W skrócie
- Obecne przepisy nie określają sztywnych standardów weryfikacji tożsamości na infoliniach, co pozostawia operatorom dużą swobodę w ustalaniu własnych zasad bezpieczeństwa.
- Weryfikacja oparta jedynie na podstawowych danych osobowych ułatwia oszustom kradzież tożsamości oraz dokonywanie nieuprawnionych zmian na kontach klientów.
- Eksperci sugerują wprowadzenie ustawowego standardu weryfikacji, wymagającego przynajmniej dwóch niezależnych składników, takich jak kod SMS czy autoryzacja w aplikacji.
- Więcej podobnych informacji znajdziesz na stronie głównej serwisu, otwiera się w nowym oknie
Cyberprzestępcy coraz częściej wykorzystują dane swoich ofiar do podszywania się pod nie i przejmowania dostępu do usług. Tymczasem prawo nakłada na operatorów telekomunikacyjnych obowiązki dotyczące identyfikacji i ochrony abonenta, ale pozostawia im sporą swobodę co do tego, jak technicznie przeprowadzą uwierzytelnienie podczas kontaktu z infolinią.
Sektor bankowy podlega znacznie bardziej szczegółowym regulacjom dotyczącym bezpieczeństwa i uwierzytelniania. Dlatego instytucje finansowe coraz częściej stosują alternatywne metody - takie jak dodatkową weryfikację przez aplikację czy kody SMS.
Operatorzy sami ustalają zasady weryfikacji na infolinii. Często wystarczy kilka podstawowych danych
Operatorzy sami jednak decydują, jak sprawdzić, czy dzwoni do nich właściwy klient. Urząd Komunikacji Elektronicznej przyznaje, że przepisy Prawa komunikacji elektronicznej nie określają szczegółowych czy minimalnych wymagań dotyczących sposobu weryfikacji tożsamości abonenta podczas kontaktu z infolinią operatora.
- Wybór metod uwierzytelniania należy do przedsiębiorcy, który powinien zapewnić ich zgodność z obowiązującymi przepisami, w szczególności dotyczącymi ochrony danych osobowych, otwiera się w nowym oknie oraz bezpieczeństwa świadczonych usług - mówi Interii Biznes Przemysław Poznański, ekspert UKE.
Dodatkowo - jak wskazuje Urząd Ochrony Danych Osobowych - również przepisy RODO nie określają dokładnych wymogów weryfikacji i danych, które mogą być w tym celu przetwarzane, zostawiając tym samym dużą swobodę administratorom.
Czasem wystarczy podać podstawowe dane, które oszust może łatwo zobyć. Chodzi np. o imię i nazwisko, PESEL, adres, datę urodzenia czy informacje dotyczące umowy lub ostatniej faktury.
Zobacz również:
Co prawda, art. 296 PKE zobowiązuje przedsiębiorców do stosowania "odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo sieci i usług", jednak i tam nie wskazuje konkretnych metod weryfikacji tożsamości klientów. - Takie zasady zostały uregulowane w niektórych innych ustawach, np. w ustawie o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (art. 37), ale przepisy te dotyczą określonych rodzajów działalności i nie stanowią ogólnych zasad weryfikacji klientów przez przedsiębiorców komunikacji elektronicznej - dodaje Poznański.
Jak dowiedzieliśmy się w UKE, urząd widzi potrzebę stosowania rozwiązań zwiększających poziom bezpieczeństwa uwierzytelniania klientów. - Wybór konkretnych rozwiązań technicznych należy jednak do operatorów, którzy powinni dostosowywać je do aktualnych zagrożeń i dobrych praktyk w zakresie cyberbezpieczeństwa. Także ocena stosowanych przez przedsiębiorców metod uwierzytelniania należy do podmiotów świadczących usługi, ponieważ to one odpowiadają za bezpieczeństwo przetwarzanych danych oraz ochronę tajemnicy komunikacji - dodaje ekspert UKE.
Co może zrobić oszust po przejściu weryfikacji? Możliwości jest wiele
Problem z wyłudzaniem i wykorzystywaniem danych zdobytych na infoliniach nie jest nowy. Wyzwaniem nie jest samo to, jakie informacje oszust może uzyskać od konsultanta - ważniejsze jest to, jakie operacje może wykonać po pomyślnym przejściu weryfikacji.
Oszust może w ten sposób próbować:
- pozyskać lub potwierdzić dane klienta (wydobyć informacje, których potem użyje w kolejnych atakach);
- zmienić dane na kontach - np. dane kontaktowe;
- zmienić lub zamówić usługi;
- ingerować w kwestie związane z kartą SIM/eSIM (przejęcie numeru może mieć dalsze konsekwencje);
- wykorzystać numer telefonu do przejęcia innych kont (jeśli numer służy do odzyskiwania dostępu lub otrzymywania kodów SMS);
- wykorzystać zdobyte informacje do podszywania się pod klienta w kontaktach z innymi firmami lub instytucjami;
- wykorzystać dane klienta do przeprowadzenia kolejnych prób wyłudzenia informacji lub pieniędzy.
Właśnie dlatego RODO nakłada na administratorów obowiązek stosowania odpowiednich środków technicznych i organizacyjnych chroniących dane. Jednym z rozwiązań jest m.in. pseudonimizacja. W praktyce zamiast numeru PESEL można wykorzystywać numer klienta, umowy czy reklamacji, które są znacznie trudniej dostępne osobom trzecim - w tym potencjalnym oszustom.
PESEL to za mało. Jak powinna wyglądać weryfikacja na infolinii?
- Pozostawienie operatorom pełnej swobody w zakresie określania sposobu uwierzytelniania klientów nie jest rozwiązaniem właściwym z perspektywy cyberbezpieczeństwa. Taki model prowadzi do rozproszenia odpowiedzialności, utrudnia egzekwowanie jednolitego poziomu ochrony i zwiększa ryzyko wykorzystania najsłabszego ogniwa w procesie obsługi klienta - ocenia dla Interii Biznes Tomasz Surdyk, inspektor ochrony danych, ekspert ds. cyberbezpieczeństwa w Kingston Technology.
W jego ocenie za takim stanowiskiem przemawia kilka istotnych ryzyk:
- brak minimalnych wymogów prowadzi do niespójności standardów (każdy operator może przyjąć odmienne procedury, a sprawca wybierze ten kanał kontaktu, w którym weryfikacja jest najmniej rygorystyczna);
- klient traci przewidywalność procesu i nie ma pewności, jakie dane oraz jakie działania faktycznie chronią jego tożsamość;
- presja biznesowa na szybkość obsługi może skłaniać do upraszczania procedur weryfikacyjnych kosztem bezpieczeństwa.
- Zróżnicowane standardy stosowane przez operatorów mogą tworzyć realną lukę bezpieczeństwa. Atakujący nie musi bowiem przełamywać najlepiej zabezpieczonego procesu - wystarczy, że zidentyfikuje najłatwiejszą ścieżkę uwierzytelnienia i wykorzysta ją do przejęcia dostępu, uzyskania informacji lub dokonania nieuprawnionych zmian na koncie klienta - ostrzega nasz rozmówca.
Surdyk uważa, że w telefonicznej obsłudze klienta powinien obowiązywać minimalny, ustawowo określony standard weryfikacji, porównywalny co do celu z mechanizmami AML/KYC stosowanymi w sektorze finansowym. Zastrzega jednak, że nie oznacza to prostego przeniesienia tych regulacji, lecz ustanowienie jednolitego, prawnie wymaganego poziomu ochrony przed podszywaniem się pod klienta.
Inspektor ochrony danych uważa, że obowiązkowe elementy takiej weryfikacji powinny obejmować co najmniej dwa niezależne składniki uwierzytelnienia, na przykład hasło do infolinii, PIN, odpowiedź na odpowiednio skonstruowane pytanie bezpieczeństwa albo jednorazowy kod wysłany na numer telefonu zapisany w systemie. - Kluczowe jest, aby elementy te nie opierały się wyłącznie na danych łatwo dostępnych, możliwych do odtworzenia na podstawie publicznych źródeł lub pozyskanych w wyniku wycieków - dodaje.
Ekspert: Minimalny standard weryfikacji musi zawierać co najmniej jeden niezależny element
Ekspert ds. cyberbezpieczeństwa nie ma wątpliwości, że dane takie jak imię, nazwisko, PESEL, adres, numer klienta, numer umowy, adres e-mail czy numer telefonu nie mogą być obecnie traktowane jako wiarygodny czynnik uwierzytelnienia. - Są to informacje często dostępne publicznie, możliwe do pozyskania z mediów społecznościowych, rejestrów, wcześniejszych wycieków baz danych, phishingu albo pakietów danych sprzedawanych w podziemiu internetowym - wymienia i dodaje, że tego rodzaju informacje mogą pełnić jedynie funkcję pomocniczą, a nie powinny stanowić podstawowego mechanizmu potwierdzania tożsamości klienta.
W jego ocenie standard powinien obejmować także zakaz podpowiadania odpowiedzi oraz ograniczenie pytań zamkniętych, które ułatwiają osobie podszywającej się pod klienta dopasowanie właściwej reakcji. Zamiast tego pytania powinny mieć charakter otwarty, nie sugerować odpowiedzi i nie ujawniać, które informacje zostały podane błędnie.
- Procedura powinna również przewidywać mechanizm "stop", jeżeli odpowiedzi budzą wątpliwości, operator ma obowiązek przerwać proces i zaproponować alternatywną ścieżkę weryfikacji, na przykład wizytę w oddziale, potwierdzenie w aplikacji mobilnej albo użycie narzędzi takich jak mObywatel lub ePUAP. Każda weryfikacja powinna być rejestrowana w sposób pozwalający na późniejsze odtworzenie kto, kiedy i w jaki sposób potwierdził tożsamość klienta - mówi nam Surdyk.
Ostatecznie brak takich zabezpieczeń prowadzi do tego, że osoba dysponująca podstawowym zestawem danych może w wielu przypadkach przejść klasyczną, miękką weryfikację na infolinii, jeżeli firma opiera proces wyłącznie na pytaniach o dane osobowe i podstawowe informacje o umowie. - W praktyce sprzyja to atakom socjotechnicznym: rozmówca zna wystarczająco dużo szczegółów, aby wzbudzić zaufanie operatora, mimo że nie potwierdza to jego rzeczywistej tożsamości - wyjaśnia mechanizm ekspert.
Dlatego - zdaniem Surdyka - samo podanie danych osobowych nie powinno być uznawane za wystarczające zabezpieczenie. - Minimalny standard weryfikacji powinien wymagać co najmniej jednego niezależnego elementu, którego osoba trzecia nie może łatwo pozyskać z zewnątrz, takiego jak jednorazowy kod SMS, hasło do infolinii, silne pytanie bezpieczeństwa albo uwierzytelnienie w aplikacji mobilnej. Dopiero połączenie danych identyfikacyjnych z niezależnym czynnikiem uwierzytelnienia daje realną podstawę do uznania procesu za bezpieczny - podkreśla ekspert.
"Operator powinien być w stanie potwierdzić, że to rzeczywiście klient"
Jednak prezes zarządu SIODO Stowarzyszenia Inspektorów Danych Osobowych Jarosław Feliński w rozmowie z Interią Biznes daje do zrozumienia, że same regulacje i konkretne wymogi weryfikacji tożsamości, otwiera się w nowym oknie klienta nie wystarczą. - Jeżeli państwo nie zagwarantuje sztywnych ram i nie powie operatorom: "macie do spełnienia takie i takie wymagania", to nie będzie miało żadnego znaczenia, jakie rozwiązania dotyczące potwierdzenia tożsamości zostaną przez nich przyjęte - mówi wprost.
- Jeżeli nastąpiła sytuacja przejęcia niekontrolowanego przesyłu czy jakiegoś zawłaszczenia danych, wszyscy zaczynają powoli umywać ręce, mówiąc: "niech się klient o to martwi i zabezpiecza swój PESEL". Co z tego, że będę skarżył się do Urzędu Ochrony Danych Osobowych albo na policję i do prokuratury? To mało da. Niejednokrotnie taka sprawa zostanie uznana za przypadek mniejszej wagi społecznej. Właściwie jestem wtedy na przegranej pozycji - tłumaczy Feliński.
Ekspert przyznaje jednocześnie, że ważne jest, prawodawca konkretnie określił wymagania. - Powinno być jasno powiedziane, że każdy operator, który będzie wchodził na rynek, musi spełnić konkretne wymagania. Ale ważna też jest jakość przestrzegania tego prawa, konsekwencje i realna ochrona danych, a nie tylko na papierze czy w literze prawa - ocenia.
- Jeżeli klient ponosi określone koszty związane z usługą, to operator powinien być w stanie uzyskać potwierdzenie, że to rzeczywiście jest on. Nikt nie powinien móc podszyć się pod tego klienta - dodaje prezes zarządu SIODO.
Również rzecznik UODO Karol Witowski mówi nam, że ważniejsze niż zmiany w prawie jest odpowiednie podejście przez administratorów do swoich obowiązków, rzetelne dokonywanie analizy ryzyka i wdrażanie adekwatnych środków. - Prezes UODO stara się motywować do tego administratorów zarówno przez kontrole sektorowe, indywidualne kary (często przyczyną ich nakładania jest właśnie niewystarczająca analiza ryzyk) oraz dialog z organizacjami branżowymi w celu przyjmowania kodeksów postępowania. Mogą one dużo skuteczniej niż przepisy powszechnie obowiązujące wzmacniać ochronę danych, gdyż są dostosowane do realiów konkretnej branży - ocenia.
Jednocześnie UODO zapewnia, że obecnie obowiązujące przepisy są wystarczająco elastyczne, by zapewniać odpowiednią ochronę i dostosowywać ją do zmieniającej się technologii.
Sebastian Tałach
