Niemcy ostrzegają przed ogromnym problemem z przelewami – Nowe przepisy miały zwiększyć bezpieczeństwo przelewów, a tymczasem doprowadziły do poważnego naruszenia prywatności. Wystarczył numer IBAN i fragment nazwiska, aby niektóre banki wyświetlały pełne imię i nazwisko właściciela konta, łącznie z wszystkimi dodatkowymi imionami. Zgodnie z ustaleniami portalu netzpolitik.org skala problemu obejmuje miliony klientów.
Niemcy ostrzegają przed ogromnym problemem z przelewami. Mechanizm, który miał chronić użytkowników, ujawnił ich dane
Od października banki w całych Niemczech mają obowiązek sprawdzać, czy wprowadzony przez klienta numer IBAN odpowiada podanemu nazwisku odbiorcy. System pokazuje następnie komunikat, czy dane są zgodne. Rozwiązanie miało zapobiegać pomyłkom i oszustwom podczas wykonywania przelewów.
Jak ustalono, niektóre instytucje finansowe rozszerzyły jednak działanie funkcji w sposób, który narusza zasady ochrony danych osobowych. Wystarczyło wpisać numer IBAN oraz część nazwiska, by bank automatycznie ujawnił pełne dane odbiorcy. W jednym z przypadków już samo wpisanie IBAN-u i nazwiska wystarczało, by system wyświetlił kompletny zestaw imion widniejących na koncie.
Według netzpolitik.org taki sposób działania naraża na ujawnienie danych osoby, które często nie mają świadomości, że ich imiona — również te rzadko używane lub drugie imiona — mogą zostać łatwo wyciągnięte przez niepowołane osoby.
Przeczytaj także: Niemcy ostrzegają przed popularną aplikacją. Co trzeci Polak ma ją na telefonie
Prosty sposób na identyfikację obcych osób
Dlaczego jest to poważny problem? Bo w praktyce funkcja, która powinna weryfikować poprawność przelewu, stała się narzędziem do pozyskiwania danych osobowych. Wystarczy numer konta oraz zbliżone nazwisko, aby poznać pełne dane posiadacza rachunku, nawet jeśli nie ma on o tym pojęcia.
Przy przelewach między znajomymi ujawnienie drugiego imienia rzadko stanowi kłopot, ale sytuacja zmienia się przy transakcjach biznesowych — zwłaszcza gdy stroną jest firma, instytucja lub osoba, której nadawca nie zna osobiście.
Portal netzpolitik.org zwraca też uwagę na szczególnie wrażliwy przypadek osób transpłciowych, których poprzednie imiona mogą nadal widnieć w systemach bankowych. Ich ujawnienie może prowadzić do poważnych naruszeń prywatności.
Problemy także z długimi nazwiskami i QR-kodami
Kolejne trudności dotyczą samego działania procedury Empfängerüberprüfung, znanej jako Verification of Payee (VoP). Jak donosi Finanztip, system ma kłopot z prawidłowym rozpoznawaniem długich nazwisk, skrótów i tytułów, co prowadzi do niepoprawnych komunikatów o niezgodności danych.
Nawet płatności wykonywane za pomocą QR-kodów — często reklamowane jako najwygodniejsza i najbezpieczniejsza forma — nie zawsze działają poprawnie. Użytkownicy zgłaszają przypadki, w których mimo zeskanowania poprawnych danych system informował o rozbieżnościach między nazwą odbiorcy a numerem konta.
Miliony klientów dotkniętych naruszeniem
Według ustaleń netzpolitik.org problem dotyczy co najmniej jednego dużego banku, lecz skala naruszenia może być znacznie większa. Błędna implementacja mechanizmu VoP spowodowała, że miliony klientów mogły nieświadomie ujawniać swoje pełne dane osobom, które wprowadziły ich numer konta do systemu bankowego.
Sprawa rzuca cień na wprowadzone niedawno zabezpieczenia, które miały chronić użytkowników przed oszustwami, a zamiast tego otworzyły furtkę do możliwych nadużyć.