Bankowość internetowa

[#1]

Witam, czy ING zamierza wprowadzić dwuetapową weryfikację podczas logowania do bankowości internetowej? Mając doświadczenie z innymi bankami, wydawało mi się to oczywistym, że podczas logowania do banku, po wpisaniu hasła będę proszony o autoryzację mobilną lub SMS. No niestety, zdziwiłem się. 

W aktualnych czasach standardem jest dwuetapowa weryfikacja, występuje to na pierwszych lepszych stronach, więc czemu bank, w którym trzymam swoje pieniądze nie jest mi w stanie tego zapewnić?

Proszę nie mydlić oczu Waszym "algorytmem" i systemem, który sam decyduje o potrzebie autoryzacji. Zalogowałem się z nowego urządzenia, na innym IP na moje konto i nie zostałem o nic poproszony. Robiąc przelew na inny numer konta też nie zostałem poproszony o autoryzację, więc chyba algorytm jednak nie działa tak jak powinien.  W takim wypadku równie dobrze na konto może wejść człowiek z drugiego końca świata, bez problemu zalogować się na konto i przelać (ukraść) pieniądze na swoje konto.

[#2 · Accepted solution]

Algorytm działa tak jak trzeba Nie mydlimy nim oczu. Logując się do Moje ING, również możemy prosić Cię dodatkowo o podanie kodu sms. Za każdym razem jak logujesz się lub zlecasz dyspozycje w Moje ING nasz system bezpieczeństwa analizuje sytuację i dobierze odpowiedni sposób autoryzacji, Oceni też, czy taka dodatkowa autoryzacja jest potrzebna.Możesz czuć się spokojny

[#3]

W takim razie nadal nie rozumiem jak działa ten algorytm, skoro logując się z nowego urządzenia oraz IP, algorytm nie zarejestrował potrzeby autoryzacji?

[#4]

Weryfikacja dwuetapowa byłaby dobrym rozwiązaniem, najlepiej kilka rozwiązań do wyboru, z kluczami U2F włącznie. Ale z drugiej strony... po co komplikować logowanie, skoro bank odpowiada za wszystkie nieautoryzowane transakcje. Jeżeli dla banku to jest ok, jeżeli taki poziom ryzyka jest dla niego akceptowalny, to widocznie takich zdarzeń nie jest za dużo.

[#5]

@patrys gdybyśmy podali Ci jak działa, nie byłby to skuteczny algorytm. Wtedy każdy mógłby postarać się go oszukać. Ważne, że działa. 

@FX masz rację, nie zawsze kilkanaście rozwiązań to dobry pomysł. Podnoszą tylko koszty, a skuteczność wcale nie jest wyższa. Wszystko musi się zbilansować

[#6]

Zajmuję się bezpieczeństwem IT, nie pracuję w ING. W praktyce firmy analizują wiele kwestii, np. czy w przeszłości robiono przelew na dane konto, sposób poruszania się po systemie (ING akurat wymaga na to odrębnej zgody), porę operacji, ilość prób błędnego logowania przed poprawnym, kwotę transakcji, kraj przeznaczenia przelewu, lokację logowania (państwo, region, operatora, wewnętrzne listy RBL też zazwyczaj są weryfikowane).

Proces analizy fraudu jest złożony, w wielu instytucjach przelew "wyjdzie" dla przestępcy, a w praktyce trafi na kolejkę i otrzymasz telefon.

W jednym banku konkurencji taki kontakt następuje do 10 min, a potem przelew jest odrzucany, gdy nie uda się go potwierdzić.

Ludzie w finansach, a zwłaszcza w ING Polska, gdzie robią soft na wiele rynków dla grupy ING to specjaliści, wiedzą co robią. Ale nikt nie ujawni Tobie informacji jak dokładnie analizuje to ING, algorytm jest znany zapewne dla wąskiej grupy ludzi. Nie zna go na pewno nikt z ludzi z oddziałów czy obsługi na tym forum

Komuś może nie podobać się dana informacja, ale nie zdradzam informacji żadnej z instytucji, lecz podaję tylko to o czym mówi się w branży choćby na konferencjach z bezpieczeństwa IT.

[#7]

Po obejrzeniu dzisiejszej interwencji na Polsacie widzę że algorytm działa naprawdę "wspaniale" .