Bankowość internetowa

[#1]

Dlaczego ING nie dba o bezpieczeństwo środków niestosując żadnej weryfikacji podczas przelewów, nawet tych wysokokwotowych?

Mam konta we wszystkich dużych bankach w PL i absolutnie każdy wymaga potwierdzenia wysłanego przelewu, w moim wypadku jako że instaluję aplikacje każdego z banku to każdy przelew muszę zatwierdzać w aplikacji (wyjątek to  odbiorca zaufany).

Dodatkowo w innych bankach wysyłając przelew wysokokwotowy często są stosowane dodatkowe środki bezpieczeństwa, czy to telefon w celu potwierdzenia przelewu, czy to blokada przelewu do czasu  potwierdzenia dyspozycji samemu dzwoniąc na infolinię, czy np wysłanie SMS z informacją, że wysłany został przelew na dużą kwotę i jeśli to nie ty natychmiast dzwoń na infolinię.

Przelewy robiłem w różnych bankach i na prawdę każdy wymagał potwierdzeń. A ING ? Przelew poszedł bez niczego. I o ile  jak wysyłam przelew na kilka stówek to jeszcze jakoś ujdzie.  Ale przelewy typu 100 000 zł bez ŻADNEJ autoryzacji ? Po prostu klikasz przelew, wyskakuje okno że dodatkowa autoryzacja nie jest wymaga. I pyk, puste konto. Ze strony ING zero autoryzacji.

Przecież potwierdzenie przez SMS czy bezpieczniejsze potwierdzenie w aplikacji banku to podstawa. Dzięki temu w trakcie wysyłania przelewu mamy dodatkową możliwość sprawdzić czy wszystkie dane się zgadzają (np w przypadku zainfekowania komputera wirus może podmienić w tle numer konta, weryfikując go w aplikacji banku mamy jakąś możliwość to sprawdzić).  Bank ma też większą pewność że to na pewno właściciel wysyła ten przelew, a nie np ktoś z dostępem zdalnym do komputera.

Jak to jest, że na samym początku jak tylko założyłem konto to z byle ***ołą typu BLIK na 5 zł musiałem przepisywać dodatkowo kody SMS i wszystko autoryzować PIN-em w aplikacji. A obecnie już nie pamiętam ile miesięcy temu ING cokolwiek chciało potwierdzać przy przelewie! Wszystko przechodzi z komunikatem, że dodatkowa autoryzacja nie jest wymagana...   Gdzie tu jakieś bezpieczeństwo ?

Dobrze, że ING chociaż dodało klucze U2F do logowania z którego oczywiście korzystam. Bo nie wyobrażam sobie takiej sytuacji gdyby jeszcze brakowało weryfikacji dwuetapowej przy logowaniu i braku autoryzacji przy przelewie...

Obecnie jedyny ratunek (poza ucieczką z ING) to ustawienie bardzo niskich limitów przelewu. Wtedy przed wysłaniem przelewu na większą kwotę trzeba zmienić limit a to już w moim wypadku wymagało przepisania kodu SMS. 

PS: Na czacie konsultanci tłumaczyli to jakimś algorytmem który nie zawsze prosi o weryfikacje.  Tylko jak to jest, że w każdym innym banku przelew zawsze wymaga potwierdzenia w aplikacji / kod sms (wyjątek odbiorca zaufany), a w ING bez niczego "puszcza" takie przelewy ? Dodam, że w ING nigdy na moim koncie nie było podobnych działań i przelewów na takie kwoty jak dzisiaj... Aż byłem w szoku, że w ING zalogowanie się do bankowości www, zwiększenie limitu i wysłanie przelewu wysokokwotowego nie wzbudza żadnej reakcji systemów bezpieczeństwa (a tą całą weryfikacje behawioralna mam aktywną).

[#2]

Prosimy, skontaktuj się z nami na czacie w Moim ING. Nasi specjaliści przyjmą dla Ciebie odpowiednie zgłoszenie i sprawdzimy to. Niestety, tutaj nie mamy wglądu w szczegóły

[#3]

Niestety na reklamacje już odpowiedzieliście. Napisaliście to samo co konsultanci na czacie, macie jakiś super świetny algorytm i "jak ryzyko jest niskie" to nawet przy przelewach wysokokwotowych dodatkowa autoryzacja nie jest wymagana.

Absolutnie wszystkie banki z których korzystałem (czyli generalnie wszystkie duże banki w PL) wymagają potwierdzenia żeby wysłać przelew.   Tylko ING ma jakiś "super świetny algorytm" który uważa że wysłanie 100 000 na koncie kl indywidualnego w momencie gdy w historii nigdy wcześniej nie było takich akcji to operacja niskiego ryzyka. 

Może i to rozwiązanie jest wygodne, ale na pewno z bezpieczeństwem nie ma to nic wspólnego.

Oczywiście pieniądze dotarły do odbiorcy bez żadnych problemów, ale każdemu kto zastanawia się czy przetrzymywać większą kwotę w ING proponuje się zastanowić czy chce polegać na banku który w większości wypadków nie wymaga ŻADNEJ autoryzacji przy przelewie.

Przykładowo  damy się namówić oszustowi na zainstalowanie aplikacji do dostępu zdalnego na komputerze, zalogujemy się za namową oszusta do bankowości www i teraz tak w ING taki oszust może normalnie wysłać przelew i od razu nas okraść.

W każdym innym banku taka operacja wymaga potwierdzenia, więc oszust musi dodatkowo namówić nas na przepisanie kodu z SMS, gdzie będzie podana informacja co dokładnie zlecamy w banku lub potwierdzić operację w aplikacji banku gdzie też dokładnie będzie napisane co autoryzujemy. Więc jest dodatkowa szansa zauważyć że coś jest nie tak, rozłączyć się i zadzwonić na prawdziwą infolinię banku.

Na prawdę nie rozumiem tego algorytmu w ING, np wejście w zakładkę moje dokumenty ZAWSZE wymaga u mnie przepisania kodu SMS. Czy na pewno te dokumenty są ważniejsze niż przelew na 100 000 zł ? Bo przelew już nie wymaga przepisania kodu SMS.

Inna sprawa to ING jest obecnie jedynym bankiem który zna który dalej wysyła kody SMS do autoryzacji. I to nawet mając zainstalowaną aplikacje mobilną zazwyczaj i tak jestem proszony o przepisanie kodu SMS. W aplikacji praktycznie nic nie potwierdzam (do logowania mam klucz U2F, więc przy logowaniu nie potwierdzam nic w aplikacji, o od tego mam klucz U2F).  W każdym innym banku można zmienić autoryzacje z kodów SMS na bezpieczniejszą aplikacje mobilną...

[#4]

Bezpieczeństwo pieniędzy naszych klientów jest bardzo ważne. Posiadany szereg zabezpieczeń oraz nieustannie pracujemy nad nowymi rozwiązaniami, które są zgodne z najnowszymi standardami bezpieczeństwa. W bankowości internetowej maksymalny dzienny limit bezpieczeństwa przelewów to 200 000 zł. W aplikacji mobilnej to 50 000 zł. O dodatkowej autoryzacji decyduje już nasz system bezpieczeństwa. Jeśli chciałabyś zlecić przelew na wyższą kwotę, to należy to zgłosić wcześniej na naszej infolinii.  

Dziękujemy za Twoje sugestie. Przekazuję ja do odpowiedniego działu.  Więcej informacji o naszych zabezpieczeniach możesz przeczytać na naszej stronie https://www.ing.pl/indywidualni/bankowosc-internetowa/bezpieczenstwo .  

[#5]

Czyli tak samo potwierdzacie to co pisałem wcześniej, nic tylko piszecie o algorytmie który z bezpieczeństwem nie ma nic wspólnego. Jesteście jedynym bankiem w PL który umożliwia wysłanie przelewu bez żadnej autoryzacji (w innych bankach trzeba dodać odbiorcę do zaufanych żeby tak to działało).

Nie pozostało nic innego jak ostrzegać na każdym kroku że ING w żaden sposób nie dba o bezpieczeństwo. Inne banki normalnie pozwalają ustawić aplikację mobilną do autoryzacji przelewów co jest najbezpieczniejszą opcją, a w ING albo autoryzować nie trzeba wcale, albo niektóre operacje zatwierdza się przez mniej bezpieczny kod SMS

[#6]

> Przelewy robiłem w różnych bankach i na prawdę każdy wymagał potwierdzeń. A ING ?
> Przelew poszedł bez niczego. I o ile jak wysyłam przelew na kilka stówek to jeszcze
> jakoś ujdzie. Ale przelewy typu 100 000 zł bez ŻADNEJ autoryzacji ?

Bo ING jest dedykowany dla innej grupy klientów. Tutaj 100 tysi może na tobie to kwota robiąca wrażenie, ale dla typowego klienta ING wysokie kwoty zaczynają się od jednego zera więcej.

A tak poważnie:

> W każdym innym banku taka operacja wymaga potwierdzenia

Nie do końca rozumiem argument. Oceniasz bezpieczeństwo na podstawie tego co robią inni? A jak inne banki wycofają możliwość obsługi konta online to też uznasz, że to jest bezpieczniejsze? Typowy błąd poznawczy, w których działania podejmowane przez większość określasz jako te właściwe. Zastanawiam się czy gdyby klienci innych banków zaczęli skakać w przepaść to bezrefleksyjnie zrobiłbyś to samo, bo "wszyscy inni tak robią".

[#7]

Oczywiście dla niektórych 100 000 grosze, ale jak dla mnie jest to spora kwota + przy takiej kwocie większość banków (mówię o zwykłych kontach dla kl indywidualnego) już dokładniej wszystko weryfikują. Np w PEKAO trzeba iść do oddziału potwierdzić tożsamość żeby w ogóle móc ustawić taki limit przelewów. A np w nestbank musiałem dzwonić na infolinię i potwierdzić przelew, dopiero wtedy "wyszedł"

Każdy z tych banków wymagał również odpowiedniej autoryzacji przelewu.

A w ING tego nie brakuje. I nawet nie chodzi o to, że każdy inny bank wymaga autoryzacji przelewu. Tutaj nawet na "zwykły chłopski rozum" logiczne jest, że wykonując przelew trzeba dokładnie zweryfikować gdzie się go wysyła. Trzeba sprawdzić przede wszystkim numer konta i przecież nie można polegać na 1 urządzeniu, gdzie są znane trojany bankowe podmieniające wyświetlany numer konta. Właśnie przed tym niejako "chroni" autoryzacja przelewu na innym urządzeniu bo telefon również musiałby zostać zainfekowany żeby wyświetlił podmieniony numer konta.  A szansa na zainfekowanie 2 urządzeń na pewno jest zdecydowanie mniejsza

Dlatego świetnym rozwiązaniem jest sprawdzenie danych przelewu zleconego przez komputer na smartfonie. Zawsze przy takich większych przelewach dokładnie sprawdzam nr konta na 2 urządzeniach :/

ING niestety od długiego czasu nie chce ode mnie żadnej autoryzacji przy przelewach. Jakoś mam wrażenie, że od momentu jak aktywowałem klucz U2F to chyba żadnego przelewu nie autoryzowałem. Przynajmniej nie pamiętam ani jednego przelewu który wymagałby jakieś autoryzacji Nawet jak wysyłałem na konta nie dodane do odbiorców!

Chyba nie ma żadnego sensu się więcej rozpisywać, ING i tak nic z tym nie zrobi.  Jedyne co mogę zrobić to w maju zamknąć konto  a środki przenieść do banku który nieco lepiej dba o bezpieczeństwo

[#8]

Ale wiesz po co aktywowałeś U2F? Raz piszesz o braku autoryzacji, teraz się okazuje, że używasz klucza, który każdą transakcję autoryzuje. Po co dodatkowa autoryzacja? No chyba, że wykonujesz przelewy bez tego klucza.

[#9]

Coś nałgałeś. Próbowałem właśnie zrobić przelew i nawet nie chodzi o to, że wymagają autoryzacji. Ja w ogóle go nie mogę wykonać. Pojawia się komunikat:

Nie możesz zrobić tego przelewu w Moim ING. Kwota przekracza dzienny limit przelewów w bankowości internetowej. Skontaktuj się z naszą infolinią.

No i pozamiatane. A wysokość przelewów mam na wysokość salda.

Edit: Po zmniejszeniu kwoty poszło, ale musiałem wpisywać kod z smsa, więc autoryzacja jest. Czyli pozostaje to o czym napisałem - nie wiesz po co ci U2F.

[#10]

Klucz U2F służy tylko i wyłącznie do zatwierdzenia logowania.  Nie autoryzuje nim żadnych przelewów.

I tutaj właśnie mamy problem. Ty musisz wpisywać kod z sms żeby wyszedł przelew. Czyli jest to bezpieczniejsze niż .... całkowity brak autoryzacji przelewu jak jest u mnie.

Ja tylko używam klucza przy logowaniu, później już przelewy wychodzą z napisem, że ta operacja nie wymaga zatwierdzenia i tyle. Brak kodów SMS, brak potwierdzenia w aplikacji itd