Альфа-банк: безопасности бывает слишком много

[vitus_wagner]

Некоторое время назад я тут купил себе новый телефон. И тут же пошел и поменял сим-карту, поскольку новый телефон умел 4G, а старая сим-карта - нет.

Когда я после этого попытался залогиниться в интернет банк, мне сказали "обнаружена смена сим-карты, не пустим". Ну в общем, вполне разумная мера безопасности.
Нужно либо звонить в колл-центр и доказывать там свою идентичность кодовым словом, либо идти с паспортом в отделение банка.

Кодового слова я, естественно, не помнил, пошел в отделение банка. Там меня заставили переставить на телефоне приложение (и вводить в него заново номер карочки) и выдали мне новый пароль к интерент-банку. Который нужно было немедленно поменять

Ну вроде все работает. В интернет-банк пускают, одноразовый пароль в СМС-ке присылают, приложение логинится, в яндекс деньги можно перекинуть денег.

Но оказалось не все. Платить по шаблонам, которые не требуют дополнительного SMS-подтверждения - можно, а при платеже, которому требуется подтверждение "Обнаружена смена сим-карты". При попытке дозвониться в колл-центр я выяснил, что во-первых ключевого слова я не помню, а во-вторых, то что я помню не удовлетворяет требованиям к ключевым словам. Видимо требования за 7 лет поменялись.

Что-то они там перемудрили с безопасностью. Я пришел в отделение банка с паспортом и телефоном с этой самой новой сим-картой, а они не могут сразу во всех базах прописать, что моя сим-карта теперь вот эта. Хотя казалось-бы - пришли мне SMS-кой одноразовый пароль и попроси предъявить тому сотруднику, который только что проверил мой паспорт и карточку.

Comments

[cross_join]

У нас сейчас сентябрь 2017 года, никаких изменений не произошло, не планируется и в обществе не обсуждается. Более того, безконтакные платежи в размере до 20 евро везде в ходу: нужно только приложить банковскую карту к терминалу, не вводя код.
Ссылки там левые, источников вроде ваших по сети можно наделать сколько угодно.

[inkelyad]

A так?
Это свежие новости.

Directive (EU) 2015/2366 on payment services in the internal market (PSD2) entered into force in the European Union on 12 January 2016 and will apply as of 13 January 2018.


страница самого документа. Ну и сам документ (PDF)

Where payment service providers apply strong customer authentication in
accordance with Article 97(1) of Directive (EU) 2015/2366, the authentication based
on two or more elements categorized as knowledge, possession and inherence shall
result in the generation of an authentication code.

(Страница 20, Статья 4)
Для безконтакнтных платежей, да, планку повысили.

Subject to compliance with the requirements laid down in paragraphs 1, 2 and 3 of Article 2,
payment service providers are exempted from the application of strong customer
authentication where the payer initiates a contactless electronic payment transaction provided
that both the following conditions are met:
the individual amount of the contactless electronic payment transaction does not
exceed EUR 50;

(Страница 23 статья 11)

Общую планку тоже немного повысили:

Subject to compliance with the requirements laid down in paragraphs 1, 2 and 3 of Article 2,
payment service providers are exempted from the application of strong customer
authentication, where the payer initiates a remote electronic payment transaction provided
that both the following conditions are met: the amount of the remote electronic payment transaction does not exceed EUR 30;

(Страница 24, статья 15)

[nepilsonis]

Вот ссылка про негодность смс как 2 фактора https://pages.nist.gov/800-63-3/sp800-63b.html
Это пока не правило — но в течении 2-3 лет, полагаю, станет.
Кстати, есть похожий док и про обязательную сложность паролей.

А это про банки Латвии http://bnn-news.ru/krfk-s-aprelya-dlya-internet-platezhey-budet-vvedena-strogaya-autentifikatsiya-163289
Как клиент трёх латвийских банков говорю, что возможность сделать платёж больше скольки-то (вероятно в самом деле 20 евро) в интернет-банке без калькулятора кодов, отдельного токена (в виде смарт-карты, усб-ключа) или программы на мобильном все банки Латвии отключили, ссылаясь на требование латвийского банковского регулятора FKTK, который, в свою очередь, ссылается на европейские требования. Не вижу смысла искать это правило на сайте FKTK — там всё равно всё на латышском.

Евросоюзовский документ http://www.eba.europa.eu/search?p_p_id=ebasearch_WAR_ebasearchportlet&p_p_lifecycle=0&p_p_state=normal&p_p_mode=view&p_p_col_id=column-1&p_p_col_count=1 название EBA-GL-2014-12 (Guidelines on the security of internet payments) страница 11.

Если кто-то где-то правил не соблюдает — что же, и так бывает.

[cross_join]

Абсолютной защиты не существует, поэтому при желании все средства можно признать негодными.
СМС не средство платежа, а транспорт передачи кода дополнительного подтверждения.
"Калькулятор кодов", если вы имеете в виду апплет-табло ввода со случайным расположением цифр, используется с незапамятных времен.
Guidelines on the security - это рекомендательный документ из серии как быть молодым и здоровым.