Lisää hitautta verkkopankkiin (kolumni)

Kolumnini elokuun Tivi-lehdessä:

Elokuussa 21-vuotias mies tuomittiin viideksi vuodeksi vankeuteen S-pankin asiakkaisiin kohdistetuista miljoonahuijauksista. Vuosi sitten samassa pankissa oli neljä kuukautta kestänyt tekninen häiriö, joka avasi pääsyn väärille tileille. Äskettäin Sisä-Suomen poliisi varoitti kansalaisia viesteistä, joilla oli huijattu pankin asiakkailta kymmeniä tuhansia euroja yhden vuorokauden aikana.

Uutisointi yllättää, sillä Suomea on pidetty turvallisen pankkiasioinnin mallimaana. Entiselle ylpeydenaiheelle on käynyt kuten Pisa-tuloksille: asema ei säily ilman jatkuvaa kehitystyötä.

Verkkopankki on edelleen hyvin turvallinen. Viime vuoden 600 miljoonasta maksutapahtumasta rikollisia oli vain 0,003 promillea. Silti uutisointi rapauttaa asiakkaiden luottamusta ja käsitystä muunkin verkkoasioinnin turvallisuudesta. Jotain pitäisi tehdä.

Tähän asti nähdyt huijaukset olisi voitu estää, jos pankeilla olisi riittävästi kiinnostusta asiaan. Rahanpesun kitkeminen, mobiilipalvelut ja kiristyvä sääntely ovat pitäneet pankkien it-osastot niin kiireisinä, että turvallisuuden kehittäminen on jäänyt vähemmälle.

Pankeissa tekoäly seuraa koko ajan tilitapahtumia. Jos tilille tulee tunnistamaton rahalähetys tai käteistalletus, pankki penää selitystä rahojen alkuperästä, koska sääntely vaatii sitä.

Lähtevien rahojen valvonta on paljon vähäisempää. Huijauksen kohteeksi joutunut uhri on omillaan. Pankin mielestä hän on toiminut huolimattomasti, eikä menetyksiä useinkaan korvata.

Verkkopankin ongelmat eivät johdu tekniikasta vaan ihmisistä. Esimerkiksi isoihin rahansiirtoihin pyydettävät lisävarmistukset ovat tehottomia, koska palveluun päässyt rosvo pystyy kuittaamaan ne omistajan puolesta.

Pankkitunnusten käyttö viranomaispalveluihin kirjautumiseen on suomalainen erikoisuus. Moni uhri on luullut kirjautuvansa Omakantaan tai verottajalle, vaikka onkin tullut antaneeksi huijarille pääsyn tililleen.

Kirjautumisikkunat pitäisi erottaa selkeästi pankin omista maksuikkunoista. Viime vuosina tilanne on vain pahentunut, kun erilaiset maksunvälittäjät vaativat oman kirjautumisensa ja siinä viidakossa kokenutkin käyttäjä voi mennä vipuun.

Monissa pankkipalveluissa kielen voi vaihtaa englanniksi. Ei tehdä tätäkään liian helpoksi ulkomaiselle huijarille vaan sidotaan kieliasetus tiliin ja tehdään siitä pysyvä. Mummolla ei ole tarvetta vaihtaa yhtäkkiä kieltä englanniksi.

Huijauksissa nopeus on kaikki kaikessa. Usein uhri huomaa virheensä heti, mutta iltaisin ja viikonloppuisin pankista ei saa ketään kiinni. Pankkien pitäisi perustaa vaikka yhteinen 24/7-hätänumero, johon soittamalla tilin saisi hetkeksi suljettua ja rikolliset siirrot pysäytettyä.

Suurin osa meistä ei siirrä rahaa suoraan ulkomaille eikä tyhjennä tiliään uusille kotimaisille tileille. Tekoälyn olisi helppo havaita tällaiset anomaliat.

Miksei ulkomaansiirtoja voi estää tai rajoittaa niitä vain tunnettuihin verkkokauppoihin? Miten on mahdollista, että aiemmin vain kotimaisia laskuja maksaneen asiakkaan tili voidaan tyhjentää kryptovaluuttapörssiin, mistä rahoja on mahdotonta palauttaa?

Vähintäänkin siirroissa ulkomaisille tileille, joille ei aiemmin ole maksettu mitään, pitäisi olla 48 tunnin viive. Se antaisi uhrille aikaa reagoida.

Ahkerat nettiostajat eivät tarvitse lisäsuojauksia. Iäkkäämmät ja peruskansalaiset tarvitsevat. Siksi rajoitusten pitäisi olla valinnaisia mutta niin, että kerran päälle kytkettynä niiden poistaminen vaatii vähintään vuorokauden odottelun.

It-maailma on tottunut kehittämään palveluista yhä nopeampia ja monipuolisempia. Pankit eivät halua rajoittaa asiakkaitaan tai hidastaa maksuja, koska se koetaan huonoksi palveluksi ja tukipuheluiden määrän pelätään lisääntyvän.

Muutetaan siis ajattelua ja markkinoidaan vapaaehtoisia rajoituksia positiivisena asiana. Moni ottaisi mielellään vanhempiensa tilin suojaksi uusia turvaominaisuuksia. Niistä voisi jopa veloittaa lisähintaa.

---

Samana päivänä kun yllä oleva kolumni ilmestyi lehdessä, Satakunnan käräjäoikeus antoi tuomion jutussa, jossa Jarmo ja Ritva Sivula menettivät verkkohuijarille 44 900 euroa. Tapauksen paljastuttua pankki onnistui saamaan osan rahoista takaisin, jolloin lopulliseksi menetykseksi jäi 25 950 euroa. Hurja summa kenelle tahansa. 

Uhri oli kirjoittanut Bing-hakukoneeseen Omakanta, mutta joutunut valesivulle. Sivu kysyi tunnuksia ja siirsi uhrin lopulta oikeaan paikkaan Omakannassa, missä näkyivät halutut laboratoriotulokset. Sitä ennen uhrin puhelimeen oli tullut pankista varmistuskysely, jonka uhri myönsi lukeneensa huolimattomasti. Saatuaan puhelimeen lähetetyn koodin huijari onnistui asentamaan verkkopankkiohjelman omaan puhelimeensa ja sai näin täyden hallinnan tiliin. 

Tuomion mukaan uhrin toiminta oli huolimatonta, mutta ei törkeän varomatonta. Pankin lähettämä ilmoitus ei ollut kovin selkeä, siinä mm. varoitettiin, että asiakkaan tiedot saattavat olla vaarassa. Ilmoituksen olisi pitänyt sanoa suoraan, että uhrin rahat saattava olla vaarassa, jos hän ei ole itse pyytänyt mobiilipankin asennusta. Ei ollut, hän käytti verkkopankki vain tietokoneen selaimella.

Jos Satakunnan käräjäoikeuden päätös saa lainvoiman (eli pankki ei hae valituslupaa hovioikeudesta), sillä tulee olemaan ohjaava vaikutus tuleviin kiistoihin. Rajanveto on kieltämättä vaikeaa ja tehdään aina tapauskohtaisesti. Miten paljon asiakkaalta voidaan edellyttää omaa varovaisuutta, kun pankki on kuitenkin tiedollisesti ylivoimaisessa asemassa ja voisi parantaa verkkopankin turvallisuutta mm. yllä kuvatuilla nikseillä. Ovatko pankin lähettämät varoitukset varmasti riittävän selkeitä?

Jäämme kiinnostuneena odottamaan jatkoa ja seuraavia kiistoja. Tähän asti harva asiakas on halunnut lähteä kiistämään FINEn suositusta ja käräjöimään suurta pankkia vastaan. FINE on suosituksissaan edellyttänyt myös asiakkaalta tarkkaavaisuutta ja osaamista.