było już po godzinach pracy informatyków, a więc pani obsługująca obiecała, że oddzwoni następnego dnia roboczego.

Trzecim, dodatkowym, krokiem była kolejna wizyta w banku i tym razem już udane założenie nowej kartoteki. Potem zostało już tylko otworzyć nowe konto. Zmiana loginu w banku zakończona sukcesem. Co ciekawe wszystko to tyle trwało, że Pani Magda załapała się na promocję za otwarcie konta – 300 zł. Koniec końców – happy end dla czytelniczki, a ja – jeszcze raz – naprawdę podziwiam jej cierpliwość i wytrwałość.

Czytaj też: Dopuścili do wycieku danych klientów. Pan Kamil prosi: „wykupiłem ochronę tożsamości, pokryjcie koszty”. Co oni na to? Jak myślicie?

Rozumiem, że nie może być sytuacji, w której każdy sobie zmienia login wedle uznania. Mogłoby to otworzyć pole do nadużyć, ale chyba powinna istnieć taka możliwość w sytuacjach szczególnych – takich, jak opisywana. W Aliorze taka istnieje, chociaż chyba niewielu pracowników o niej wie. Ciekawe, jak jest w innych bankach.

Jakie wnioski mamy dla Was na koniec? Po pierwsze, najważniejsze, nie dać się oszukać i nie pozwolić, aby hakerzy poznali Wasze dane. Po drugie, walczcie o swoje. Jak Wam bank mówi, że się czegoś nie da – a uważacie, że to absolutna konieczność – to bądźcie uparci i składajcie, najlepiej pisemną, merytoryczną reklamację. Banki, wbrew pozorom, też cenią sobie świadomych klientów.

Zdjęcie główne: Bermix Srudio/ Unsplash

Subscribe
Powiadom o
19 komentarzy
Oldest
Newest Most Voted
Inline Feedbacks
Zobacz wszystkie komentarze
Sosna
3 lat temu

Banki, wbrew pozorom, też cenią sobie świadomych klientów.

O, a skąd taki wniosek? Bo z treści artykułu to nie wynika?

Fabian
3 lat temu
Reply to  Sosna

Wynika ze zdania poprzedzającego. Argumenty świadomego klienta zostały wzięte pod uwagę.

Sosna
3 lat temu
Reply to  Fabian

Argumenty zostały wzięte pod uwagę, bo bank stwierdził, że świadomy klient może zgłosić sprawę do KNF, a przed KNF sytuacja jest nie do obronienia.
A nie dlatego, że banki sobie cenią świadomych klientów. Wręcz przeciwnie, wolałyby mieć ich jak najmniej.

mKlient
3 lat temu

Niektóre banki (np mBank) umożliwiają utworzenie loginu-aliasu, który można wykorzystywać do logowania zamiast przydzielonego przy otwieraniu konta loginu-nr klienta. Korzyści z używania loginu-aliasu: login-alias może być słowem więc łatwiej go zapamiętać niż login-nr klienta, login-alias można zawsze zmienić na inny login-alias (Pani Magda nie musiałaby zamykać i otwierać konta), przejęcie loginu-nr klienta umożliwia przestępcom próbę logowania do bankowości internetowej oraz do bankowości telefonicznej, a przejęcie loginu-aliasu umożliwia przestępcą próbę logowania tylko do bankowości internetowej. Podobnym problemem do opisanego w artykule jest fakt, że niektóre banki (w tym mBank) używają jako hasło nazwisko panieńskie matki. Jest to informacja, którą można często… Czytaj więcej »

Fabian
3 lat temu
Reply to  mKlient
  • „…login-alias można zawsze zmienić na inny login-alias (Pani Magda nie musiałaby zamykać i otwierać konta…)”

Niestety nie. W tej sytuacji byłaby to już „musztarda po obiedzie”. Login cyfrowy (CIF) byłby cały czas aktywny i w dyspozycji przestępców.
Logowanie aliasem nie wyłącza możliwości logowania CIF-em. Tylko od decyzji logującego się zależy którego loginu akurat użyje.

Arnold
3 lat temu
Reply to  Fabian

Ale przestępca nie znałby nr CIF jeśli ofiara podała by na stronie alias.

mKlient
3 lat temu
Reply to  Fabian

Miałem na myśli sytuację gdy klient cały czas używa do logowania login-alias.
Jeśli w takiej sytuacji klient padnie ofiarą phishingu lub ma key loggera to przestępcy poznają tylko login-alias. Wtedy można zmienić login-alias na inny login-alias i nie ma problemu z powiadomieniami o nieudanych logowaniach.
To prawda, że login cyfrowy jest cały czas aktywny, ale jedynym sposobem aby przestępcy go poznali jest wykradzenie go z banku, ewentualnie z umowy o prowadzenie rachunku bankowego.

eee
3 lat temu
Reply to  mKlient

„To prawda, że login cyfrowy jest cały czas aktywny, ale jedynym sposobem aby przestępcy go poznali jest wykradzenie go z banku, ewentualnie z umowy o prowadzenie rachunku bankowego.”
Jest łatwiejszy sposób. Wystarczy znać nr konta. Jeśli ktoś w Aliorze jako pierwsze konto założył kantor walutowy to numerem CIF jest ostatnie 8 cyfr z dowolnego rachunku w tym kantorze.

BdB
3 lat temu
Reply to  mKlient

Alias łatwiej zgadnąć, bo pewnie ktoś go używa w innych miejscach.

BdB
3 lat temu

Jest jeszcze prostszy scenariusz, do którego nie potrzeba hakerów: ktoś znając login może uporczywie blokować dostęp błędnymi próbami logowania.

BdB
3 lat temu

Alior popełnia zasadniczy błąd : zamiast stosować losowy identyfikator możliwy w każdej chwili do zmiany, stosuje niezmienny CIF.

BdB
3 lat temu

Nie mogę się zgodzić. Świadomych klientów traktują jak natrętów lub odpowiadają tylko na najmniej istotny fragment reklamacjj. Żenująca jest sytuacja gdy pracownik działu reklamacji nie zna przepisów ich dotyczących, a jego klient zna – dokładnie taka sytuacja spotkała mnie w (para)bankach BNP i Millennium.

krzyszp
3 lat temu

Mnie w całej sprawie zastanawia to umorzenie próby przejęcia konta. Czyżby Policja uznała, że znalezienie sprawcy jest zbyt kosztowne/za trudne? Zwłaszcza w przypadku ponawiania prób logowania?

W głowie mi się to nie mieści…

gosc
3 lat temu
Reply to  krzyszp

Niestety, ale mieści się w głowie…
Przestępcy mogli działać z innego kraju, zwykle używają oprogramowania, które maskuje prawdziwy adres IP komputera – bank może widzieć próbę logowania z IP komputera zlokalizowanego w innym mieście/kraju. Jeśli uda się ukraść pieniądze to są one przerzucane pomiędzy kontami zakładanymi na słupy, przelewane na zagraniczne konta, wypłacane z bankomatów w nocy przez zamaskowane osoby, zamieniane na kryptowaluty itp Mogą się tym zajmować zorganizowane grupy, w których dla bezpieczeństwa ludzie się nie znają, komunikują się tylko przez internet itp
Nie jest łatwo dopaść dobrze zorganizowanych cyberprzestępców.

krzyszp
3 lat temu
Reply to  gosc

Ale ja to wszystko wiem, niemniej techniki śledcze pozwalają już na śledzenie pieniędzy – ot, takie giełdy kryptowalut weryfikują już tożsamość (KYC, AML).
Nawet TOR nie upoważnia (IMHO) Policji do zaprzestania działań, jeżeli ataki są ponawiane.

Po prostu wnioskuję, że pieniądze „szarego żuczka” nie są priorytetem dla organów ścigania. I „międzynarodowość” sprawy też tego nie tłumaczy…

BdB
3 lat temu
Reply to  krzyszp

IP z Aruby i co policja ma z tym zrobić? Krypto jak było tak jest anonimowe żaden złodziej przecież nie ryzykuje wypłaty na portfel w europejskim kraju.

Stef
3 lat temu

Banki mają różne procedury. W millenium nawet jak ponownie otworzyłem konto po dwóch latach miałem pierwotny login.

BdB
3 lat temu
Reply to  Stef

Ale tam login i cif to co innego, więc na żądanie powinni móc zmienić.

Subiektywny newsletter

Bądźmy w kontakcie! Zapisz się na newsletter, a raz na jakiś czas wyślę ci powiadomienie o najważniejszych tematach dla twojego portfela. Otrzymasz też zestaw pożytecznych e-booków. Dla subskrybentów newslettera przygotowuję też specjalne wydarzenia (np. webinaria) oraz rankingi. Nie pożałujesz!

Kontrast

Rozmiar tekstu