Vielä ideoita verkkopankin tietoturvan kehittämiseen (4)

Tämä on neljäs ja tällä erää viimeinen kirjoitukseni todennuksen ja verkkopankkien turvallisuudesta. 

Pistää vihaksi, että huijarit tyhjentävät vanhusten elinikäiset säästöt, eikä kukaan voi tehdä mitään. Tuoreen Ylen uutisen mukaan poliisi saa 200-500 ilmoitusta kuukaudessa kalasteluista, joissa menetetään 2-4 miljoonaa euroa.

Tuore esimerkki on Kokkolasta, jossa 88-vuotiaan lääkärin tililtä vietiin 88 409,09 euroa. Uhri oli erehtynyt syöttämään S-pankin tunnukset kalastelusivulle, jolloin rosvot saivat asennettua verkkopankin omaan puhelimeensa ja tyhjensivät tilin yön aikana yli sadalla erillisellä siirrolla. Eikä pankki huomannut mitään.

Uuden päätelaitteen käyttöönotto ja heti seuraavana yönä tilin tyhjentäminen on niin selvä merkki rikoksesta kuin vain voi olla. Sen tunnistamiseen ei tarvita edes tekoälyä, muutama IF-lause riittää. Jos pankin valvonta ei  havaitse näin räikeää tekoa, pankki on itse toiminut huolimattomasti.

Miksi uhri hyväksyi rikollisten tunnistuspyynnön? Hän oli samaan aikaan itse asioimassa verkkopankissa, jolloin huijauspyynnöt sekoittuivat aitoihin kuittauksiin. Tällainen moka voi sattua kenelle tahansa.

On helppo neuvoa pankkeja ja vaatia niiltä parempia suojauksia tai tekoälyn tehokkaampaa käyttöä. Teknisten muutosten tekeminen pankin järjestelmiin on kuitenkin iso ja raskas operaatio. Muutokset tuottavat aina vääriä hälytyksiä ja kuormittavat asiakaspalvelua. Siksi pankit pyrkivät viimeiseen asti ratkaisemaan ongelmat sisäistä valvontaa tehostamalla. Se ei vain näytä riittävän.

Huijaukset ja niiden yritykset kuormittavat jo nykyisellään raskaasti pankkien asiakaspalvelua. Lisäksi parempien suojausten tarjoaminen, vaikka asiakkaat eivät niitä ottaisikaan, olisi pankeille keino välttää omaa vastuuta tyyliin ”me tarjosimme kyllä tällaista viivästettyä tilimuotoa/turvatiliä, mutta asiakas ei sitä ottanut”. Operaattorit ovat tehneet turvallisuudesta kilpailuedun, pankkien pitäisi toimia samoin.

Olen esitellyt lukuisia ideoita turvallisuuden parantamiseen: viivästetyt siirrot, hyväksynnän vaatiminen uhrin sijaan luottohenkilöltä, ulkomaanestot, toimintaan kytketyt värit ja äänimerkit, puhelinsoiton vaatiminen asennettaessa mobiilipankkiohjelmaa uuteen päätelaitteeseen, pankkien yhteinen 24/7 puhelinpalvelu ja niin edelleen. Näitä voisi keksiä lisääkin, jos pankit kertoisivat, miten onnistuneet huijaukset tapahtuvat. Turvallisuuteen ja yksityisyydensuojaan vedoten tapauksia ei avata, joten tiedollinen ylivoima ja velvollisuus toimia jää niille itselleen. Me ulkopuoliset voimme vain spekuloida.

Spekuloidaan siis. Voisiko pankkitunnusten protokollaan jotenkin lisätä tiedon siitä, mistä ip-osoitteesta yhteys on lähtenyt tai mihin url-osoitteeseen se liittyy? Pankkitunnusten luvallisilla hyödyntäjillä pitää olla sopimus pankin kanssa, koska he maksavat jokaisesta tunnistamisesta. Auttaisiko tämä tunnistamaan kalastelusivuja? 

Myös käyttäjällä on vastuu rahojensa turvallisuudesta. Miksi ihmiset seisottavat isojakin rahasummia tavallisilla tileillä, jotka on helppo yhdistää ja siirtää ulos? Mikään siirtoraja tai ulkomaanesto ei auta, jos asiakas voi itse asettaa ja rosvo yhtä helposti poistaa sen. Pakollisen aikaviiveen lisääminen näihin ei olisi pankille vaikeaa.

Vaarassa ovat varsinkin vanhemmat ihmiset, joille on kertynyt eläkesäästöjä. Mikä olisi sellainen turvatili, johon varat voisi siirtää ilman pelkoa tyhjennyksestä? Kaikki eivät halua sijoittaa säästöjään osakkeisiin tai rahastoihin, joiden arvo voi myös laskea. Rahojen palautus turvatililtä kestäisi esimerkiksi kolme pankkipäivää, mikä oli pankin oman edun mukaista.

Voisiko pankki oma-aloitteisesti tarjota turvatiliä iäkkäämmille asiakkailleen, joilla on esimerkiksi yli 10 000 euroa tilillä? Tai voisiko osan tavallisen käyttötilin varoista jäädyttää niin, ettei uhri itse voisi tyhjentää kaikkia varoja, ei edes usealla pienellä siirrolla? Jonkinlainen minimisaldon vaatimus, siis. Tässäkin olisi tuotekehityksen paikka.

("Turvatili" -nimitys on tässä tarkoituksella, mutta sekaannusvaaran vuoksi pankin ei itse kannata nimetä turvatiliään juuri näin.)

< Edellinen kirjoitus

Mobiilivarmenne pankkitunnuksilla on riski ja käytettävyys kaipaa muutenkin kohentamista (3)

Tietoturvaviranomaiset suosittelevat mobiilivarmenteen käyttöä asiointipalveluihin ja pankkitunnusten rajoittamista vain pankkikäyttöön. Ajatus on hyvä, mutta silloin mobiilivarmenteen soisi olevan pomminvarma ja kaikissa tilanteissa helppokäyttöinen. Vielä ei olla sillä tasolla.

Hyvä puoli on, että sim-kortilla oleva varmenne toimii käyttöjärjestelmästä riippumatta ja jopa vanhalla Nokian peruspuhelimella. Sitä ei tarvitse - eikä voikaan - päivittää. Huono puoli on, että toiminta Android-maailmassa voi vaihdella valmistajasta riippuen. Esimerkiksi oma Android-puhelimeni ei näytä tapahtumatunnistetta lainkaan.

Suomessa varmenteen teknisestä toteutuksesta vastaa Telia, jonka palvelua DNA ja Elisa myyvät myös omiin liittymiinsä. Peruskäyttäjä hämmentyy nähdessään toisen operaattorin kirjautumisaikkunan asioidessaan. Ehkä samasta syystä johtuvat myös ajoittaiset virheilmoitukset. Pankkitunnusten etuna on se, että ne toimivat pomminvarmasti - onhan kyse pankkien omista rahoista (no, pankkien palveluissakin on katkoksia, mutta syy ei ole tunnistamistekniikassa).

"Odottamaton virhe" - tätä ei pankkitunnuksilla tapahdu.

Edullisiin Moi-liittymiin tai prepaid-liittymiin mobiilivarmennetta ei saa lainkaan. Telian omissa Dot-liittymissä ei puolestaan toimi mobiilivarmenteen häiriönestokoodi.

Niin, häiriönestokoodi. Sen asettaminen on tarpeettoman hankalaa. Telian ohjeen mukaan koodi asetetaan tekstiviestillä numeroon 15011 ja avainsanalla ESTO. "Koodi voi olla 3–10 merkkiä pitkä numeroista ja kirjaimista koostuva jono", mutta jättää avoimeksi ovatko numerot pakollisia. Ääkköskielto on ymmärrettävä.

DNA:n mobiilivarmenneohje neuvoo asettamaan estokoodin nettisivulta mobiilivarmenne.dna.fi. Tässä  ohjeessa "Koodin tulee alkaa kirjaimella ja sen pituus voi olla 4-8 merkkiä. Loput merkit voivat olla kirjaimia tai numeroita. Isot ja pienet kirjaimet huomioidaan." - öh, siis mitä? Ovatko numerot pakollisia vai eivät? Onko isoilla ja pienillä kirjaimilla eroa? (Ilmeisesti ei)

Elisan liittymissä häirinnänestokoodin "tulee olla 3-16 merkkiä pitkä. Ensimmäisen merkin tulee olla kirjain, ja koodin tulee sisältää myös numeroita". Tämä teksti näkyy puhelimen asetuksissa. Hämmentävästi numeroita ei ole pakko syöttää, mutta silloin estokoodi ei vain toimi. Mitään  tarkistusta ei ole eikä virheilmoitusta tule.

Elisan ohje kertoo lähettämään tekstiviestin "STKSPAM koodi" numeroon 18258. Koodin voi asettaa myös puhelimesta, Android-puhelimissa on sitä varten Elisa-niminen sim-kortin palvelujen hallintasovellus. 

Elisan sim-palvelujen hallintasovellus.

iPhone-puhelimissa se löytyy (jos vain osaa etsiä) puhelimen sim-asetuksista Mobiilidata > SIMit ensisijainen > SIM-sovellukset > Tunnusluvut > Häirinnänestokoodi ja sen jälkeen joko Aseta estokoodi tai Poista estokoodi. Vastaava asetuspolku pitäisi olla myös Android-puhelimissa, mutta omista malleistani en sitä löytänyt.

iPhonen SIM-sovellukset asetusvalikosta pääsee Tunnuslukuihin.

Tunnistusta käytettäessä kirjoitetaan oma puhelinnumero, odotetaan kunnes palvelu tarkistaa onko sim-kortilla käytössä estokoodi, kysytään sitä, syötetään se ja lopuksi kirjoitetaan pin-koodi puhelimella. Ei ihme, että nopeammat ja yksinkertaisemmat pankkitunnukset ovat yhä laajassa käytössä.

Mobiilivarmenne on voimassa viisi vuotta kerrallaan. Kun aika umpeutuu, sim-kortti pitää vaihtaa, koska sille voi asentaa vain yhden varmenteen kerrallaan. Varmenteeni vanheni ja se irtisanottiin Elisan liikkeessä, mutta nyt pitää odottaa kaksi viikkoa sopimuksen irtisanomista, ennen kuin uusi varmenne alkaa toimia. Siis kaksi viikkoa ilman tunnistuspalvelua.

Jos tämä on viranomaisten suosittelema tunnistusmenetelmä, se kaipaa vielä hiomista. Ilmeisesti on niin, ettei mobiilivarmennetta juuri käytetä maailmalla ja siksi sen tuki päätelaitteissa vaihtelee, eivätkä suomalaisetkaan operaattorit ole panostaneet siihen ihan täysillä. 

Aiemmin varmenteen käyttöönotto vaati asiointia myymälässä ja henkilöllisyyden varmistamista, mutta nykyisin sen voi aktivoida pankkitunnuksilla suoraan netistä. Tässä piilee iso riski. Jos rikollinen pääsee toimimaan uhrin puolesta pankkitunnuksilla, hän voi aktivoida mobiilivarmenteen omaan puhelimeensa ja sen jälkeen tunnistautua vahvasti uhrin nimissä. 

Varmennetta ei ole sidottu liittymän omistamiseen. Esimerkiksi puoliso voi aktivoida toisen identiteetin omaan puhelimeensa, jos pääsee tunnistautumaan kerran tämän puolesta pankkiin. Perheen sisällä tai lähipiirissä tämä ei yleensä ole ongelma. 

Käyttö on tietenkin laitonta, mutta teknisesti mahdollista. Feikkipuhelimessa on oltava liittymä, jossa varmennetta ei vielä ole. Prepaid-liittymät eivät käy, koska niihin varmennetta ei saa. 

Nordealla pankkitunnistuksen voi itse valtuuttaa uuteen puhelimeen, mutta puhelimet pitää nimetä ja alkuperäinen käyttäjä näkee, että toinenkin päätelaite on valtuutettu käyttäjäksi. Muilla pankeilla saattaa olla eri käytännöt. Myös mobiilivarmenteeseen tarvittaisiin toiminto josta näkisi, mihin sim-kortteihin oma identeetti on asennettu.

Kesällä 2022 S-pankilla oli tietoturvakatastrofi, jossa nuoret miehet pääsivät mellastamaan asiakkaiden tileillä eikä pankki aluksi uskonut saamiaan vikailmoituksia. Samassa yhteydessä tekijät onnistuivat ilmeisesti myös luomaan uusia mobiilivarmenteita ja siten varastamaan muiden identiteettejä. He tyytyivät nostamaan 60 000 euroa lainoja, mutta tilanteessa oli aineksia paljon pahempaankin.

Vahvan tunnistuksen huijaaminen tällä tavalla olisi pitänyt soittaa hälytyskelloja viranomaisissa, mutta jostain syystä asia meni ohi tavanomaisena huijausuutisena.

Lisäys 3.9.2025: Varmenteen päivittämisestä tuli parin päivän operaatio, kun myymälän asiantuntija tai chatin tekninen tuki eivät osanneet auttaa. Tieto 14 vrk odotuksesta oli virheellinen, tietokannan päivittämiseen kuluu normaalisti noin vuorokausi. Lopulta varmenne lähti toimimaan, kun valmis kuusinumeroinen PIN-koodi syötettiin puhelimen omalla Elisa-ohjelmalla eikä ohjeiden mukaan nettisivulta.

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>

Suomalainen digitunnistus sotkee tärkeän periaatteen (2)

Toinen blogiteksti liittyen digiasioinnin turvallisuuteen. 

Yksi syy pankkihuijauksiin on suomalainen digitunnistus, joka sekoittaa kaksi tärkeää periaatetta keskenään: tunnistuksen ja allekirjoituksen. Kaikki kuitataan yhdellä ja samalla PIN-koodilla, mikä avaa mahdollisuuden huijaukseen. Uhri luulee kirjautuvansa vaikkapa Omakantaan, mutta rosvo käyttääkin saamansa tunnistuksen rahansiirtoon tai mobiilipankin asentamiseen uuteen puhelimeen.

Käyttäjän tunnistaminen (todennus) ja toimenpiteen hyväksyminen (allekirjoitus) ovat kaksi aivan eri asiaa. Perinteisessä pankkitoiminnassa asiakas tunnistetaan ensin henkilöllisyystodistuksesta ja sen jälkeen rahojen siirto varmistetaan allekirjoituksella. Harva enää asioi pankissa muutoin kuin korkeintaan lainaa nostamassa, mutta periaate pätee muuallakin. Kauppakirja tai lainasopimus on pätevä vasta, kun se on molempien osapuolten allekirjoittama ja sitä ennen osapuolten henkilöllisyydet on varmistettu. 

Verkkopankin ongelma on siinä, että kaikki hoidetaan pelkällä henkilöllisyyden todentamisella. Perinteiseen tilanteeseen sovellettuna tämä tarkoittaisi sitä, että asuntokaupat voitaisiin tehdä vain todentamalla henkilöllisyys.

Jotta rahojen siirto verkkopankissa olisi turvallista, hyväksyntä pitäisi erottaa käyttäjän tunnistamisesta. Se vaatisi erillistä PIN-koodia tai kokonaan erillistä todennusohjelmaa. On helppo nähdä, miksi pankit eivät ole lähteneet tähän. Kaksi erillistä järjestelmää olisi kallis ylläpitää ja asiakkaan kannalta vaikea muistaa. Turvallisuudesta on tingitty mukavuuden ja helppokäyttöisyyden vuoksi. Se ei aikanaan ollut ongelma, mutta nyt turvallisuustilanne on aivan toinen.

Ironista on, että mobiilivarmenteessa ja varmennekortissa on erikseen allekirjoitus-PIN. Se on oikeaoppisesti pidempi (6-8 numeroa) kuin tavallinen todennus-PIN (4 numeroa), koska sitova allekirjoitus on paljon kriittisempi kuin pelkkä käyttäjän todennus. 

Käsittääkseni mobiilivarmenteen allekirjoitusta ei juuri hyödynnetä, koska varmennetta käytetään asiointipalveluissa lähinnä käyttäjän todentamiseen. Mobiilivarmenteella voi kuitenkin ottaa pikavippejä ja tehdä muita taloudellisia sitoumuksia.

Mitä pankkien sitten pitäisi tehdä? Jos kaksi PIN-koodia tai erilliset ohjelmat ovat liian hankalia, eikö pankin oma todennusohjelma voisi vaikka vaihtaa väriä tai antaa erilaiset äänimerkit riippuen siitä, ollaanko kirjautumassa palveluun (todennus) vai siirtämässä rahaa (allekirjoitus)? Väristä ja äänistä käyttäjä erottaisi tapahtumat toisistaan.

Jätän tämän idean ilmaiseksi pankkien käytettäväksi, enkä tule vaatimaan siitä IPR-oikeuksia. Digiasioinnin ja pankkien verkkotoiminnan turvaaminen on yhteinen asiamme.

---

Havainnollistan tätä vielä. Nykyisellään tilanne on tämä:

Nordea kirjautuminen verkkopankkiin.

Maksun vahvistaminen näyttää erilaiselta, mutta ei kovin paljoa:

Nordea tilisiirron vahvistaminen.

Suunnittelija on epäilemättä ollut tyytyväinen: kirjautumisen ja maksamisen vahvistusikkunat ovat aivan erilaiset. Mutta vanhempi ihminen tai kiireinen keski-ikäinen ei jaksa aina lukea tekstejä, vaan naputtelee tottuneesti PIN-koodin (tai kuittaa ilmoituksen sormenjäljellä, katseella tms. niissä pankeissa, missä se on mahdollista).

Entä jos tilisiirron vahvistaminen olisi vaikka punaisella taustalla:

Entä jos tilisiirron vahvistus olisikin punaisella värillä?

Käyttäjä havahtuisi paremmin, jos rahansiirto olisi eri värillä kuin tunnistaminen. OP-pankilla erot ikkunoissa ovat jo lähtökohtaisesti Nordeaa selkeämmät. 

OP-mobiilikirjautuminen.

Rahansiirron hyväksymisen ikkuna:

"Maksun hyväksyntä" on isolla fontilla, samoin summa näkyy selkeämmin.

Silti myös OP:n maksuikkuna olisi havainnollisempi vaikkapa punaisena:

Maksuvahvistus punaisella.

Selkeyden vuoksi myös kirjautumisikkuna voisi olla värikoodattu jollain toisella värillä.

Uhrin kannalta kaikkein vaarallisin on tilanne, jossa rosvo saa huijattua luvan asentaa mobiilipankin ohjelma omaan puhelimeensa. Sen jälkeen hän saa tilin täydellisesti hallintaansa. Voisiko tässä yhteydessä olla vielä erityinen varoitus - vaikkapa vilkkuva punainen näyttö, joka huutaisi: OLETKO NYT IHAN VARMA MITÄ OLET TEKEMÄSSÄ? On hyvin harvinaista, että mobiilipankki halutaan asentaa uuteen päätelaitteeseen. Voisi jopa vaatia, että siihen haetaan erityinen koodi puhelinpalveluun soittamalla. 

Vielä yksi asia: huomasitko, mikä oli Nordean ja OP:n lähettämä koodi? Et varmaankaan, eihän sitä kukaan katso. Suunnittelija on ajatellut, että tietenkin asiakas vertaa nettisivulla näkyvää koodia Nordean todennusohjelman koodiin (vinkki: se oli XCNL, niinpä tietysti) tai OP:n koodiin (DD88), mutta kuinka moni oikeasti tekee niin?

Miksei koodien sijaan käytetä vaikka avainsanoja, kuten "possu", "lehmä", "kuorma-auto", "viisas"... Ne kiinnittäisivät ihmisen huomion paljon paremmin kuin koodit.

Insinöörin sijaan psykologiaa, sitähän ne huijauksetkin nykyään ovat.

Muokattu 3.9.2025

< Edellinen kirjoitus tästä aiheesta.

Seuraava kirjoitus tästä aiheesta>