Ostrzeżenie dla klientów: Halo, proszę podać PESEL
Odebrałeś telefon od banku, a rozmowa zaczyna się od prośby o potwierdzenie twojej tożsamości? Zanim ujawnisz dzwoniącemu wrażliwe dane, upewnij się czy rzeczywiście rozmawiasz z przedstawicielem instytucji finansowej - ostrzega Idea Expert.
Banki chętnie wykorzystują kanał telefoniczny do sprzedaży swoim dotychczasowym klientom nowych produktów. Pierwszym etapem takiej rozmowy bardzo często jest potwierdzenie tożsamości klienta. Jeśli konsultant wymieni imię i nazwisko klienta i poprosi tylko o potwierdzenie, że rzeczywiście rozmawia z tą osobą, nie zagraża to w żaden sposób bezpieczeństwu.
Gorzej, gdy zażąda podania danych, które miałyby potwierdzić tożsamość klienta, takich jak np. jego adres zamieszkania, numer PESEL czy nazwisko panieńskie matki. Takie informacje można podać, ale dopiero po upewnieniu się, że dzwoniący rzeczywiście jest pracownikiem banku, a nie osobą, która się za pracownika tylko podaje.
Tego typu dane mogą być bowiem łakomym kąskiem dla przestępców. Złodziej, który pozna PESEL i nazwisko panieńskie matki klienta banku, prawdopodobnie nie będzie jeszcze w stanie skutecznie się pod niego podszyć - ale będzie już o dwa kroki bliżej do popełnienia przestępstwa. Dlatego warto uważać, komu podajemy takie informacje.
Telefon nie jest jedynym narzędziem, po które mogą sięgnąć przestępcy pozyskujący wrażliwe dane. Jeszcze niedawno głośno było o tzw. atakach phishingowych, wymierzonych w użytkowników bankowości internetowej. Polegają one na masowej wysyłce na wiele adresów poczty elektronicznej prośby o uaktualnienie danych stosowanych przy korzystaniu z systemu bankowości internetowej. Do takiej wiadomości dołączony jest link, który zamiast do autentycznej strony banku, prowadzi do spreparowanej przez przestępców kopii. Dodatkowo w wiadomości zwykle znajdują się zapewnienia, że są to działania służące zwiększeniu bezpieczeństwa użytkowników e-bankowości. Jeśli klient kliknie na taki link, a następnie wpisze w formularzu login i hasło, te wrażliwe dane padną łupem przestępców.
Na szczęście takie próby zwykle są stosunkowo łatwe do wykrycia - także dzięki temu, że banki jednoznacznie przed nimi ostrzegają i informują, że nigdy nie wysyłają do klientów e-maili z tego typu prośbami. Dzięki dużej konsekwencji w działaniu udało się zbudować wśród klientów świadomość zagrożenia. W efekcie jeśli nawet dochodzi do takich prób wyłudzenia danych, bardzo niewiele osób daje się nabrać na taką sztuczkę.
Te same banki, które jednoznacznie przestrzegają przed próbami wyłudzenia wrażliwych danych przez Internet, równocześnie zachęcają klientów do niefrasobliwego podejścia do zagadnień bezpieczeństwa podczas rozmów telefonicznych i podawania wrażliwych danych przez telefon - bez odpowiedniej weryfikacji dzwoniącego. Choć dzwoniący w imieniu banku konsultant nie potwierdza w żaden sposób swojej tożsamości, tylko od razu prosi o podanie wrażliwych danych, wiele osób bezrefleksyjnie takie dane podaje. Tymczasem osoba, która podaje się przez telefon za pracownika banku, wcale nie musi nim być.
Aby wrażliwe dane nie trafiły do osoby nieuprawnionej, warto podczas kontaktów telefonicznych inicjowanych przez bank pamiętać o kilku prostych zasadach. Przede wszystkim nie każda rozmowa telefoniczna, do której dochodzi z inicjatywy banku, wymaga potwierdzenia tożsamości klienta. Jeśli konsultant chce poinformować o nowych stawkach oprocentowania depozytów czy o promocji dostępnej dla wszystkich klientów, nie musi wiedzieć, kto jest jego rozmówcą. Potwierdzenie tożsamości rozmówcy jest niezbędne dopiero wtedy, gdy pracownik banku ma zamiar odnieść się w rozmowie do informacji bezpośrednio dotyczących stanu finansów klienta lub przedstawić mu spersonalizowaną ofertę.
Ważne jest też, że konsultant dzwoniący z banku nie ma prawa pytać o hasła czy loginy używanie w innych kanałach (a więc np. login czy hasło do systemu bankowości internetowej czy telefonicznej, kody z listy haseł jednorazowych czy aktualny odczyt z tokena). Może natomiast pytać o inne, znane bankowi dane umożliwiające identyfikację rozmówcy (jak wspomniany już numer PESEL czy nazwisk panieńskie matki) lub o informacje dotyczące posiadanych produktów.
Co ważne, klient w żadnych okolicznościach nie ma obowiązku kontynuowania takiej rozmowy. Osoba, która z jakiegokolwiek powodu nie chce podawać wrażliwych danych przez telefon, może w każdej chwili przerwać połączenie.
Składane przez telefon oferty mogą być godne uwagi i nie warto zbyt łatwo rezygnować z ich poznania. Jednak samo przedstawienie się dzwoniącego imieniem, nazwiskiem i nazwą banku to zbyt mało, by mieć pewność, że rzeczywiście reprezentuje on wskazaną instytucję finansową. W takiej sytuacji o swoje bezpieczeństwo można zadbać na kilka sposobów.
Najprostsze i najskuteczniejsze rozwiązanie jest niestety bardzo mało popularne. Polega ono na tym, że podpisując umowę z bankiem, klient ustala nie tylko hasła, którymi będzie się uwierzytelniał podczas kontaktów z bankiem przez Internet i telefon, ale także dodatkowe hasło, którym będą się posługiwać osoby dzwoniące w imieniu banku. Osoba, która tego hasła nie zna, na pewno nie jest przedstawicielem instytucji finansowej. Mimo prostoty i skuteczności tego zabezpieczenia, jest ono bardzo rzadko stosowane - mogą z niego korzystać klienci Alior Banku i Nordea Banku.
Gdy klient ma wątpliwości, czy dzwoniący rzeczywiście reprezentuje bank, może to zweryfikować, dzwoniąc do tej instytucji i potwierdzając, że konsultant o danym imieniu i nazwisku rzeczywiście tam pracuje. Ta metoda jest jednak skuteczna dopiero po spełnieniu dodatkowego warunku. Klient powinien pamiętać o sprawdzeniu, czy podany przez dzwoniącego numer, pod którym można dokonać takiej weryfikacji, rzeczywiście należy do banku. Nietrudno jest tak zorganizować oszustwo, by pod podawanym przez przestępcę numerem telefonu dyżurował jego wspólnik. Aby sprawdzenie miało sens, klient powinien mieć pewność, że dzwoni do banku. Ten warunek będzie spełniony, jeśli połączy się np. z infolinią, której dane kontaktowe znajdzie na stronie internetowej banku lub na wyciągu z konta. Natomiast próby sprawdzania dzwoniącego pod numerem, którego autentyczności nie można potwierdzić, w żaden sposób nie zwiększają bezpieczeństwa.
W dobrze zorganizowanym banku powinna istnieć jeszcze jedna możliwość. Jeżeli klient nie jest pewny, że rozmawia z przedstawicielem banku, a chce poznać przygotowaną dla niego propozycję, powinien mieć możliwość umówienia się na rozmowę na jej temat w wybranym oddziale banku. Zdecydowana większość banków, które prezentują przez telefon spersonalizowane oferty, umożliwia klientowi umówienie się na rozmowę w placówce.
Znacznie gorzej wykorzystywany jest inny bezpieczny kanał komunikacji, jakim jest wewnętrzna poczta wbudowana w system bankowości internetowej. Gdyby bank wcześniej przesłał swoją propozycję tą drogą, a dopiero potem reprezentujący go konsultant zadzwonił ze szczegółowymi informacjami, byłoby to bardzo solidne potwierdzenie, że dzwoniący rzeczywiście reprezentuje instytucję finansową. Niestety, spośród banków, które odpowiedziały na pytania Idea Expert, tylko ING przyznał, że wykorzystuje możliwość informowania klientów o przygotowanych dla nich propozycjach za pośrednictwem systemu bankowości internetowej - i to tylko w przypadku niektórych ofert.
Piotr Ceregra, Idea Expert
