هشدار برای لو رفتن اطلاعات حساب‌های بانکی

 
 طی سال‌های اخیر بانکداری الکترونیک شکل و شمایل تازه‌ای به خود گرفته است. درحالی‌که تا دهه گذشته همه مشتریان بانکی ترجیح می‌دادند برای انجام کارهای بانکی خود حضوری به شعب بانک‌ها مراجعه کنند، توسعه خدمات الکترونیکی و اطمینان تدریجی آنها به این ابزار باعث شده تا از پیر و جوان برای انجام عملیات بانکی به‌صورت غیرحضوری اقدام کنند.
 
اما این تحول شگرف تنها دارای زوایای مثبت نیست و برخی از ابعاد آن ممکن است خطرساز باشد. یکی از این ابزارها که ریسک استفاده از ابزار و تجهیزات بانکداری الکترونیک را افزایش داده موبایل است. در سال‌های اخیر در کنار ابزاری مانند دستگاه‌های خودپرداز و اینترنت بانک، مشتریان بانک‌ها اقبال زیادی نسبت به مانده‌گیری، انتقال وجه، پرداخت قبوض و خرید شارژ از طریق تلفن‌های همراه خود داشته‌اند. هرچند سهم موبایل در کل کانال‌های الکترونیکی چندان زیاد نیست، ولی رشد قابل توجه استفاده از این کانال گواه این است که باید با دقت بیشتری به آن نگاه کرد.
 
واقعیت این است که در کنار شبکه بانکی و شرکت‌های خدمات پرداخت الکترونیکی زیرمجموعه شرکت شاپرک، این روزها اپراتورهای تلفن همراه نیز به تراکنش‌های الکترونیکی علاقه نشان داده‌اند و با تعریف نرم‌افزارهای خاص امکان بهره‌گیری مشتریان خود را از خدمات بانکی فراهم کرده‌اند.
 
این درحالی است که بانک مرکزی در نیمه مهرماه ‌سال‌ جاری بدون اطلاع‌رسانی عمومی اقدام به محدود کردن خدمات پرداخت بانکی از طریق موبایل کرد. بر این اساس از اواسط مهرماه ٩٤ دریافت موجودی حساب از طریق موبایل با کدهای USSD شرکت‌های ارایه‌دهنده خدمات پرداخت مسدود و مبلغ پرداخت قبوض و خرید شارژ نیز از این طریق محدود شد.
 
در واقع شرکت شبکه پرداخت کارتی (شاپرک) در پی توصیه بانک مرکزی، این محدودیت‌ها را در مورد خدمات پرداخت روی موبایل به شرکت‌های پی‌اس‌پی ابلاغ کرد. براساس محدودیت‌هایی که به شرکت‌های ارایه‌دهنده خدمات پرداخت ابلاغ شد، از تاریخ ١٥ مهر ‌سال‌ جاری هرگونه تراکنش خرید از درگاه موبایل ممنوع شد و سقف تراکنش‌های پرداخت قبض و خرید شارژ در بستر USSD نیز روزانه ٢٠٠‌هزار تومان شد. همچنین تراکنش مانده‌گیری از طریق کلیه درگاه‌هایی که نیاز به استفاده از کارت ندارند، خصوصا تراکنش‌های موبایلی به‌طور کامل ممنوع شد. البته دریافت موجودی از طریق کدهای USSD  هر بانک برای دارنده حساب همان بانک همچنان برقرار
مانده است.  این درحالی است که شرکت‌های ارایه‌دهنده خدمات پرداخت یا همان PSPها در ٦ ماه ابتدای‌ سال در حدود ٧٣٦‌میلیون و ٧١٧‌هزار و ٩٥٥ تراکنش از طریق درگاه موبایل انجام داده‌اند که این تراکنش‌ها در ٣ سرویس مانده‌گیری، خرید، پرداخت قبض و خرید شارژ بوده است.
 
چرا تراکنش‌های موبایلی محدود شد
حال پس از گذشت حدود ٣ هفته از اعمال محدودیت برای تراکنش‌های موبایلی، بانک مرکزی در قالب گفت‌وگو با یکی از مسئولان خود دلایل این اقدام را که در آن زمان توضیحی درباره آن ارایه نکرده بود،  اعلام کرده است.
 
بر همین اساس مدیر اداره نظام‌‌‌های پرداخت بانک‌ مرکزی در گفت‌وگو با روابط‌عمومی بانک مرکزی ضمن ارایه یک هشدار امنیتی اعلام کرد که به دلیل انحرافات حوزه پرداخت و ورود نهادهای غیرمرتبط با موضوع پرداخت، ممکن است اطلاعات کارت مشتریان بانکی در دسترس دیگران و مورد سوء‌‌استفاده قرار گیرد.
 
داود محمد‌‌بیگی درباره خدمات بانکداری که درحال حاضر از طریق تلفن‌ همراه در نظام‌‌های پرداخت کشور ارایه می‌شود، گفت: خدمات خرید، پرداخت قبض، خرید شارژ و مانده‌گیری، اعلام گردش حساب (واریز یا برداشت) و سایر پیام‌های اطلاع‌رسانی از طریق پیامک، خدماتی هستند که در شبکه بانکی از طریق تلفن ‌همراه ارایه می‌شود. البته برای برخی از این خدمات بین‌ بانکی محدودیت‌هایی وضع شده ولی خدمات پیش‌گفته به صورت درون‌بانکی همچنان به مشتریان ارایه می‌شود. توضیح دیگر این‌که از طریق دستگاه تلفن همراه و اتصال به اینترنت نیز خدمات پرداخت الکترونیک درون‌بانکی و بین‌ بانکی انجام می‌شود که در رده اینترنت ‌‌بانک قرار مي‌گيرد.
 
مدیر اداره نظام‌‌‌های پرداخت بانک‌ مرکزی خدمات بر بستر تلفن همراه را به ٢ دسته خدمات پرداخت و خدمات بانکی تقسیم کرد. او افزود که محدودیت‌هایی که اخیرا در این حوزه اعمال شده مربوط به خدمات پرداخت است.
 
وی در پاسخ به این سوال که اخیرا از ورود شرکت شاپرک به موضوع ussd (ارسال پیام با کدهای دستوری) و برقراری محدودیت‌هایی برای شرکت‌های ارایه خدمات پرداخت در این زمینه صحبت می‌شود، این محدودیت‌ها کدامند و به چه دلیل اعمال شدند؟ بیان کرد: تراکنش‌های خرید و مانده‌گیری بین‌ بانکی در بستر ussd ممنوع شده و برای تراکنش‌های خرید شارژ و پرداخت قبض از این طریق سقف ۲‌میلیون ریالی وضع شده است و دلیل این محدودیت‌ها تامین امنیت پرداخت‌های بین‌ بانکی موبایلی است.
 
محمدبیگی تصریح کرد: به دلیل انحرافات
 پیش آمده در حوزه پرداخت و ورود نهادها و سازمان‌هاي غیرمرتبط با موضوع پرداخت، ممکن است اطلاعات کارت مشتریان نظام بانکی در دسترس دیگران و مورد سوء‌‌استفاده قرار گیرد. ما تلاش می‌کنیم امکان هرگونه سوء‌‌استفاده در فرآیند پرداخت‌های الکترونیک به حداقل برسد و اگر سوء‌‌استفاده‌‌ای صورت گیرد، میزان خسارت مشتری حداقل باشد؛ ما به‌خوبی به این موضوع آگاه هستیم که اعمال این محدودیت‌ها تنها ریسک استفاده از این خدمت را کاهش داده و راه ‌حلی موقت است تا بتوانیم فرصت ارایه راه‌حل‌های امن و مطلوب را به بانک‌‌ها و شرکت‌‌های ارایه‌دهنده خدمات پرداخت بدهیم. اصولا محافظت و صیانت از اطلاعات مشتریان نظام بانکی کشور دغدغه همیشگی بانک مرکزی و نظام بانکی کشور بوده و خواهد بود.
 
وی اضافه کرد: همواره رصد و پایش شبکه پرداخت و نظام بانکی و اصلاح روال‌ها و رویه‌ها از موضوعات مورد توجه و اساسی در حوزه پرداخت است؛ محدودیت وضع شده در تراکنش‌های خرید پایانه‌های فروش به میزان ۵۰۰‌میلیون ریال در ابتدای امسال توسط بانک مرکزی نیز در همین راستا بود.
 
رضایت بلندمدت مشتریان اولویت دارد
این مقام مسئول در بانک مرکزی در پاسخ به این مطلب که این موضوع باعث نارضایتی برخی از مشتریان بانک‌‌ها شده است. حجم این تراکنش‌ها به چه میزانی بود و چه جایگزینی برای آن در نظر گرفته‌اید؟ عنوان کرد: هدف از اقداماتی که برای امنیت بانکداری الکترونیک انجام می‌شود، کسب رضایت و اعتماد مشتریان در بلند‌‌مدت است. نمی‌توانیم برای سهولت مبادلات و رضایت کوتاه‌مدت برخی مشتریان خاص، رضایت بلند‌‌مدت، احساس امنیت در پرداخت‌‌های الکترونیک و اعتمادی که حاصل سال‌ها تلاش است را خدشه‌دار کنیم.
 
به گفته مدیر اداره نظام‌‌‌های پرداخت بانک‌ مرکزی، در ٥ماهه نخست منتهی به مرداد ‌سال‌ جاری حجم مبادلات موبایلی بین ‌بانکی پردازش شده در شاپرک از نظر تعداد کمتر از ۱۹‌درصد و از نظر مبلغ کمتر از یک‌درصد (حدود نیم‌درصد) کل تراکنش‌های شاپرک است، بنابراین این تراکنش‌‌ها حجم بالایی در مبادلات بین ‌بانکی کارتی نداشته و مشتریان می توانند از خدمات درون‌بانکی در بستر ussd استفاده کنند. مشتری می‌تواند علاوه بر استفاده از ussd بانک خود، با استفاده از روش‌های گوناگون نظیر مراجعه به سایت بانک یا تلفن‌‌بانک، به‌صورت غیرحضوری از موجودی حساب خود مطلع شود.
 
وی ادامه داد: هرچند که درحال حاضر بسیاری از بانک‌‌ها با ارسال پیامک اطلاع‌رسانی لازم را در این زمینه انجام می‌دهند. نکته قابل تأمل دیگر توجه به استانداردهای حوزه پرداخت است. یکی از وظایف نظام بانکی فرهنگ‌‌سازی و تغییر رفتار مشتریان و متناسب‌سازی آن با استانداردهای معتبر بین‌المللی است. البته ما به هیچ عنوان با گسترش خدمات مخالفتی نداریم. اصولا اگر شبکه پرداخت و نظام بانکی کشور طی مدت ۱۰‌سال توانسته جایگاه مناسبی بین مشتریان پیدا کند، نتیجه تلاش همه عوامل و ذینفعان و سیاست‌گذاری مناسب بانک مرکزی است. اما نباید فراموش کرد که ارایه خدمت به قیمت به خطر افتادن امنیت و منافع مشتریان مورد پذیرش و قبول نهاد سیاست‌گذار نیست. لذا توصیه ما حتی به بانک‌‌ها، اعمال محدودیت تا رعایت استانداردهای امنیتی و مطابق با تجارب موفق بین‌المللی در این حوزه است.
 
عمر سرویس ussd زیاد نیست
وی درباره این‌که چرا تاکنون این محدودیت‌ها اعمال نشده بود؟ بیان کرد: امنیت موضوعی نسبی است. اصولا امنیت در ٢ بعد تکنولوژی و فرآیندی مورد توجه و بررسی قرار می‌گیرد. ممکن است سیستمی امروز امن باشد ولی در آینده با تغییرات تکنولوژی و همچنین تغییر شیوه‌ها و فرآیندهای اجرایی از امنیت آن کاسته شود. سرویس ussd  را نیز می‌توان با تغییر روش استفاده آن ایمن کرد. هر چند که معتقدم عمر این سرویس در شبکه پرداخت و نظام بانکی طولانی
 نخواهد بود اما مشکل اصلی روش استفاده از این سرویس درحال حاضر است.
 
برای نمونه در کشور هندوستان ussd  ملی برای پرداخت موبایلی راه‌اندازی شده است. با بررسی این روش‌ها متوجه می‌شویم که فرآیندها طوری دیده شده که از ارسال اطلاعات حساس پرداخت در تراکنش‌ها جلوگیری شود. بنابراین باید مانند تمام کشورهای دنیا همواره استانداردهای جدید و قابل اعتمادی را برای ارتقای امنیت شبکه پرداخت وضع کنیم و همیشه مراقب و به‌‌روز باشیم.
محمدبیگی در تشریح برنامه بانک مرکزی در حوزه پرداخت همراه در آینده گفت: بانک مرکزی چند‌ سال است که موضوع کیف پول الکترونیک و سامانه پرداخت الکترونیک سیار (سپاس) را دنبال می‌کند. امروزه وجود یک سیستم آفلاین به‌ویژه برای پرداخت‌‌های ریز ‌در کشور ضروری است ولی پرداخت‌‌های همراه در ٢ ‌سال اخیر دچار تغییرات اساسی در جهان شده و راه‌ حل‌های نوینی ارایه و پیاده‌‌‌سازی شده است. بانک مرکزی درحال بررسی این راه‌‌‌ حل‌‌هاست تا برای دستیابی به این هدف دچار خطای راهبردی نشویم. نتایج این بررسی‌ها و برنامه‌های آینده بانک مرکزی در حوزه پرداخت همراه به‌زودی اعلام خواهد شد.