mBank wprowadza nową funkcję bezpieczeństwa, która ma przerwać jeden z najgroźniejszych scenariuszy oszustwa telefonicznego. Gdy klient zaloguje się do aplikacji w trakcie rozmowy głosowej, bank może wyświetlić mu komunikat, że w tym momencie nie prowadzi z nim rozmowy.
Mechanizm jest aktywny tylko w momencie, w którym klient korzysta z aplikacji mBanku i nie ingeruje w rejestr połączeń. Weryfikuje jedynie zajętość głośnika i mikrofonu, która jest wystarczającym wskazaniem na trwające połączenie. „Nie mamy dostępu do informacji z kim i o czym prowadzisz rozmowę” – tłumaczy Jarosław Górski, dyrektor departamentu bezpieczeństwa w mBanku.
Jak wygląda groźny atak?
Oszust dzwoni do klienta i podaje się za pracownika banku, policjanta albo prokuratora. Przekonuje, że pieniądze na koncie są zagrożone, ktoś próbuje zaciągnąć kredyt albo właśnie trwa atak na rachunek. Potem krok po kroku prowadzi ofiarę przez kolejne czynności: logowanie do banku, zatwierdzanie operacji, przelew, czasem także wniosek kredytowy.
Z punktu widzenia banku wygląda to szczególnie trudno, bo wiele tych działań wykonuje sam klient. mBank chce w takich sytuacjach wstawić dodatkowy bezpiecznik. Chodzi o komunikat w aplikacji mobilnej, który ma poinformować użytkownika, że bank w tym momencie do niego nie dzwoni. To prosta wiadomość, ale jej zadanie jest poważne: wyrwać klienta z presji rozmowy i skłonić go do przerwania kontaktu z osobą po drugiej stronie telefonu.
mBank chce zabezpieczyć klienta na dwa fronty
Od kilku lat działa rozwiązanie realizujące scenariusz, w którym gdy dzwoni rzeczywisty pracownik mBanku, klient dostaje powiadomienie w aplikacji mobilnej z jego danymi: imieniem i nazwiskiem. Najnowsze rozwiązanie odpowiada na scenariusz przeciwny. Oszust nie może się uwierzytelnić w aplikacji i uzasadnia to na rozmaite sposoby, co usypia czujność klienta. Klient widząc w aplikacji ostrzeżenie „nie rozmawiasz teraz z mBankiem” a jednocześnie słysząc że ktoś za pracownika się podaje, dostaje jasny sygnał aby się rozłączyć, bo coś się nie zgadza.
Jarosław Górski tłumaczy w rozmowie z Bankier.pl że, największe straty nie wynikają z technicznego włamania na konto, ale z manipulacji klientem.
„Z punktu widzenia ciemnej strony mocy to jest portfel, którym oni sobie zarządzają. Znakomita część zysków, niekoniecznie liczba fraudów, ale zysków, które ciemna strona mocy generuje, pochodzi z fraudów związanych z oszustwami. Czyli z sytuacji, w których klient został zmanipulowany, namówiony do wykonania pewnych czynności i najczęściej sam je wykonał ” — mówi Górski.
Jak dodaje, otrzeźwienie przychodzi zwykle za późno. Pieniądze zdążyły już opuścić rachunek, przejść przez kilka kolejnych kont, trafić do portfeli kryptowalutowych albo zostać wypłacone w bankomacie.
Oszust gra na emocjach
Górski wskazuje, że przestępcy wykorzystują dwa szczególnie skuteczne mechanizmy. Pierwszy to obietnica zysku, czyli fałszywe inwestycje, rzekome okazje życia i narracja, że inni zarabiają, a pieniądze ofiary „leżą i się marnują”. Drugi to strach. W tym wariancie oszust przedstawia się jako pracownik banku, często z departamentu bezpieczeństwa, albo jako osoba współpracująca z policją czy prokuraturą.
„Klient jest przekonywany, że jego środki są pod atakiem, że ktoś zasadza się na te środki, że za chwilę straci wszystkie pieniądze z konta. To jest ten jedyny, ostatni moment” — opisuje Górski.
To właśnie w takich historiach nowa funkcja mBanku ma mieć największe znaczenie. Jeżeli klient, będąc pod presją rozmówcy, otworzy aplikację mobilną i zobaczy komunikat, że bank do niego nie dzwoni, powinien dostać jasny sygnał: coś się nie zgadza.
„Klient działa na emocjach negatywnych, stara się rzeczywiście ochronić swoje pieniądze, ale nie rozumie, że zachowując się tak, jak głos po drugiej stronie podpowiada, robi wszystko, żeby te pieniądze stracić” — mówi przedstawiciel mBanku.
Górski zwraca też uwagę, że przestępcy są coraz bardziej wiarygodni. Nie chodzi już tylko o rozmowę telefoniczną. Ofiary dostają fałszywe dokumenty, zawiadomienia, rzekome pisma procesowe albo materiały mające potwierdzać, że sprawa jest poważna.
„Oni są naprawdę bardzo przekonujący. Często podsyłają fałszywą dokumentacje, fałszywe wyroki, idealnie podrobione zawiadomienia o wszczęciu postępowania. AI robi świetną robotę dla tej ciemnej strony mocy, bo te dokumenty naprawdę wyglądają świetnie: są w kolorze, bez błędów, z właściwymi danymi pracowników. Pieczątki wyglądają świetnie, orzeł w koronie też wygląda bardzo dobrze” — mówi Górski.
Aplikacja ma przerwać scenariusz oszusta
„My możemy działać tylko w momencie, kiedy użytkownik zaloguje się do aplikacji bankowej. Wtedy rzeczywiście możemy ocenić, czy takie połączenie z banku jest aktywne, i adekwatnie do tego wyświetla komunikat ostrzegawczy” — tłumaczy Górski.
„Mechanizm działania sprowadza się do tego, że jeżeli nikt z mBanku ani w imieniu mBanku do klienta nie dzwoni, to taki komunikat będzie się wyświetlał po otwarciu aplikacji” — wyjaśnia Górski.
Komunikat może pojawić się bezpośrednio po otwarciu aplikacji. Może też zostać uruchomiony w określonych scenariuszach, kiedy system antyfraudowy oceni sytuację jako podwyższonego ryzyka. Górski podkreśla, że bank nie chce „świecić klientowi po oczach” ostrzeżeniem przy każdej okazji, bo wtedy pojawiłby się efekt przyzwyczajenia. Użytkownik mógłby zacząć ignorować komunikat tak samo, jak ignoruje wiele innych powiadomień.
Kredyt też może być sygnałem ostrzegawczym
mBank chce wykorzystywać ostrzeżenie przede wszystkim przy operacjach wrażliwych. Może chodzić o nietypowy przelew wysokokwotowy, ale także o próbę zaciągnięcia kredytu. To istotne, bo w scenariuszach oszustw telefonicznych przestępcy coraz częściej nie ograniczają się do wyprowadzenia środków z rachunku. Potrafią nakłonić ofiarę do zaciągnięcia zobowiązania, a potem do przekazania pieniędzy dalej.
„Zaciągnięcie kredytu jest z naszego punktu widzenia operacją wrażliwą. Może się pojawiać coś takiego również wtedy, kiedy klient autoryzuje nietypowy, wysokokwotowy przelew. Może się pojawiać wtedy, jeżeli klient próbuje zaciągnąć kredyt” — wskazuje Górski.
Za decyzją o pokazaniu komunikatu stoi system antyfraudowy. Jak wyjaśnia przedstawiciel mBanku, nie jest to jeden prosty mechanizm, ale połączenie klasycznych reguł i modeli uczenia maszynowego.
Samo edukowanie nie wystarcza
Nowa funkcja wpisuje się w szerszy kierunek, który mBank określa jako przechodzenie od samej edukacji do ostrzegania klienta w trakcie realnej operacji. Bank nadal chce przypominać klientom o oszustwach, ale zakłada, że wiedza przekazana wcześniej często nie wystarcza w momencie presji.
„To, co klientom mówimy wcześniej, klienci przyjmują z dużym zrozumieniem, natomiast krótko o tym pamiętają. Najczęściej te wiadomości związane z bezpieczeństwem pozostają w pamięci na dwa, trzy tygodnie, po czym ludzie zapominają o tych zasadach” — mówi Górski.
Dlatego komunikat w aplikacji ma być czymś w rodzaju przypomnienia w krytycznym momencie. Nie zastąpi oczywiście zdrowego rozsądku, ale może pomóc klientowi odzyskać kontrolę nad sytuacją.
„Chcemy w momencie, kiedy atak zaczyna się dziać, ostrzegać klientów, że coś jest nie tak. Dawać im sygnały, czasami nawet subtelne, ale jednak sygnały, że może to jest ten moment, kiedy warto się zastanowić i coś zmienić albo coś przerwać” — tłumaczy Górski.
Bank rozwija komunikację kontekstową
mBank rozwija także tzw. komunikację kontekstową, czyli dodatkowe ostrzeżenia pojawiające się w procesie autoryzacji. Ich zadaniem jest przerwanie automatyzmu zatwierdzania operacji. Górski mówi, że klienci często spędzają na ekranie autoryzacyjnym zaledwie kilka sekund, choć komunikaty zawierają szczegóły transakcji.
„Klient jest przyzwyczajony do tego, że pojawi się komunikat, przewinie, ma dwa przyciski: zatwierdzam albo odrzucam. Jak kliknie zatwierdź, to leci. Z badań wychodziło nam, że klienci najczęściej przebywają na takim ekranie około dwóch, maksymalnie trzech sekund. Tyle, ile potrzeba, żeby ekran się załadował, przewinąć go i kliknąć realizację” — mówi.
W przypadku nietypowej operacji bank może więc pokazać dodatkowy ekran. Ma on powiedzieć klientowi, że dana czynność odbiega od jego standardowego zachowania i może być próbą oszustwa.
„Dajemy klientowi jeszcze raz dodatkowo możliwość zatwierdzenia operacji, ale w niestandardowy sposób, bo on się tego ekranu nie spodziewa. Zobaczy go jedynie wtedy, jeżeli coś dziwnego zaczyna się dziać na jego koncie albo zaczyna wykonywać niestandardowe operacje dla siebie” — mówi Górski.
Czerwone światło w ostatnim momencie
Z perspektywy klienta najważniejsze jest jedno: jeżeli ktoś przez telefon podaje się za pracownika banku, a aplikacja pokazuje komunikat, że bank nie prowadzi rozmowy, należy przerwać połączenie i samodzielnie skontaktować się z bankiem oficjalnym kanałem.
Górski podkreśla, że banki mogą budować coraz lepsze zabezpieczenia, ale bez świadomości użytkowników przestępcy nadal będą wykorzystywać socjotechnikę.
„Kluczowe jest mówienie klientom, zanim coś się zdarzy, na co powinni zwracać uwagę. Bez tego nie są w stanie rozpoznać, że dzieje się coś złego. Możemy robić najlepsze zabezpieczenia, ale jeżeli klienci nie wiedzą, jak to ma wyglądać, to i tak dadzą się podejść najprostszej socjotechnice” — mówi przedstawiciel mBanku.
Nowy komunikat nie zablokuje każdego oszustwa. Ma jednak zatrzymać klienta w chwili, w której oszust najbardziej liczy na stres, pośpiech i posłuszne wykonywanie poleceń. Właśnie wtedy w aplikacji może pojawić się proste zdanie: to nie my do ciebie dzwonimy.
