KNF ostrzega przed podawaniem swoich danych do logowania na ROR podmiotom innym niż bank, który prowadzi nasz rachunek. O takie dane prosi między innymi firma Sofort obsługująca internetowy sklep Deichmanna, ale także... inne banki.
Komisja Nadzoru Finansowego wydała komunikat, w którym ostrzega przed podawaniem swoich danych dostępowych do serwisu bankowości internetowej (login i hasło) podmiotom innym niż bank, który prowadzi nasz rachunek. Niektóre sklepy internetowe wymagają takich danych do zrealizowania płatności. I choć nadzór nie wymienia konkretnych podmiotów, to taki system płatności stosowany jest przez firmę Sofort, która pojawiła się na naszym rynku w ubiegłym roku.
Sofort Banking obsługuje między innymi sklep znanej sieci obuwniczej Deichmann. Po dokonaniu zakupu klient proszony jest o podanie hasła i loginu do swojej bankowości internetowej. System w imieniu klienta loguje się na jego rachunek i zleca przelew. Do tej operacji potrzebny jest kod jednorazowy, który także użytkownik udostępnia pośrednikowi. Dodatkowo pośrednik zastrzega sobie prawo do odczytania salda konta posiadacza rachunku oraz sprawdzenia historii transakcji na rachunku.
Sofort się nie boi
Firma Sofort zapewnia, że system jest absolutnie bezpieczny. Od powstania firmy w 2005 roku przeprowadzono już ponad 50 milionów transakcji i w żadnym przypadku nie doszło do nadużycia danych logowania do bankowości internetowej. Co więcej, na rynku niemieckim Federalny Urząd Antymonopolowy oświadczył, że regulaminy banków (lub ich interpretacje), które zakazują korzystania z SOFORT Banking, uważa za naruszające prawo antymonopolowe.
Tymczasem polskie banki w swoich regulaminach jednoznacznie zakazują podawania danych innym podmiotom. Przykładowo w regulaminie mBanku znajdziemy zapis: "Bank ma prawo do zablokowania dostępu do Rachunku w wypadku: (...) podejrzenia nieuprawnionego dostępu do Rachunku przez osobę trzecią; korzystania przez Posiadacza Rachunku z aplikacji automatyzujących".
Same banki nie są bez winy
Inna sprawa, że sam mBank też prosi klientów innych banków o podanie swojego loginu i hasła do serwisu obliczającego zdolność kredytową klienta. Automat w imieniu klienta loguje się na jego konto i zaciąga historię operacji. Na jej podstawie jest w stanie oszacować kondycję finansową klienta wnioskującego o pożyczkę. Dzięki temu skróceniu ulega procedura udzielenia kredytu klientowi zewnętrznemu, bo klient nie musi dostarczać papierowych dokumentów. Taką procedurę stosują też Idea Bank i Alior Sync.
W tym roku banki skarcił za taką praktykę prezes Związku Banków Polskich Krzysztof Pietraszkiewicz. W korespondencji wysłanej do banków podkreślił, że takie praktyki "zagrażają ponaddziesięcioletniej kampanii edukacyjnej kierowanej do klientów korzystających z usług bankowości elektronicznej, związanej ze standardem postępowania klienta w zakresie zabezpieczenia instrumentów uwierzytelniających wykorzystywanych w procesie logowania do serwisów transakcyjnych". Dodał także: "Brak możliwości nadzoru nad sposobem przetworzonych w ten sposób informacji, a tym samym brak możliwości weryfikacji zabezpieczeń, których stosowanie stanowi jeden z elementów przetwarzania pozyskanych danych, implikuje ryzyko wykorzystania tych danych w procesie m.in. phishingu lub kradzieży tożsamości."
Podawanie danych to ryzyko
Nadzór przypomina, że użytkownik bankowości internetowej naraża się na następujące ryzyka:
Ryzyko naruszenia umowy o prowadzenie rachunku bankowego oraz regulaminu, który stanowi integralną część umowy o rachunek. Klient jest co do zasady zobowiązany do zachowania poufności i ochrony przed dostępem osób trzecich indywidualnych danych identyfikacyjnych, czyli loginu i hasła do strony transakcyjnej banku, z którego usług korzysta. Ten sam zakaz obejmuje też hasła jednorazowe.
Ryzyko utraty prawa do reklamacji nieautoryzowanych transakcji. Ujawnienie danych logowania może stanowić naruszenie umowy o prowadzenie rachunku i regulaminu, które mogą skutkować zwolnieniem banku z odpowiedzialności za ochronę środków zgromadzonych na rachunku.
Ryzyko nieautoryzowanego przechwycenia danych logowania, a w konsekwencji ryzykiem utraty kontroli nad środkami przechowywanymi na rachunku.
Wojciech Boczoń
