Na stronie internetowej Komisji Nadzoru Finansowego pojawiło się ostrzeżenie przed „dopuszczaniem pośredników do rachunku bankowego w płatnościach internetowych”. Dlaczego akurat teraz urząd zapragnął przypomnieć klientom o zasadach bezpieczeństwa? Chwila nie jest przypadkowa.
Serwis PayPal pozwala na płacenie w sieci za pomocą kart płatniczych, ale oferuje także przedpłacony rachunek pieniądza elektronicznego, na którym można przechowywać środki. Taka opcja przydaje się osobom, które z różnych powodów nie chcą lub nie mogą korzystać z plastiku w sieci. Konto w PayPalu trzeba wówczas doładować przed transakcją, np. przelewem z rachunku bankowego.
Kilka dni temu platforma zmieniła dostawcę obsługującego zasilenia „portmonetki”. Obecnie jest nią szwedzka firma Trustly. Pełni ona rolę pośrednika – użytkownik podaje swój login i hasło do bankowości internetowej, a skrypt przygotowany przez Trustly „podszywa się” pod klienta i w jego imieniu zleca przelew w odpowiednim banku. Mechanizm, noszący nazwę screen scraping, nie jest nowy, pisaliśmy o nim np. w 2012 r., gdy po raz pierwszy na polskim rynku zaproponował go e-sklep Deichmann i obsługujący go Sofortbanking (dziś Sofort).
Wiadomość o zasadzie działania nowego partnera PayPal obiegła lotem błyskawicy polski internet. Powszechnie krytykowano ideę podawania danych dostępu do rachunku zewnętrznemu podmiotowi. W ciągu następnych dni kilka banków zablokowało „robota” Trustly, co sprawiło, że błyskawiczne doładowanie jest dziś dostępne tylko dla klientów nielicznych instytucji.
KNF wykorzystała okazję, aby ponownie przypomnieć o swoim stanowisku. „Urząd Komisji Nadzoru Finansowego (UKNF) zwraca uwagę na ryzyko związane z podawaniem danych umożliwiających logowanie do rachunku bankowego, zlecanie przelewów oraz pobieranie historii rachunku podmiotom innym niż bank, w którym prowadzony jest dany rachunek. UKNF przypomina, że podstawową zasadą bezpieczeństwa w bankowości internetowej jest niepodawanie w żadnym wypadku komukolwiek danych pozwalających na dostęp do rachunku bankowego, gdyż grozi to utratą środków” – czytamy w komunikacie opublikowanym w serwisie nadzoru. W dokumencie zwraca się również uwagę, że ujawnienie danych do logowania może naruszać regulamin prowadzenia rachunku bankowego oraz pozbawić klienta ochrony prawnej, w tym możliwości reklamowania nieautoryzowanych transakcji.
KNF od dawna nie kryje swojej sceptycznej postawy wobec mechanizmu screen scraping, a także samej idei stanowiącej podstawę unijnej dyrektywy PSD2 – dostępu zewnętrznych podmiotów do informacji o rachunku bankowym i możliwości inicjowania płatności. Na razie nadzór zmusił banki do rezygnacji z eksperymentów z pobieraniem danych od konkurentów. Jednak firmy pożyczkowe działające poza zasięgiem KNF i instytucje płatnicze korzystające z jednolitego paszportu europejskiego (w tym Trustly) z powodzeniem używają „drapania ekranu” do weryfikacji zdolności kredytowej klienta lub płatności w e-handlu.
Aktualizacja [5.05] - Sofort GmbH, dostawca systemu płatności, przygotował stanowisko w sprawie artykułu.
Aktualizacja - Trustly AB, dostawca systemu płatności, przygotował stanowisko w sprawie artykułu
Płatność kartą w internecie trzeba będzie potwierdzić SMS-em
Kolejne banki wdrażają usługę 3D Secure, która wzmacnia bezpieczeństwo transakcji kartami w internecie. Żeby dokonać zakupów, trzeba podać nie tylko dane z karty płatniczej, ale także kod jednorazowy autoryzujący płatność.
