temat Re: Słabe zabezpieczenia logowania do bankowości internetowej w Bankowość internetowa

Słabe zabezpieczenia logowania do bankowości internetowej

patrys — Tue, 14 Apr 2020 12:32:02 GMT

Witam, czy ING zamierza wprowadzić dwuetapową weryfikację podczas logowania do bankowości internetowej? Mając doświadczenie z innymi bankami, wydawało mi się to oczywistym, że podczas logowania do banku, po wpisaniu hasła będę proszony o autoryzację mobilną lub SMS. No niestety, zdziwiłem się.

W aktualnych czasach standardem jest dwuetapowa weryfikacja, występuje to na pierwszych lepszych stronach, więc czemu bank, w którym trzymam swoje pieniądze nie jest mi w stanie tego zapewnić?

Proszę nie mydlić oczu Waszym "algorytmem" i systemem, który sam decyduje o potrzebie autoryzacji. Zalogowałem się z nowego urządzenia, na innym IP na moje konto i nie zostałem o nic poproszony. Robiąc przelew na inny numer konta też nie zostałem poproszony o autoryzację, więc chyba algorytm jednak nie działa tak jak powinien. W takim wypadku równie dobrze na konto może wejść człowiek z drugiego końca świata, bez problemu zalogować się na konto i przelać (ukraść) pieniądze na swoje konto.

Re: Słabe zabezpieczenia logowania do bankowości internetowej

MagdalenaD — Wed, 15 Apr 2020 13:01:35 GMT

Algorytm działa tak jak trzeba Nie mydlimy nim oczu. Logując się do Moje ING, również możemy prosić Cię dodatkowo o podanie kodu sms. Za każdym razem jak logujesz się lub zlecasz dyspozycje w Moje ING nasz system bezpieczeństwa analizuje sytuację i dobierze odpowiedni sposób autoryzacji, Oceni też, czy taka dodatkowa autoryzacja jest potrzebna.Możesz czuć się spokojny

Re: Słabe zabezpieczenia logowania do bankowości internetowej

patrys — Wed, 15 Apr 2020 15:52:28 GMT

W takim razie nadal nie rozumiem jak działa ten algorytm, skoro logując się z nowego urządzenia oraz IP, algorytm nie zarejestrował potrzeby autoryzacji?

Re: Słabe zabezpieczenia logowania do bankowości internetowej

FX — Wed, 15 Apr 2020 22:39:51 GMT

Weryfikacja dwuetapowa byłaby dobrym rozwiązaniem, najlepiej kilka rozwiązań do wyboru, z kluczami U2F włącznie. Ale z drugiej strony... po co komplikować logowanie, skoro bank odpowiada za wszystkie nieautoryzowane transakcje. Jeżeli dla banku to jest ok, jeżeli taki poziom ryzyka jest dla niego akceptowalny, to widocznie takich zdarzeń nie jest za dużo.

Re: Słabe zabezpieczenia logowania do bankowości internetowej

Konto usunięte — Thu, 16 Apr 2020 16:51:44 GMT

@patrys gdybyśmy podali Ci jak działa, nie byłby to skuteczny algorytm. Wtedy każdy mógłby postarać się go oszukać. Ważne, że działa.

@FX masz rację, nie zawsze kilkanaście rozwiązań to dobry pomysł. Podnoszą tylko koszty, a skuteczność wcale nie jest wyższa. Wszystko musi się zbilansować

Re: Słabe zabezpieczenia logowania do bankowości internetowej

Hubertn — Sun, 19 Apr 2020 16:41:30 GMT

Zajmuję się bezpieczeństwem IT, nie pracuję w ING. W praktyce firmy analizują wiele kwestii, np. czy w przeszłości robiono przelew na dane konto, sposób poruszania się po systemie (ING akurat wymaga na to odrębnej zgody), porę operacji, ilość prób błędnego logowania przed poprawnym, kwotę transakcji, kraj przeznaczenia przelewu, lokację logowania (państwo, region, operatora, wewnętrzne listy RBL też zazwyczaj są weryfikowane).

Proces analizy fraudu jest złożony, w wielu instytucjach przelew "wyjdzie" dla przestępcy, a w praktyce trafi na kolejkę i otrzymasz telefon.

W jednym banku konkurencji taki kontakt następuje do 10 min, a potem przelew jest odrzucany, gdy nie uda się go potwierdzić.

Ludzie w finansach, a zwłaszcza w ING Polska, gdzie robią soft na wiele rynków dla grupy ING to specjaliści, wiedzą co robią. Ale nikt nie ujawni Tobie informacji jak dokładnie analizuje to ING, algorytm jest znany zapewne dla wąskiej grupy ludzi. Nie zna go na pewno nikt z ludzi z oddziałów czy obsługi na tym forum

Komuś może nie podobać się dana informacja, ale nie zdradzam informacji żadnej z instytucji, lecz podaję tylko to o czym mówi się w branży choćby na konferencjach z bezpieczeństwa IT.

Re: Słabe zabezpieczenia logowania do bankowości internetowej

eemill — Thu, 20 Aug 2020 14:42:44 GMT

Po obejrzeniu dzisiejszej interwencji na Polsacie widzę że algorytm działa naprawdę "wspaniale" .