Banky hájící své právo na bezpečnost postrádají smysl důvěry spotřebitelů

Když podniky převáží rozhodnutí zákazníka o zabezpečení, činí je to plně odpovědnými, když dojde k narušení? To je otázka, kterou musí banky jako ty v Singapuru zvážit, než zavedou svůj další bezpečnostní prvek.

Vzhledem k tomu, že údaje o trhu naznačují, že objem a sofistikovanost kybernetických útoků roste, není divu, že podniky budou hledat způsoby, jak lépe ochránit svá aktiva. Zejména banky chtějí větší příkopy, protože mají co ztratit.

Posílená obrana však nevyhnutelně znamená, že legitimní uživatelé se budou muset zahrabat hlouběji, aby získali přístup ke službám. Výsledkem je věčná debata o nalezení správné rovnováhy mezi bezpečností a použitelností.

A zdá se, že jedna banka v Singapuru možná bude muset vyřešit tuto rovnováhu poté, co zavedla bezpečnostní funkci, která zanechala několik jejích zákazníků frustrovaných.

OCBC minulý týden spustila funkci, která zablokuje přístup ke svým službám digitálního bankovnictví, pokud jsou na zařízení uživatele detekovány mobilní aplikace, které nebyly staženy z neoficiálních obchodů s aplikacemi, jako je Google Play Store a Huawei AppGallery.

S odkazem na potřebu chránit zákazníky před malwarem banka uvedla, že toto „vylepšení“ umožňuje její aplikaci identifikovat chybné aplikace v zařízení zákazníka. Funkce zabezpečení také kontroluje nastavení oprávnění aplikací s tím, co banka považuje za potenciální riziko nebo které běžně používají aplikace s malwarem.

Když jsou detekovány aplikace, které nesplňují obě kritéria, zákazníci se nebudou moci přihlásit ke svému účtu prostřednictvím mobilní aplikace OCBC nebo webu online bankovnictví, dokud neodinstalují nebo neodstraní „nečestné“ aplikace.

Tato vysoká úroveň zabezpečení zněla skvěle - dokud se nezačaly objevovat stížnosti. Zákazníci se ocitli v uzamčení, přestože aplikace označené novým bezpečnostním prvkem banky byly ve skutečnosti staženy z oficiálních obchodů s aplikacemi. Tyto aplikace zahrnovaly Microsoft Authenticator, LG ThinQ, CCleaner a Trend Micro. Dokonce i aplikace, které byly vymazány vlastními antivirovými mobilními aplikacemi zákazníků, byly bezpečnostní funkcí OCBC označeny jako rizikové.

Dotčení zákazníci uvedli, že řešení doporučené bankou smazat a znovu nainstalovat konkrétní aplikace z oficiálních obchodů s aplikacemi nefungovalo.

Ve většině případů byla reakce OCBC standardní - nová bezpečnostní funkce je součástí snahy bojovat proti podvodům a „chránit naše zákazníky“ před podezřelými škodlivými aplikacemi. "Omlouváme se za způsobené nepříjemnosti," uvedl několikrát k rozhořčení zákazníků na své facebookové stránce. "Prosíme o vaši trpělivost, protože tato funkce je zaměřena na ochranu zákazníků před malwarovými podvody."

Tato situace se jeví jako případ, kdy bezpečnost překonala použitelnost. Když jsem si přečetl anekdoty poškozených zákazníků OCBC, ulevilo se mi, že jsem si vybral banku u jiné firmy. Poté však odvětvový regulátor Monetary Authority of Singapore (MAS) vystoupil a vyjádřil svou podporu bezpečnostnímu prvku banky.

"Bezpečnostní opatření přinesou určité množství dalších nepříjemností pro zákazníky, ale jsou nezbytná pro zachování bezpečnosti a důvěry v digitální bankovnictví," uvedl MAS. "Ve spojení s bdělou a náročnou veřejností nám robustní bezpečnostní opatření pomohou posílit naši obranu proti podvodům."

S ohledem na roli roztleskávačky regulátora nyní očekávám, že zbývající dvě velké místní banky, včetně té mé, budou nějaký čas ve velmi blízké budoucnosti následovat příklad a zavedou podobné bezpečnostní „vylepšení“.

OCBC si možná odpykává pokání za to, že se postavila do centra pozornosti loňských phishingových podvodů, nebo možná prohrála hru s kamenem, papírem, nůžkami a byla vybrána jako první banka, která zavedla bezpečnostní prvek - a proto musela nést hlavní nápor hněvu zákazníků?

Ať je to jakkoli, zmatečné spuštění OCBC ponechává mnoho přání a vyvolává otázky, které bude muset celé odvětví, včetně jeho regulátora, společně řešit.

Důvěra spotřebitelů a sdílená odpovědnost

Nejprve si ujasněme jednu věc. To není jen otázka soukromí, ale důvěry uživatelů. Když věci nefungují tak, jak mají, důvěra se naruší.

Používejte pouze aplikace z oficiálních obchodů s aplikacemi a jste v pořádku, byli zákazníci OCBC ujištěni. Tento přístup se ale ukázal jako problematický.

„Oh, pak je problém v nastavení oprávnění vaší aplikace,“ řekli zákazníci. Banka však zůstala ostýchavá ohledně podrobností o tom, jaká jsou tato nastavení oprávnění, pravděpodobně proto, aby padouši nebyli informováni o tom, jak tyto příznaky obejít.

Obecněji řečeno, nedostatek informací a transparentnost znamená, že uživatelé jsou ponecháni zvědaví, co přesně je s aplikacemi tak špatného - aplikace, které si stáhli z oficiálních obchodů a které vytvořily legitimní společnosti. Znamená to, že společnosti jako Microsoft, LG a Trend Micro uvolňují aplikace, které obsahují bezpečnostní rizika, jak se domnívá OCBC?

A pokud tomu tak není, znamená to, že aplikace jsou omylem identifikovány „vylepšením“ zabezpečení velké banky? Vylepšení zabezpečení, které by mělo být důkladně kontrolováno a testováno a znovu kontrolováno, než bude zveřejněno?

Jak velkou důvěru by proto měli spotřebitelé vložit do bezpečnostního prvku, který nedokáže správně rozlišit mezi legitimními aplikacemi a těmi, které nesou skutečná rizika?

Také: Tito odborníci se předhánějí v ochraně umělé inteligence před hackery

Aby toho nebylo málo, uživatelům se říká, že jejich rozhodnutí o tom, jak chtějí svá zařízení provozovat, jsou neplatná. Jinými slovy, toto vylepšení zabezpečení znamená „odstraňte své zlobivé aplikace, nebo nebudete moci používat naše“.

Takže, když podniky přepíší rozhodnutí zákazníka o tom, jak chtějí, aby byla jejich zařízení zabezpečena, činí to na ně plnou odpovědnost, když dojde k narušení? Domnívám se, že by to potenciálně mělo být, protože zákazník nemá moc co říci do aplikací, včetně antivirových nástrojů, které může mít ve svém telefonu, pokud chce mít nadále přístup ke svému bankovnímu účtu.

Nedávno jsem měl podobnou konverzaci s některými lidmi z oboru, během níž jsem zmínil osobní rozhořčení ohledně oprávnění aplikací a neschopnosti či neochoty organizací vysvětlit, proč potřebují přístup k funkcím, které jsou pro usnadnění jejich služeb zbytečné.

Poté mi bylo naznačeno, že nedostatek transparentnosti může být tlumen ujištěním, že tyto podniky ve svém vlastním zájmu nebudou chtít vyvíjet aplikaci, která ohrožuje jejich zákazníky, a tím poškozuje pověst jejich vlastní značky.

Tvrdil bych, že tento postoj by neměl zákazníky zbavovat odpovědnosti za své vlastní bezpečnostní postavení.

Ve skutečnosti singapurská vláda, možná k radosti firem, opakovaně zdůrazňovala, že je třeba, aby spotřebitelé převzali sdílenou odpovědnost za zabezpečení své kybernetické hygieny.

„Probíhající boj proti podvodům vyžaduje ekosystémový přístup, kde všechny zúčastněné strany hrají svou roli v tom, aby zůstali ostražití a chránili se před podvody,“ uvedl MAS. Regulátor pracuje na rámci odpovědnosti, který podle něj objasní role a povinnosti finančních institucí, telekomunikačních společností a zákazníků, aby byli ostražití proti online podvodům.

Také: 5 jednoduchých kroků, jak ochránit svůj smartphone před hackery

Pokud jsou spotřebitelé nuceni převzít odpovědnost a odpovědnost za svou online hygienu, neměli by mít právo činit vlastní rozhodnutí o tom, jak se nejlépe chránit?

A nemělo by být více transparentnosti a přístupu k informacím o tom, jak organizace, se kterými spotřebitelé obchodují, zajišťují jejich služby?

V zájmu svých zákazníků (a mého zdravého rozumu) doufám, že ostatní banky, které se rozhodly jít ve stopách OCBC, si dělaly poznámky a pracovaly na tom, aby se vyhnuly podobně chaotickému zavedení.

Mohla OCBC například zmírnit některé problémy tím, že by zákazníkům nabídla osobní „bílou listinu“, do které mohou zahrnout aplikace původně označené bezpečnostním prvkem banky? Tyto aplikace lze zkontrolovat a posoudit podle zásad zabezpečení a přidat na seznam povolených pouze poté, co bylo ověřeno, že jsou bezpečné.

Banky by mohly do whitelistu zařadit například tři aplikace, takže zákazníci jsou motivováni upřednostňovat aplikace, které jsou absolutně nezbytné, a banky mohou spravovat zdroje potřebné k usnadnění tohoto přístupu. Mohou také používat nástroje umělé inteligence k automatizaci některých procesů a optimalizaci cyklu hodnocení aplikací a také udržovat úložiště schválených, což dále snižuje úsilí potřebné k udržování bílé listiny.

A pokud tak ještě nečiní, banky by se měly spojit s hlavními vývojáři aplikací, včetně dodavatelů antivirového softwaru, ohledně toho, jak jejich nastavení oprávnění může či nemusí projít jejich bezpečnostním kontrolním seznamem. To za předpokladu, že se také rozhodnou neprozradit podrobnosti o oprávněních aplikací, která považují za riskantní.

Klíčovou otázkou, kterou si všechny banky budou chtít položit, je především to, zda jsou připraveny převzít plnou odpovědnost v případě narušení bezpečnosti, pokud se rozhodnou přepsat bezpečnostní volby svých zákazníků.