Jeden z naszych Czytelników przesłał nam ciekawy opis swojego nieudanego logowania do mBanku. Pomylił się przy wpisywaniu hasła (jeden raz) i zobaczył komunikat, że jego konto zostało zablokowane. Aby je odblokować musiał podać PESEL, nazwisko panieńskie matki i swój identyfikator. I to go lekko zestresowało, bo choć zdarzało mu się w przeszłości podczas logowania wpisać błędne hasło, to nigdy wcześniej po pierwszej nieudanej próbie nie doświadczył blokady konta. Przerażenie potęgowało pytanie o dane takie jak PESEL i nazwisko panieńskie matki, często wykorzystywane w atakach z duplikatem karty SIM, co opisywaliśmy właśnie w kontekście mBanku na Niebezpieczniku jakiś czas temu. Zwracamy też uwagę na “logo” które przesłania napis i budzi obawy, że tak niedopracowana strona, to fałszywka. Czytelnik doszedł do wniosku, że najlepiej będzie skontaktować się z BOK mBanku, aby dowiedzieć się więcej. Bo może ktoś wcześniej logował się na jego konto złym hasłem. Niestety, rozmowa z BOK go nie uspokoiła: Czasami zdarza się, że już po jednym błędnym wpisaniu danych blokujemy konto ze względów bezpieczeństwa (…) Nie mogę udzielić Panu szczegółowych wytycznych dotyczących blokowania dostępu do serwisu transakcyjnego jeśli chodzi o bezpieczeństwo. Zabezpieczenia tego typu są poufne. (…) Dział bezpieczeństwa przeanalizował kwestię dotycząca wprowadzenia rozwiązania odblokowania dostępu na naszej stronie przed wdrożeniem tej możliwości, jest to zgodne naszym zdaniem z bezpieczeństwem jakie oferujemy. Historia naszego Czytelnika pokazuje, że czasem działania prawdziwych instytucji można pomylić z phishingiem. Prośba faktycznie była niecodzienna i co więcej, zdarzyła się w sytuacji, w której nigdy wcześniej się Czytelnikowi nie przytrafiała. Naszym zdaniem słusznie wzbudziło to jego czujność i podejrzenia. Szczęśliwie, Czytelnik jest osobą świadomą technicznie i wiedział, że znajduje się na prawdziwej stronie banku. Chociaż jako osoba bardzo świadoma technicznie, zaczął się martwić, że jego urządzenie może być zainfekowane złośliwym oprogramowaniem — bo nawet wtedy, kiedy domena banku i certyfikat są poprawne, w sesję HTTP(S) malware wstrzyknąć może swoje fałszywe formatki (tzw. webinject). Dlatego Czytelnik nie chciał ryzykować podawania danych na komputerze na którym zobaczył tę wiadomość. I naszym zdaniem słusznie postąpił. Co więc zrobił? Infolinia jako alternatywa Aby odblokować swoje konto zadzwonił na mLinię, bo przypomniał sobie, że kiedyś jak jego konto zostało zablokowane, to właśnie na infolinię odsyłał komunikat. Czytelnik użył więc innego urządzenia (co do którego nie zachodziło podejrzenie infekcji) i odblokował dostęp do swojego rachunku, używając innych danych dostępowych niż wymagane w kanale WWW PESEL i nazwisko panieńskie matki. Niestety, o tej możliwości mBank (już) nie wspomina, kiedy blokuje klientowi dostęp do rachunku po nieudanej próbie logowania: Stanowisko mBanku Zapytaliśmy o tę sprawę mBank, czy używana do tej pory procedura blokady konta została zmieniona i jak wygląda ona w przypadku użytkowników z zainstalowaną aplikacją mobilnę. Oto odpowiedź, jaką przekazał nam zespół prasowy mBanku: Klient ma do wyboru kilka opcji odblokowania: Przy odblokowaniu przez internet, prosimy o PESEL, nazwisko panieńskie matki i identyfikator. W ten sposób sprawdzamy, czy osoba wpisująca dane to faktycznie nasz klient. Żeby zamówić pakiet aktywacyjny konieczne jest podanie tych danych poprawnie. Idąc dalej, pakiet aktywacyjny wysyłamy na zarejestrowany adres email podany przez klienta (oczywiście podpisany cyfrowo). Żeby go odczytać, potencjalny przestępca musiałby nie tylko znać wszystkie wcześniejsze dane, ale mieć też dostęp do skrzynki zabezpieczeniem jest jednorazowy kod SMS, którym zabezpieczony jest pakiet aktywacyjny. Jest wysyłany tylko i wyłącznie na numer telefonu klienta zarejestrowany w systemie. Oczywiście posiadamy jeszcze nasze wewnętrzne zabezpieczenia, które wychwytują nietypowe sytuacje i w przypadku podejrzeń mogą zablokować aktywację serwisu do czasu wyjaśnienia problemu. Podsumowalibyśmy to jakimś zabawnym bon motem, ale w tej sytuacji każda ze stron ma swoje racje. Klient ma prawo podejrzewać, że to jest atak, bo wcześniej w takich sytuacjach “system zachowywał się inaczej”. Bank z kolei zawsze powinien reagować, jeśli wykryje “anomalie” w działaniu klienta, a tu najwyraźniej coś wzbudziło systemy bezpieczeństwa nawet po pierwszym nieudanym logowaniu. Bank powinien też zweryfikować, czy klient to klient — i tu pytanie pozostaje otwarte, czy tak powinna ta weryfikacja wyglądać, zarówno co do formy weryfikacji jak i danych, o które bank odpytał. Czy można lepiej? Pogdybajmy. Może równie dobrą z punktu widzenia banku metodą weryfikacji byłby push na aplikację mobilną u klienta w momencie blokady? A może nie? W każdym razie, naszym zdaniem informacja o możliwości odblokowania przez mLinię powinna się w tym przypadku pojawiać przed formatką podania PESEL-u i nazwiska panieńskiego matki. Jeśli coś wydaje się nietypowe, warto się zatrzymać, przemyśleć, zawsze. I nawet jeśli domena i certyfikat są poprawne, warto skontaktować się z bankiem. Zwłaszcza w przypadku banków warto być ostrożnym. PS. W sumie to trochę zabawne, że taki incydent najbardziej zastanowi (przerazi?) tych najbardziej technicznie świadomych, którzy wiedzą czym są i jak działają webinjecty. Aktualizacja 15:10 Po publikacji artykułu otrzymaliśmy od mBanku dodatkowe wyjaśnienia: (…) po lekturze komentarzy nasunęło mi się, że warto do tekstu jeszcze uzupełnić kwestię zablokowania kanału i kiedy to się może zdarzyć. Najczęściej kanał zostaje zablokowany gdy klient: – 3 razy z rzędu wpisuje błędne hasło – po raz 50. od ostatniej zmiany hasła wpisał nieprawidłowe hasło. I z tym drugim przypadkiem mamy tu prawdopodobnie do czynienia, skoro już po pierwszej próbie klient zablokował kanał. Jeszcze jedna sprawa, a mianowicie prezentacji sposobów odblokowania. Wszystkie sposoby są dostępne pod ekranem logowania, wystarczy kliknąć „Odblokuj dostęp”. Cała lista jest też zawarta na stronie internetowej, którą można w takich sytuacjach sprawdzić: ten link Przeczytaj także:

mbank problemy z kontem