Subiektywnie o finansach

W ostatnich miesiącach głośno było o wejściu na rynek nowego gracza na rynku bankowym. A właściwie nowego-starego, bo przecież mówimy tylko o nowej marce stworzonej w internecie przez BGŻ - bank, który działa od lat w bankowości tradycyjnej. BGŻ Optima w miesiąc pozyskał 40.000 klientów, dając najwyższe oprocentowanie na rynku. Ale dość szybko spuścił z tonu, bo wystarczyły dwa-trzy tygodnie, by po cichu wycofał się z oferowania najbardziej korzystnych lokat z dzienną kapitalizacją i obniżył nieco oprocentowanie. Ostatnio proponuje Lokatę Bezkarną na 6,3% w skali roku, z możliwością zerwania jej w każdym momencie. Cóż, bywało już lepiej... Ale i tak jego przykład pokazał, że magia wysokich procentów wciąż na Polaków działa.

Można powiedzieć, że BGŻ Optima padł ofiarą własnego sukcesu, bo w pierwszych tygodniach nie był w stanie obsłużyć wszystkich klientów. Na infolinię nie można było się dodzwonić, na e-maile bank odpowiadał z kilkudniowym opóźnieniem, tokeny służące do zatwierdzania transakcji bank wysyłał klientom z kilkutygodniowym opóźnieniem, no i generalnie to wejście smoka było też organizacyjną porażką. Kiedy opadł bitewny kurz klienci Optimy zaczęli chłodnym okiem oceniać nowy bank. I zaczęli zauważać również jego słabsze strony. Pojawiły się zarzuty, że bank przegina z bezpieczeństwem - konieczność zatwierdzania DigiPassem nawet wewnętrznych przelewów między kontami i brak możliwości tworzenia portfeli transakcji zatwierdzanych jednym hasłem oznacza, że operowanie na koncie jest po prostu niewygodne.

Sprawdź też: kto zgarnia połowę przyrostu nowych ROR-ów na rynku!

Ale zarzuty dotyczące nadmiernej dbałości o bezpieczeństwo są mniej istotne od tych, które mówią o bezpieczeństwie zbyt niskim. A i takie się pojawiły. Napisał do mnie pan Adam: „W listopadzie napisał Pan o nowym banku internetowym - BGŻ Optima. Przeczytałem wpis, obejrzałem stronę banku, przejrzałem regulamin i... zapisałem się do niego. Pełen entuzjazmu zleciłem otworzenie lokaty na 3000 zł. Był 14 listopada. Już 16 listopada dostałem maila od BGŻ Optima, że przelew został zaksięgowany, konto aktywowane, że pocztą wysyłają do mnie DigiPass i PIN do niego. Trochę zaniepokoiłem się, że wysyłają mi mailem zarówno token jak i PIN do niego - nieuczciwy listonosz, albo ktokolwiek ze smykałką do otwierania zamków w skrzynkach pocztowych może mi ukraść dostęp do konta...”. A propos poczty: :-)

„28 listopada, równo dwa tygodnie od aktywowania konta zadzwoniłem do BGŻ Optima (na infolinię) i zapytałem czemu jeszcze nie mam żadnej z wysłanych do mnie przesyłek. Miła pani wyjaśniła, że zaraz powinny dotrzeć, że lokata jest i żebym uzbroił się w cierpliwość. Dopytałem czy ktoś, kto przejmie obie przesyłki faktycznie uzyskuje pełen dostęp do konta - miła pani potwierdziła, lecz zapewniła że przelew z BGŻ Optima można zrobić tylko na rachunek powiązany, czyli ten z którego nastąpił przelew inicjujący. 22 grudnia znów zadzwoniłem już mocno zirytowany, bo przesyłek wciąż nie było - może i nikt nie może wziąć tych pieniędzy dla siebie, ale od półtora miesiąca ja też nie mam do nich dostępu! W BGŻ Optima mam lokatę jednodniową, a tymczasem przez 6 tygodni nie mogę skorzystać z moich pieniędzy - coś jest bardzo nie w porządku!

Wszystko w końcu Doszło. Aktywowałem DigiPass, zalogowałem się do systemu BGŻ Optima i w ciągu pięciu minut znalazłem opcję, pozwalającą zmienić numer rachunku powiązanego!  Co to oznacza? Gdy otwieramy konto w BGŻ Optima i przelewamy tam jakiekolwiek pieniądze, to dopóki nie dostaniemy do ręki DigiPass'a i tokena, ktokolwiek może te przesyłki ukraść, przywłaszczyć i bez najmniejszych trudności zmienić rachunek powiązany na dowolny inny, a następnie przelać tam pieniądze. Przesyłanie numeru klienta, urządzenia i kodu do niego tym samym kanałem to głupota. PIN do DigiPass jest i tak jednorazowy, trzeba go zmienić podczas aktywacji urządzenia. Można więc wysłać go SMS-em lub e-mailem - sam kod bez urządzenia i numeru klienta jest bezużyteczny. Numer klienta mógłby być w umowie, wysyłanej do klienta e-mailem, nie na kartce dołączonej do DigiPass'a.

Jedno urządzenie i dwa numery potrzebne do zalogowania. Wszystkie wysłane jednym kanałem. Modelowy przypadek dla studentów, na wykład pt: „Jak nie należy tego robić". I to raczej na pierwszym roku studiów niż na studiach doktoranckich. Mierzi mnie też możliwość zmiany rachunku powiązanego. Wymaga to podania numeru klienta, skorzystania z DigiPass’a, oraz wykonania przelewu z nowego rachunku powiązanego na kwotę min. 1 zł. Nie rozumiem też dlaczego PIN do DigiPass’a musi mieć pięć cyfr. Rozumiałbym, gdyby musiał mieć minimum pięć cyfr. Ale akurat ja chciałbym mieć kod dłuższy i nie jest dla mnie problemem zapamiętanie go. Po diabła to ograniczenie? Tym bardziej, że kody generowane przez DigiPass mają po sześć cyfr. Widać zresztą, że cały system jest mało nowoczesny. Gdy klikamy ikonkę logowania otwiera się nowe okno przeglądarki, nie nowa karta. Mam nieodparte wrażenie, że projektował to ktoś, kto ma już wnuki. Największym usprawnieniem w Firefox 1.0 były taby (czyli karty). Był listopad 2004, minęło ponad siedem lat i karty są nawet w Internet Explorer. choć pojawiły się tam dużo później.

Projektowanie serwisu BGŻ Optima zaczęło się może rok temu, może aż 18 miesięcy temu. Czy ktoś choćby sprawdził jakie są standardy rynkowe?” - pyta pan Adam, wkurzony nie na żarty. „BGŻ Optima daje dobre oprocentowanie oraz nie wymaga przychodzenia do lokalu by założyć rachunek. To plus. Pieniądze w dalszym ciągu u nich mam i na razie tak zostanie, ale projektant ich serwisu powinien zostać napiętnowany za błędy, jakich się dopuścił.  Wiem, że pewnie wielu użytkowników nazwie mnie idiotą lub gorzej, ale stary już przecież serwis mBanku jest dużo lepiej zaprojektowany, jeśli chodzi o wygodę użytkowania. Gwoli wyjaśnienia - serwis mBanku jest dużo obszerniejszy, więc by porównać proszę rozważyć tylko część dotyczącą danych użytkownika oraz rachunków, bez kart, ubezpieczeń, rachunków maklerskich, kredytów itd.” - dodaje pan Adam.

A tymczasem... Alior Bank przygotowuje internetową rewolucję, będzie syn

Zarzuty są mocne, więc nie myśląc wiele od razu zwróciłem się do zarządu BGŻ Optima o odniesienie się do nich. Bo rzeczywiście nie byłoby dobrze, gdyby ktoś - przejmując token, PIN do niego i numer klienta - mógłby dobrać się do wcześniej przelanych na konto przez klienta pieniędzy. Co prawda mało kto z klientów Optimy przelewa duże kwoty zanim nie dostanie tokena (zwykle klienci minimalistycznie przelewają tylko 1 zł, co wystarczy jako weryfikacja danych), ale ja sam tak właśnie zrobiłem. Od razu wrzuciłem do Optimy pieniądze na lokatę i poczekałem prawie tydzień na token i PIN. Oto oświadczenie na temat bezpieczeństwa, które dostałem od BGŻ Optima:

„Pieniądze zgromadzone na rachunkach klientów BGŻ Optima są w pełni bezpieczne. Przesyłamy pocztą urządzenia i dane konieczne do zalogowania się, jednak w dwóch oddzielnych przesyłkach. Przesyłki nadawane są pocztą priorytetową w odstępie co najmniej 3 dni, tak, aby dotarły do klienta w różnym czasie. W analogiczny sposób wiele innych banków przesyła na przykład karty kredytowe, a następnie kod PIN do nich. Dodatkowo, nawet gdyby osoba nieuprawniona przejęła obie przesyłki (z digipassem i PIN-em), mogłaby przelać środki jedynie na konto powiązane posiadacza rachunku. Proces otwarcia konta we wszystkich naszych siostrzanych bankach na świecie opiera się na tym samym modelu przekazywania klientowi narzędzi niezbędnych do zarządzania środkami. Nie zanotowano nigdy sytuacji, w której osoba nieuprawniona uzyskałaby dostęp do konta klienta i przelała je na inne niż konto wskazane przez klienta. Do dzisiaj w BGŻ Optima konto oszczędnościowe założyło blisko 40.000 klientów i do tej pory nie mieliśmy żadnej sytuacji, która sugerowałaby że w Polsce ten model się nie sprawdza. Odwrotnie, mieliśmy klientów, którzy dziwili się że zgodność danych w koncie powiązanym jest aż tak szczegółowo weryfikowana.

Jeśli jednak hipotetycznie by się tak zdarzyło, to i tak osoba nieuprawniona nie będzie miała możliwości  dokonania zmiany rachunku powiązanego. Zmiana taka nie następuje bowiem automatycznie. Aby do niej doszło, musi najpierw przyjść przelew z nowego rachunku i jeśli dane na przelewie zmieniającym rachunek powiązany nie zgadzają się z danymi na oryginalnym wniosku internetowym o otwarcie konta - bank nie dokona zmiany rachunku powiązanego. W takiej sytuacji bank skontaktuje się z klientem i poinformuje, że dane na przelewie nie są zgodne i nie może zmienić rachunku. Gdyby okazało się, ze to nie klient próbował dokonać tej zmiany wskazując że DigiPass dostał się w niepowołane ręce, bank natychmiast odłącza DigiPass od konta klienta i uzgadnia z klientem sposób przesłania nowego DigiPassu, na przykład kurierem”. To mnie trochę uspokoiło. Aczkolwiek zgodzę się z moim czytelnikiem, że ideałem z punktu widzenia bezpieczeństwa byłaby sytuacja, w której klient otrzymuje różne elementy służące mu do autoryzacji różnymi kanałami dystrybucji - np. pocztą i e-mailem lub pocztą i SMS-em. Słuszne są też uwagi pana Adama dotyczące dość archaicznej budowy serwisu internetowego BGŻ Optima. Ale póki bank ten nie będzie chciał rywalizować z mBankiem na wszystkich polach bankowości internetowej niedociągnięcia są chyba do przełknięcia.