Lue uutinen mobiilisivustolla

Nordea nakertaa luottamusta verkkopankkeihin

20.12.2005 09:58 Nordea on vakuutellut asiakkailleen jo pitkään kertakäyttösalasanojen ja vahvistustunnusten suojaavan tietojen kalastelulta. Onnistuneen phishingin Suomessa piti olla epätodennäköisempää kuin lottovoiton sattuminen kohdalle.

- Pahoin pelkään, että kalastelu on pelkkää kiusantekoa. Tällaisella pyritään nakertamaan verkkopankkijärjestelmän uskottavuutta, Nordean viestintäjohtaja Atte Palomäki sanoi STT:lle vain muutamaa päivää ennen kuin pankki kertoi kymmenen asiakkaansa menettäneen kymmeniä tuhansia euroja huijareille.

Palomäki on lokakuun lopulta asti - järjestelmällisesti - toistellut näkemystään, jonka mukaan huijarit pyrkivät järjestelmällisesti häiritsemään verkkopankkeja.

...vai sittenkin varkaita?

Nopeasti tulee kyllä mieleen muutama muukin tarkoitus. Jospa huijarit eivät yritäkään häiritä pankkien jaloa pyrkimystä saada asiakkaat verkkoon, vaan yrittävät ihan (epä)rehellisesti vain viedä heiltä rahat.

Kertakäyttösalasanojen piti suojata asiakkaiden tietoja - ainakin Nordean sivujen tietoturvaosion mukaan. Siellä yhtiö varoitti vielä keväällä asiakkaitaan ulkomailla tehdyistä huijauksista ja kertoi silloin, ettei uhka koske kertakäyttösalasanoilla suojattua verkkopankin asiakasta. Ulkomailla sentään huijataan, mutta suomalaisia vain häiritään.

Epätodennäköinen teoria piti kutinsa

Yritin kysyä erään tietoturva-asiantuntijan ajatusten pohjalta Nordean verkkopankkitoiminnan nokkamiehiltä viime keväänä, miksi vahvistustunnus ja kertakäyttösalasana tarjoavat niin rikkomatonta suojaa huijauksilta.

Ajatus oli, että kertakäyttösalasanan suoja on yhtä tyhjän kanssa, jos huijari ehtii verkkopankkiin ennen asiakasta, joka seuraavan salasanansa on mennyt luovuttamaan. Vahvistustunnusten kohdalla taas kyse on todennäköisyyksistä, ja tietysti kaikkien roskapostittajien ylimmästä ystävästä - suuruuden ekonomiasta.

Teoria jatkui näin:

"Nordean verkkopankissa Suomessa käytetyt vahvistustunnukset vaikeuttavat - mutta eivät estä - huijareiden tilisiirtoja. Onnistumisprosentti riippuu käytettävien vahvistustunnusten määrästä ja siitä, montako vahvistustunnusta huijarit saavat yhdeltä asiakkaalta. Jos huijari saa yhden vahvistustunnuksen kahdeksastatoista, todennäköisesti vain joka kahdeksastoista tilisiirto onnistuu."

Nordeasta saatu vastaus oli, että teoria oli täysin teoreettinen, riski täysin olematon ja lottovoitonkin saaminen todennäköisempää.

Todennäköisyyslaskenta näytti kyntensä viime viikolla, kun pankki kertoi ainakin kahdenkymmenen asiakkaansa luovuttaneen tunnukset ja heistä jopa kymmenen menettäneen rahaa. Huijareiden lomakkeessa pyydettiin kahdeksaa vahvistustunnusta kahdeksastatoista, joten tilintyhjentymistä oli ennustettavissa hieman alle puolelle hyväuskoisista, mikä myös näyttää toteutuneen.

Ohje suojaa salasanaa enemmän

Vastauksen seuraksi pankista lähetettiin vielä yleisesti lehdistölle tarkoitetut moitteet siitä, että kenen tahansa kylähullun tietoturva-"asiantuntijan" heitoista kirjoitetaan uutisia. Nordeaa tietysti harmitti se, että uutiset nakertavat luottamusta verkkopankkien tietoturvaan.

Voi olla, että nakertavatkin. Mutta ainakin huijauksista kuulleet ihmiset osavaat todennäköisesti varoa niitä paremmin kuin sellaiset asiakkaat, joille pankki on vakuuttanut, että tietonne täällä pienessä Suomessa ovat turvassa.

Viime viikko osoitti, että pankin väite oli väärä; se jos joku nakertaa luottamusta verkkopankkeihin.

Miksi pankki sitten vakuutti asiakkailleen näin? Viestintäjohtaja Atte Palomäen mukaan homma on perin yksinkertainen.

- Jos ohjeita noudatetaan, niin kaikkihan on täysin turvallista.

Nordea tekee oikein korvatessaan asiakkailleen vorojen viemät rahat.

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Krp: Hyvinkään ampujan uhrit näyttävät valikoituneen sattumanvaraisesti

• Hyrian rehtori: Uhrit olivat luokkansa priimuksia
• Yksi Hyvinkään ammuskelussa haavoittuneista yhä kriittisessä tilassa
• Paatero: Poliisi toimi oikein ampumispaikalla
• Räikkönen: En saanut renkaita toimimaan