Od 14 września, kiedy to banki rozpoczęły podnoszenie poziomu zabezpieczeń do wymaganego przez dyrektywę PSD2, otrzymujemy informacje, że nie wszędzie proces ten jest taki, jaki być powinien. Dziś skupimy się na mBanku, bo problemy i pytania odnośnie tego banku nadsyłaliście nam najczęściej. Innymi bankami zajmiemy się w późniejszych publikacjach. Niedopracowane zaufanie Zacznijmy od Czytelnika 1: Przetestowałem nowe 2FA dostępne w mBanku w ramach dyrektywy PSD2 i jestem zaniepokojony jego działaniem. Podczas logowania, mamy możliwość dodania urządzenia (właściwie to przeglądarki, ale niech im już będzie…) do urządzeń zaufanych. Z mojej obserwacji wynika, że realizowane jest to przez ciasteczko w przeglądarce. Niestety, w całym panelu użytkownika nie ma możliwości unieważnienia takiego ciasteczka, choć fakt, że urządzeniu przypisujemy nazwę, sugerowałby obecność przynajmniej jakiejś listy. Efekt: 2FA zamienia się w 1FA gdzie hasłem jest oryginalne hasło połączone z ciasteczkiem dowolnego z autoryzowanych urządzeń, bez możliwości cofnięcia takiego stanu rzeczy. Pytałem o tę sprawę pracownika banku, na co usłyszałem, że autoryzację urządzenia zaufanego mogę cofnąć usuwając w przeglądarce ciasteczka i jest to jedyny sposób. Co nijak nie unieważnia ciasteczka po stronie banku. Czy taka realizacja 2FA spełnia założenia PSD2? Czy jesteście w stanie nagłośnić sprawę, żeby skłonić bank do wzmocnienia zabezpieczeń? Tak na boku: Przy okazji pytałem pracownika banku o wsparcie dla U2F albo czegokolwiek, co nie dotyka mojego telefonu. Pracownik niestety nic nie wie o planach wprowadzenia rozwiązań niezależnych od telefonu. Problem z brakiem możliwości usuwania “zapamiętanych” urządzeń, czy też w ogóle zobaczenia ich listy, zgłaszało nam wiele innych osób: (….) klient nie ma możliwości zobaczenia/edytowania listy urządzeń, które zostały dodane jako zaufane przy logowaniu Nigdzie w mbanku nie mogę zobaczyć listy moich zaufanych urządzeń. Wiecie gdzie to jest? To prawda. Nie da się podejrzeć listy skojarzonych z kontem “urządzeń”, czy też raczej przeglądarek, albo bardziej technicznie — zapamiętanych ciasteczek. Nie da się też nimi zarządzać. Bank w kontakcie z klientami informuje, że nad taką funkcją pracuje i ją dopracuje niebawem… Funkcja faktycznie wymaga “dopracowania”. Serwis mBanku podczas logowania sam “nazywa” urządzenia tak samo, jak te już dodane (a niemożliwe do usunięcia), co od strony UX jest fatalne, bo wymaga od użytkownika każdorazowej, ręcznej zmiany nazwy swojego “urządzenia” na inne — inaczej nie można go “zaufać”: Co gorsza, niektórym w ogóle nie udaje się dodać urządzenia do zaufanych i widzą takie komunikaty: Ponowienie błędu jest kuszącą opcją, ale jedyną jaka wedle użytkownika działa. Błąd się ponawia, czyli dalej nic nie działa :) Problemy z aplikacją mToken Poza “pełną” aplikacją mBanku, bank udostępnił klientom także aplikację mToken, która służy tylko do uwierzytelniania transakcji i logowania. Jeden z użytkowników skarży się, że nie pokazuje ona szczegółów potwierdzanych transakcji: mBank pod pretekstem wymogów unijnych skasował hasła jednorazowe, które są uznane za mniej bezpieczne także dlatego, że nie widać jaką kwotę i dla kogo się potwierdza. Co dał w zamian? Autoryzację w aplikacji mobilnej gdzie mamy tylko numer autoryzacji ale żadnej kwoty ani konta na które idzie kasa (tylko nazwę odbiorcy). Nie chciało nam się w to wierzyć, więc spróbowaliśmy to potwierdzić samodzielnie… Po zainstalowaniu i sparowaniu aplikacji mToken na zaprzyjaźnionym z redakcją koncie (które miało już podpiętą “pełną” aplikację mBanku), dostęp do mBanku wybuchł. Przestał działać. Całkowicie. Wszystko posypało się jak domek z kart, a użytkownik przy próbie logowania widział tylko poniższy komunikat (na każdej z różnych przeglądarek) i nie dostawał żadnych próśb o potwierdzenie logowania ani na pełnej aplikacji, ani na aplikacji “mBank Token”. Kilka prób zakończyło się komunikatem o blokadzie konta (a dokładnie, kanału internet) i zaproszeniem do kontaktu przez mLinię. Tam udało się poprzez system IVR nadać nowe hasło do kanału internet i nim zalogować, co jednak spowodowało — tuż po zalogowaniu — przekierowanie na taki komnikat: Pozostało więc znów dzwonić na mLinię. Ale nie na ten numer, który jest pod komunikatem błędu, bo z telefonów komórkowych w niektórych sieciach on nie działa. Na mLinii zaś też nie jest idealnie: – Klient musi wysłuchać długiego komunikatu o “zmianach” związanych z …PSD2 – Oczekiwanie na rozmowę (pomimo bycia klientem “intensive”, który ma priorytetową obsługę) to z zegarkiem w ręku: 15 minut Na infolinii użyczający nam konta dowiedział się, że “po 14 września w związku z PSD2 mamy poro problemów i czas oczekiwania na kontakt z infolinią jest wydłużony” oraz, że ten problem, z którym akurat dzwoni, to nie on, to mBank i trzeba czekać aż dział techniczny usunie usterkę. Ponoć problem dotyczy wielu innych osób (godzina 11:00, 24 września 2019). Skoro taka to masowa skala i awaria, to poinformowaliśmy o usterce w poście na Twitterze i Facebooku. Okazało się, że większość klientów nie ma problemu z logowaniem… No cóż, przypadki chodzą po systemach, więc ponawiamy cały proces instalacji mTokena jeszcze raz. Tym razem logowanie po dopięciu mTokenu zadziałało. Chyba mBank usunął usterkę. Pomimo prób, nie udało nam się też namierzyć transakcji, która w mTokenie nie miałaby opisu. Aplikacja (jak już zadziała) zdaje się działać poprawnie. Ale być może mBank poprawił jej działanie od momentu zgłoszenia przez Czytelnika. Jak widać na powyższym przykładzie, technicy pracują i ulepszają system stale. Paruj się w pętli Jeśli myślicie, że to już wszystkie komunikaty błędu jakie można zobaczyć podczas parowania urządzenia mobilnego z kontem w mBanku, to jesteście w błędzie. Oto kolejny problem kolejnego Czytelnika — oto komunikat z jego aplikacji mobilnej: A tak to wygląda od strony konta: “I tak od ponad tygodnia.” — pisze Czytelnik. Nie zapłacisz więcej niż 1000 Po powyższych problemach, ten wydaje się być najmniej istotny. Jak pisze jeden z Czytelników Po aktualizacji telefonu do IOS 13 nie można robić przelewów na kwoty wyższe niż 1000 PLN. Przy próbie wysłania przelewu pin do konta nie przechodzi a po 3 próbach blokuje aplikacje i trzeba rejestrować się ponownie. Bank wie o problemie od początku, przewidywany termin rozwiązania problemu, ok 5 października (z aktualizacja aplikacji banku). Na razie pozostaje przelewy powyżej 1000 PLN robić przez stronę internetową. Rodowisienka na koniec Hitem natomiast jest Andrzej, który od początku września nie może się zalogować na konto, bo wyskakuje mu komunikat o …RODO: Jak widać w historii komunikacji z oficjalnym kontem mBanku na Twitterze, pomimo zgłoszenia reklamacji “REK007418445”, bank próbował pomóc, ale nie wyszło. Przez trzy tygodnie nikt nie rozwiązał problemu logowania Andrzeja do bankowości, więc ten zmienił bank na inny i napisał skargę do UOKiK-u. PS. Ten artykuł dotyczy mBanku, bo odnośnie tego banku otrzymaliśmy od Was najwięcej zgłoszeń. Planujemy jednak publikacje na temat innych banków — jeśli więc zaobserwowaliście podobne problemy w swoim banku, dajcie nam znać w komentarzach lub na redakcja@ Przeczytaj także: