Τι αλλάζει στις online τραπεζικές συναλλαγές

Προ­θε­σμία 6 μηνών θα δίνει στις τρά­πε­ζες η διά­τα­ξη για τις ηλε­κτρο­νι­κές απά­τες (phishing) που πε­ρι­λαμ­βά­νε­ται σε νο­μο­σχέ­διο του υπουρ­γεί­ου Ανά­πτυ­ξης, προ­κει­μέ­νου αυτές να εφαρ­μό­σουν πρό­σθε­τα επί­πε­δα ασφα­λεί­ας κατά τις συ­ναλ­λα­γές των πε­λα­τών τους μέσω internet ή mobile banking με χρήση του τρα­πε­ζι­κού τους λο­γα­ρια­σμού ή της χρε­ω­στι­κής και πι­στω­τι­κής τους κάρ­τας.

Η εφαρ­μο­γή πρό­σθε­των επι­πέ­δων ασφα­λεί­ας θα δώσει τη δυ­να­τό­τη­τα στις τρά­πε­ζες να απαλ­λα­γούν από την ευ­θύ­νη να απο­ζη­μιώ­νουν τον πε­λά­τη τους για ποσά άνω των 1.000 ευρώ που θα υπε­ξαι­ρού­νται από τους λο­γα­ρια­σμούς ή τα μέσα πλη­ρω­μών που χρη­σι­μο­ποιούν, όπως οι χρε­ω­στι­κές ή πι­στω­τι­κές κάρ­τες κατά τη διε­νέρ­γεια μιας ηλε­κτρο­νι­κής συ­ναλ­λα­γής, ακόμη και στις πε­ρι­πτώ­σεις βα­ριάς αμέ­λειας. Η προ­θε­σμία θα τεθεί σε ισχύ από την ψή­φι­ση της σχε­τι­κής διά­τα­ξης στην οποία το υπουρ­γείο Ανά­πτυ­ξης επέ­μει­νε στη συ­νά­ντη­ση που έγινε την Πα­ρα­σκευή με το προ­ε­δρείο της Ελ­λη­νι­κής Ενω­σης Τρα­πε­ζών και βάσει της οποί­ας οι τρά­πε­ζες θα πρέ­πει να απο­ζη­μιώ­νουν τους πε­λά­τες τους για την απώ­λεια χρη­μά­των άνω των 1.000 ευρώ που είναι απο­τέ­λε­σμα ηλε­κτρο­νι­κής απά­της από αμέ­λεια.

Πρα­κτι­κά η διά­τα­ξη του υπουρ­γεί­ου Ανά­πτυ­ξης θα υπο­χρε­ώ­σει ου­σια­στι­κά τις τρά­πε­ζες να προ­σαρ­μο­στούν τα­χύ­τε­ρα στο 3 factors authentication, δη­λα­δή την υπο­χρέ­ω­ση να πι­στο­ποιούν μια συ­ναλ­λα­γή με 3 κρι­τή­ρια αντί των 2 που προ­βλέ­πο­νται σή­με­ρα, δη­λα­δή του pin και κω­δι­κού μιας χρή­σης (OTP – one time password) ή του password και του OTP, που είναι πλέον απα­ραί­τη­το για κάθε συ­ναλ­λα­γή, έτσι ώστε οι συ­ναλ­λα­γές αυτές να θε­ω­ρού­νται «εξου­σιο­δο­τη­μέ­νες».

Το ξά­φρι­σμα των λο­γα­ρια­σμών και η άντλη­ση των στοι­χεί­ων των προ­σω­πι­κών λο­γα­ρια­σμών με «εξου­σιο­δο­τη­μέ­νο» τρόπο μέσω email (phishing), sms (smishing) ή τη­λε­φώ­νου (vishing) λαμ­βά­νει πλέον μορφή μά­στι­γας και, σύμ­φω­να με στοι­χεία που δη­μο­σιεύ­ουν με­γά­λοι ορ­γα­νι­σμοί στο εξω­τε­ρι­κό, υπερ­βαί­νει τις πα­λιές με­θό­δους υπο­κλο­πής των στοι­χεί­ων, π.χ., της κάρ­τας. Οι επι­τή­δειοι δεν χρη­σι­μο­ποιούν μόνο τη μέ­θο­δο της απο­στο­λής πα­ρα­πλα­νη­τι­κών emails ή sms μέσω των οποί­ων προ­τρέ­πουν τους χρή­στες να «κλι­κά­ρουν» ένα link για να με­τα­φερ­θούν στην τρά­πε­ζά τους και να λύ­σουν το πρό­βλη­μα, που συ­νή­θως είναι το μπλο­κά­ρι­σμα του λο­γα­ρια­σμού τους. Εξαι­ρε­τι­κά δια­δε­δο­μέ­νη το τε­λευ­ταίο διά­στη­μα είναι η πρα­κτι­κή τού να παίρ­νουν απευ­θεί­ας τη­λέ­φω­νο τον ανυ­πο­ψί­α­στο πο­λί­τη και, πα­ρι­στά­νο­ντας δη­μο­σί­ους λει­τουρ­γούς ή ακόμη και φο­ρο­τε­χνι­κούς, που ισχυ­ρί­ζο­νται ότι μπο­ρούν να βοη­θή­σουν στην υπο­βο­λή του αι­τή­μα­τος για ένα επί­δο­μα, κα­τα­φέρ­νο­ντας έτσι να απο­σπά­σουν τα στοι­χεία του λο­γα­ρια­σμού του. Λι­γό­τε­ρο συ­νη­θι­σμέ­νη αλλά όχι σπά­νια πρα­κτι­κή είναι η υπο­κλο­πή της sim κάρ­τας (sim swap), πρα­κτι­κή μέσω της οποί­ας απο­κτούν τη δυ­να­τό­τη­τα να ελέγ­χουν τον αριθ­μό του κι­νη­τού και να λαμ­βά­νουν κω­δι­κούς για οποιον­δή­πο­τε από τους λο­γα­ρια­σμούς του κα­τό­χου του κι­νη­τού.

Αντι­μέ­τω­πο με πλη­θώ­ρα πα­ρό­μοιων κα­ταγ­γε­λιών το υπουρ­γείο Ανά­πτυ­ξης συ­μπε­ριέ­λα­βε διά­τα­ξη σε νο­μο­σχέ­διο που υπο­χρέ­ω­νε τις τρά­πε­ζες να ανα­λά­βουν να απο­ζη­μιώ­νουν τους πε­λά­τες που πέ­φτουν θύ­μα­τα πα­ρό­μοιων πε­ρι­στα­τι­κών απά­της για το σύ­νο­λο του ποσού που υπε­ξαι­ρεί­ται άνω των 1.000 ευρώ. Η διά­τα­ξη δη­μιούρ­γη­σε κύμα ανη­συ­χί­ας και δια­μαρ­τυ­ρί­ας από τις τρά­πε­ζες που προ­έ­βαλ­λαν –το βά­σι­μο– επι­χεί­ρη­μα ότι κάτι τέ­τοιο όχι απλώς δεν θα μεί­ω­νε τα πε­ρι­στα­τι­κά απά­της, αλλά αντί­θε­τα θα άνοι­γε τον δρόμο σε επι­τή­δειους ώστε να «κά­νουν επάγ­γελ­μα» πα­ρό­μοιες μορ­φές υπε­ξαί­ρε­σης, γνω­ρί­ζο­ντας ότι η τρά­πε­ζα θα τους απο­ζη­μιώ­σει απε­ριό­ρι­στα, δη­λα­δή για το σύ­νο­λο της «απώ­λειας», άνω του 1.000 ευρώ.

Μια τέ­τοια «ανε­ξέ­λεγ­κτη» επι­βά­ρυν­ση των τρα­πε­ζών θα λει­τουρ­γού­σε ως τρο­χο­πέ­δη στην πα­ρα­τη­ρού­με­νη διεύ­ρυν­ση των ηλε­κτρο­νι­κών συ­ναλ­λα­γών και δεν απο­κλεί­ε­ται να οδη­γού­σε τις τρά­πε­ζες να επι­βά­λουν όρια στο ύψος των ηλε­κτρο­νι­κών συ­ναλ­λα­γών, όπως οι αγο­ρές μέσω Δια­δι­κτύ­ου, προ­κει­μέ­νου να απο­τρα­πεί η μο­νο­με­ρής ανά­λη­ψη του κό­στους της υπε­ξαί­ρε­σης ακόμη και εάν ο κα­τα­να­λω­τής λει­τουρ­γού­σε με βαριά αμέ­λεια, δη­λα­δή έδινε τους κω­δι­κούς του σε κά­ποιον, που από την άλλη γραμ­μή της τη­λε­φω­νι­κής συ­σκευ­ής ισχυ­ρι­ζό­ταν ότι ήταν φο­ρο­τε­χνι­κός ή υπάλ­λη­λος του ΕΦΚΑ που στόχο έχει να κα­θο­δη­γή­σει τον ανυ­πο­ψί­α­στο συ­ντα­ξιού­χο στην υπο­βο­λή ενός αι­τή­μα­τος. Εξί­σου ανη­συ­χη­τι­κή θα ήταν και η προ­ο­πτι­κή του να πρέ­πει να σπά­σει κά­ποιος μια συ­ναλ­λα­γή π.χ. των 2.000, των 3.000 ευρώ κ.ο.κ. σε δύο, τρεις ή πε­ρισ­σό­τε­ρες πλη­ρω­μές προ­κει­μέ­νου να αγο­ρά­σει μια ηλε­κτρι­κή συ­σκευή από το Δια­δί­κτυο. Αντί­στοι­χα, σε ου­σια­στι­κή κα­τάρ­γη­ση των με­τα­φο­ρών χρη­μά­των θα μπο­ρού­σε να οδη­γή­σει η υπο­χρέ­ω­ση των τρα­πε­ζών να επι­κοι­νω­νούν με κάθε πε­λά­τη τους που θα ήθελε να με­τα­φέ­ρει χρή­μα­τα άνω των 1.000 ευρώ προ­κει­μέ­νου να απο­κλει­στεί η πι­θα­νό­τη­τα υπε­ξαί­ρε­σης από τρίτο και η επι­βά­ρυν­ση της τρά­πε­ζας.

Οι λύ­σεις που εξε­τά­ζουν οι τρά­πε­ζες και θα πρέ­πει να εφαρ­μο­στούν εντός εξα­μή­νου είναι τε­χνι­κές και προ­βλέ­πουν πρό­σθε­τα επί­πε­δα ασφα­λεί­ας κατά τη διε­νέρ­γεια μιας ηλε­κτρο­νι­κής συ­ναλ­λα­γής, πέραν του password ή του κω­δι­κού μιας χρή­σης, δη­λα­δή του OTP. Εναλ­λα­κτι­κή λύση μπο­ρεί να είναι η χρήση ενός πρό­σθε­του OTP, η χρήση ενός κω­δι­κού QR Code που θα έρ­χε­ται στο κι­νη­τό όταν κά­ποιος επι­χει­ρεί μια συ­ναλ­λα­γή μέσω internet ή mobile banking, η επα­λήλ­θε­ση του IBAN (IBAN verification) ή το confirmation of Payee, που απο­τε­λεί την πλέον σύγ­χρο­νη μέ­θο­δο για να δια­σφα­λί­σει κά­ποιος ότι τα χρή­μα­τα που στέλ­νει μέσω τρα­πε­ζι­κού λο­γα­ρια­σμού θα φτά­σουν πράγ­μα­τι στο IBAN του δι­καιού­χου και δεν θα οδη­γη­θούν σε έναν άγνω­στο τρα­πε­ζι­κό λο­γα­ρια­σμό, ενός προ­σώ­που που λει­τουρ­γεί ως «βα­πο­ρά­κι» μιας το­πι­κής ή διε­θνούς σπεί­ρας που βάζει χέρι σε τρα­πε­ζι­κούς λο­γα­ρια­σμούς ανύ­πο­πτων κα­τα­να­λω­τών.

Το IBAN verification ή το confirmation of Payee (εφαρ­μό­ζε­ται ήδη σε χώρες όπως η Με­γά­λη Βρε­τα­νία) δεν είναι παρά η επα­λή­θευ­ση τη στιγ­μή της συ­ναλ­λα­γής, ότι ο λο­γα­ρια­σμός στον οποίο κα­τευ­θύ­νο­νται τα χρή­μα­τα ανή­κει πράγ­μα­τι σε αυτόν που τα στέλ­νου­με π.χ. στο φρο­ντι­στή­ριο που επι­θυ­μού­με ή στον επαγ­γελ­μα­τία που θέ­λου­με να πλη­ρώ­σου­με και όχι σε κά­ποιο εξω­τι­κό λο­γα­ρια­σμό, του οποί­ου τον κά­το­χο δεν εί­μα­στε σε θέση να εξα­κρι­βώ­σου­με την κρί­σι­μη στιγ­μή της συ­ναλ­λα­γής. Σή­με­ρα μια πε­ριο­ρι­σμέ­νη έν­δει­ξη με τα αρ­χι­κά και τε­λι­κά γράμ­μα­τα του δι­καιού­χου ενός λο­γα­ρια­σμού (π.χ. ΑΑ*** ΒΒ***) πα­ρέ­χο­νται μόνο εάν η συ­ναλ­λα­γή γί­νε­ται σε λο­γα­ρια­σμό της ίδιας τρά­πε­ζας και όχι εάν στεί­λου­με χρή­μα­τα από την τρά­πε­ζα Α στην τρά­πε­ζα Β. Η τε­χνι­κή του confirmation of Payee επι­τρέ­πει να εμ­φα­νί­ζε­ται ευ­κρι­νώς πριν από την εκτέ­λε­ση της συ­ναλ­λα­γής το όνομα ή η επω­νυ­μία –εάν πρό­κει­ται για επι­χεί­ρη­ση– του δι­καιού­χου του λο­γα­ρια­σμού, πε­ριο­ρί­ζο­ντας έτσι τη δυ­να­τό­τη­τα απά­της ακόμη και όταν ο συ­ναλ­λασ­σό­με­νος έχει «αφε­λώς» δώσει όχι μόνο τα στοι­χεία του λο­γα­ρια­σμού, αλλά και το password ή το OTP που έστει­λε η τρά­πε­ζα. Εάν παρ’ όλα αυτά υπο­πέ­σει σε τρι­πλό σφάλ­μα, δη­λα­δή πα­ρα­δώ­σει και τα τρία μο­να­δι­κά κρι­τή­ρια που η τρά­πε­ζα πα­ρα­χώ­ρη­σε για τη δια­σφά­λι­ση της συ­ναλ­λα­γής, τότε ουδέν λάθος θα ανα­γνω­ρί­ζε­ται μετά την απο­μά­κρυν­ση από το τα­μείο.

Πηγή kathimerini.gr