Iäkäs, 77-vuotias rouva joutui verkkopankissa huijauksen uhriksi ja menetti 4800 euroa rahaa. Kun pankki kieltäytyi korvaamasta menetystä, uhri vei asian oikeuteen ja hävisi, jolloin mokan hinnaksi tuli ainakin 45 000 euroa. Kyseessä on tietääkseni ensimmäinen kerta, kun asiakkaan ja pankin välistä tietoturvavastuuta on käsitelty oikeudessa, joten asialla on suurta periaatteellista merkitystä.
Olin yksi oikeuden kuulemista asiantuntijatodistajista, joten seuraavat kommentit perustuvat vain uutisen julkisiin tietoihin sekä Nordean verkkopankin jo 1980-luvulla alkaneeseen omaan asiakkuuteeni, ja kommentoin asiaa vain yleisellä tasolla.
Uutisesta päätellen kyseessä ei ollut ihan peruskalastelu, koska huijarit olivat saaneet haltuunsa useita tunnuslukuja ja onnistuivat kiertämään myös tekstiviestivahvistuksen. Lopputuloksena tililtä hävisi tuhansia eruoja.
Oikeuden päätöksen mukaan "rouvan menettely oli pankin sopimusehtojen vastaista ja törkeän huolimatonta".
Mikä sitten on törkeää huolimattomuutta? Esimerkiksi tunnusluvun säilyttäminen samassa lompakossa pankkikortin kanssa, jolloin lompakkovaras voi tyhjentää koko tilin. Selvä se.
Mutta kun verkkohuijari iskee, mihin vedetään huolimattomuuden ja törkeän huolimattomuuden raja? Etenkin, jos uhri on iäkäs, eikä tunne verkkoon liittyviä vaaroja. Entä jos koneella on haittaohjelma? Miten koneen puhtaus voidaan varmistaa poliisitutkinnassa kuukausia myöhemmin? Minkälaista huolellisuutta vaaditaan, jotta pankki korvaisi haittaohjelman viemät rahat?
Entä jos joku soittaa poliiksi esittäytyen ja pyytää tunnuslukuja? Valepoliiseista on kuluvan vuoden aikana tehty yli 500 rikosilmoitusta, rahaa on viety satojatuhansia euroja. Ovatko kaikki nämäkin uhrit menetelleet törkeän huolimattomasti?
Asiakkaan törkeän huolimattomuuden kynnys tulisi asettaa korkealle, ja vastuun olla ensisijaisesti pankilla. Se hyötyy sähköisestä itsepalvelusta eniten ja sillä on paras tieto uhkakuvista sekä tekniikka niiden torjumiseen. Pankkien pitäisi ensin tehdä kaikki mahdollinen tietoturvan hyväksi, ja vasta sen jälkeen voidaan puhua uhrin velvollisuuksista.
Ovatko pankit tehneet kaiken mahdollisen tietoturvan varmistamiseksi? Yksi tapa on vaatia tekstiviestivahvistus isoista tilisiirroista. Puhelinnumeron voi kuitenkin vaihtaa netissä. Nordealla vaihdosta lähtee ilmoitus alkuperäiseen numeroon, mutta kuten valepoliisien soitot ovat osoittaneet, social engineer -tekniikoilla ilmoituksen merkitys on mitätöitävissä.
Turvallisempaa olisi, jos puhelinnumeron voisi vaihtaa vain asioimalla pankissa henkilökohtaisesti. Puhelinnumeroa ei ole sidottu operaattoriin, joten numeron vaihtuminen on harvinainen tapahtuma. Kaiken lisäksi Nordea sallii ison tilisiirron heti numeron vaihtamisen jälkeen, mikä on erittäin epäilyttävää, ja pitäisi laukaista hälytyksen. Luottokorttiyhtiöt ovat tehneet fraud detection -tekniikoista melkein taidetta, pankkien pitäisi pystyä samaan.
Varsinkin iäkkäiden ihmisten kohdalla pankin vastuu turvallisuudesta korostuu. Tässä tapauksessa vaarana on, että tieto yli 45 000 euron menetyksestä kääntyy verkkopankkeja vastaan. Vai laskevatko pankit jo sen varaan, ettei ihmisillä ole vaihtoehtoja? Uskotko sinä, että omat vanhempasi tai isovanhempasi pystyvät pitämään puolensa verkkohuijareita vastaan?
Ensi vuodesta alkaen asiakkailla on vaihtoehtoja. Laskut voi maksaa vaikka Facebookin tai Applen kautta. Tietoturvasta tulee todellinen kilpailutekijä. Jos kotimaiset pankit häviävät tietoturvan mielikuvakilpailun, ne menettävät asiakkaita.
Yllättäen pelko tunnisteiden joutumisesta vääriin käsiin on suurin 45-54-vuotiaiden ja toisaalta 25-34-vuotiaiden joukossa. Vähiten sitä pelkäävät 65-74-vuotiaat. (Lähde: Verkkopankin ja verkkopankkitunnisteiden käyttö 2015, http://www.finanssiala.fi/materiaalipankki/tutkimukset/Sivut/default.aspx).
Suomalaisia verkkopankkeja pidetään erittäin turvallisina, mutta laakereilla ei ole vara levätä.
Sain siitä muistutuksen taas tänään, kun Nordean lähettämä pankkikortti kolahti postilaatikkoon. Kortti tuli käyttövalmiina tavallisessa kirjekuoressa, jossa näkyi vielä Nordean logo. Jos varas olisi iskenyt laatikkoon, hän olisi saanut käyttövalmiin kortin kaikkine numeroineen, ja voinut vielä allekirjoittaa sen itse. Edellinen kortti tuli samalla tavalla, mutta uskoin Nordean jo muuttaneen käytäntöään turvallisemmaksi. Ei ollut. Pankissa ei edes kysytty, halusinko kortin kotiin vai tulisinko hakemaan konttorista.
Kortin lähettäminen suoraan kotiin on käyttäjäystävällistä, mutta tietoturvan kannalta kyseenalaista, etenkin kun postilaatikoihin ja postinkantajien kärryihin murtaudutaaan jatkuvasti. Vähintäänkin kortti pitäisi kuitata vastaanotetuksi verkkopankissa ennen kuin sitä voi käyttää.
Lisäys 12.11.2017: Sofort kysyy pankkitunnuksia aivan laillisen maksun yhteydessä. Asiakkaalle tulee yhä vaikeammaksi erottaa lailliset ja laittomat palvelut toisistaan.
Olin yksi oikeuden kuulemista asiantuntijatodistajista, joten seuraavat kommentit perustuvat vain uutisen julkisiin tietoihin sekä Nordean verkkopankin jo 1980-luvulla alkaneeseen omaan asiakkuuteeni, ja kommentoin asiaa vain yleisellä tasolla.
Uutisesta päätellen kyseessä ei ollut ihan peruskalastelu, koska huijarit olivat saaneet haltuunsa useita tunnuslukuja ja onnistuivat kiertämään myös tekstiviestivahvistuksen. Lopputuloksena tililtä hävisi tuhansia eruoja.
Oikeuden päätöksen mukaan "rouvan menettely oli pankin sopimusehtojen vastaista ja törkeän huolimatonta".
Mikä sitten on törkeää huolimattomuutta? Esimerkiksi tunnusluvun säilyttäminen samassa lompakossa pankkikortin kanssa, jolloin lompakkovaras voi tyhjentää koko tilin. Selvä se.
Mutta kun verkkohuijari iskee, mihin vedetään huolimattomuuden ja törkeän huolimattomuuden raja? Etenkin, jos uhri on iäkäs, eikä tunne verkkoon liittyviä vaaroja. Entä jos koneella on haittaohjelma? Miten koneen puhtaus voidaan varmistaa poliisitutkinnassa kuukausia myöhemmin? Minkälaista huolellisuutta vaaditaan, jotta pankki korvaisi haittaohjelman viemät rahat?
Entä jos joku soittaa poliiksi esittäytyen ja pyytää tunnuslukuja? Valepoliiseista on kuluvan vuoden aikana tehty yli 500 rikosilmoitusta, rahaa on viety satojatuhansia euroja. Ovatko kaikki nämäkin uhrit menetelleet törkeän huolimattomasti?
Asiakkaan törkeän huolimattomuuden kynnys tulisi asettaa korkealle, ja vastuun olla ensisijaisesti pankilla. Se hyötyy sähköisestä itsepalvelusta eniten ja sillä on paras tieto uhkakuvista sekä tekniikka niiden torjumiseen. Pankkien pitäisi ensin tehdä kaikki mahdollinen tietoturvan hyväksi, ja vasta sen jälkeen voidaan puhua uhrin velvollisuuksista.
Ovatko pankit tehneet kaiken mahdollisen tietoturvan varmistamiseksi? Yksi tapa on vaatia tekstiviestivahvistus isoista tilisiirroista. Puhelinnumeron voi kuitenkin vaihtaa netissä. Nordealla vaihdosta lähtee ilmoitus alkuperäiseen numeroon, mutta kuten valepoliisien soitot ovat osoittaneet, social engineer -tekniikoilla ilmoituksen merkitys on mitätöitävissä.
Turvallisempaa olisi, jos puhelinnumeron voisi vaihtaa vain asioimalla pankissa henkilökohtaisesti. Puhelinnumeroa ei ole sidottu operaattoriin, joten numeron vaihtuminen on harvinainen tapahtuma. Kaiken lisäksi Nordea sallii ison tilisiirron heti numeron vaihtamisen jälkeen, mikä on erittäin epäilyttävää, ja pitäisi laukaista hälytyksen. Luottokorttiyhtiöt ovat tehneet fraud detection -tekniikoista melkein taidetta, pankkien pitäisi pystyä samaan.
Varsinkin iäkkäiden ihmisten kohdalla pankin vastuu turvallisuudesta korostuu. Tässä tapauksessa vaarana on, että tieto yli 45 000 euron menetyksestä kääntyy verkkopankkeja vastaan. Vai laskevatko pankit jo sen varaan, ettei ihmisillä ole vaihtoehtoja? Uskotko sinä, että omat vanhempasi tai isovanhempasi pystyvät pitämään puolensa verkkohuijareita vastaan?
Ensi vuodesta alkaen asiakkailla on vaihtoehtoja. Laskut voi maksaa vaikka Facebookin tai Applen kautta. Tietoturvasta tulee todellinen kilpailutekijä. Jos kotimaiset pankit häviävät tietoturvan mielikuvakilpailun, ne menettävät asiakkaita.
 |
| Iäkkäät eivät pelkää tunnisteiden joutumista vääriin käsiin. |
Suomalaisia verkkopankkeja pidetään erittäin turvallisina, mutta laakereilla ei ole vara levätä.
 |
| Kuinka turvallista on lähettää uusi luottokortti postissa niin, että pankin logo näkyy? |
Kortin lähettäminen suoraan kotiin on käyttäjäystävällistä, mutta tietoturvan kannalta kyseenalaista, etenkin kun postilaatikoihin ja postinkantajien kärryihin murtaudutaaan jatkuvasti. Vähintäänkin kortti pitäisi kuitata vastaanotetuksi verkkopankissa ennen kuin sitä voi käyttää.
Lisäys 12.11.2017: Sofort kysyy pankkitunnuksia aivan laillisen maksun yhteydessä. Asiakkaalle tulee yhä vaikeammaksi erottaa lailliset ja laittomat palvelut toisistaan.