Zakładając, że zadzwoniłeś pod numer opublikowany, powiedziałbym, że brzmi to tak, jakby był to interaktywny system odpowiedzi głosowej (IVR), który jest dość powszechny w świecie bankowym.

Koncepcja polega na tym, że system pobiera dane uwierzytelniające przed przekazaniem ich agentowi centrum obsługi. Zaletą tego z punktu widzenia bezpieczeństwa jest to, że agent w centrum telefonicznym nie musi prosić Cię o uwierzytelnienie przed omówieniem konta.

Prawidłowo zaimplementowane nie powinno być bardziej niebezpieczne niż wpisanie hasła na stronie internetowej. Istnieje zautomatyzowany system przetwarzający dane głosowe i powinien on odpowiednio przechowywać / rejestrować te dane.

Oczywiście, jak zauważyłeś, istnieje ryzyko podsłuchu, ale jeśli przyjmiesz, że twoja linia telefoniczna jest podsłuchiwana , jakakolwiek bankowość telefoniczna jest niebezpieczna, ponieważ muszą Cię w jakiś sposób uwierzytelnić, aby móc omówić z Tobą konto.

EDYTUJ: Aby dodać więcej szczegółów, niż zostawić je rozrzucone po komentarzach, które mogą zostać usunięte.

Zasadniczo banki muszą Cię w jakiś sposób uwierzytelniać, bez względu na kanał (np. internet, telefon, oddział), z którego się z nimi kontaktujesz, i są kompromisy należy wziąć pod uwagę.

Z jednej strony posiadanie dedykowanych danych uwierzytelniających na kanał jest przydatne, ponieważ zmniejsza ryzyko włamania i pozwala uniknąć błądzenia wiadomości „nie podawaj ludziom swojego hasła internetowego”, ale pozostawia użytkowników z większą liczbą poświadczeń do zarządzania i według wszelkiego prawdopodobieństwa wielu resetowań haseł, jeśli użytkownicy rzadko korzystają z określonego kanału błędy, które przyciągają częste resetowania)

Tak więc opcja, która wydaje się, na podstawie dostarczonych informacji, jest tutaj używana, to połączenie poświadczeń dla kanału internetowego i telefonicznego oraz użycie automatycznego systemu IVR w kanale telefonicznym, aby uniknąć przekazywania danych uwierzytelniających agentom centrum kontaktowego . Plusem jest tutaj pojedynczy zestaw kredytów, więc użytkownik ich nie zapomni, a wadą jest scenariusz, w którym wiadomości bankowe „nie podawaj ludziom swojego hasła” prowadzą do problemów w korzystaniu z tego systemu.

Pod względem bezpieczeństwa systemu IVR, jest to w zasadzie jak każdy inny system przetwarzający dane. Musi być odpowiednio zabezpieczony, aby poświadczenia użytkownika nie były ujawniane, nie różni się od kanału internetowego.

Oczywiście system taki jak sprzętowy (nie SMS) 2FA może dobrze działać w tym scenariuszu, ponieważ kody numeryczne są łatwo przekazywane do systemów IVR, ale ma to swoje własne kompromisy pod względem kosztów i doświadczenia użytkownika.

Obowiązkowe ostrzeżenie:

Nigdy nie podawaj nikomu swojego hasła i nie pozwól, aby ta odpowiedź wpłynęła w jakikolwiek sposób na tego rodzaju zachowanie.

Ponieważ nie sposób poznać wszystkich okoliczności w tym konkretnym przypadku, potrzebna jest odrobina spekulacji, aby odpowiedzieć na to pytanie.

Jeśli wszystko dobrze zrozumiałem, sprawa wygląda następująco:

OP odwiedził witrynę banku, wyszukał numer wsparcia, a następnie zainicjował połączenie. Po podaniu tylko swojego identyfikatora bankowego (?), Bot na końcu linii przywitał OP swoim nazwiskiem, a następnie poprosił o hasło do bankowości internetowej.

Tak, mogła to być próba wyłudzenia informacji przez osobę atakującą. Witryna, którą odwiedziłeś, mogła zostać zmieniona i można było ustawić inny numer pomocy. Po wykonaniu tego wszystkiego osoba atakująca musiała czekać, aż OP odwiedzi witrynę dobrowolnie ¹ , a następnie zadzwonić pod ten numer. Atakujący musiałby również skonfigurować telefonicznego bota, który jest w stanie połączyć identyfikator banku z nazwiskiem OP ² .

To przynajmniej dla mnie - wygląda na to, że samo zdobycie hasła do konta bankowego online to naprawdę duży wysiłek, co nie jest nawet tak cenne przy korzystaniu z typowego systemu bankowości internetowej. Zazwyczaj potrzebujesz drugiego czynnika, aby dokonać jakiejkolwiek transakcji pieniężnej. Nadal jest to przejęcie konta bankowego, ale nic, czego nie można naprawić.

Bardzo wątpię, że jest to próba wyłudzenia informacji. Po prostu nie wydaje mi się to dobrą zasadą, zwłaszcza jeśli nie jest jasne dla użytkowników, że ich hasło online jest również używane do uwierzytelniania przez telefon.

_{(1) Teoretycznie osoba atakująca mogłaby sfałszować coś w rodzaju sytuacji awaryjnej, co spowodowałoby, że użytkownik zadzwoniłby pod numer pomocy technicznej.}

_{(2) Chyba że OP popełnił błąd i nie podał wcześniej swojego nazwiska podczas rozmowy.}

Tak, powinieneś podjąć działanie, zgłoś to do swojego banku, najprawdopodobniej była to próba wyłudzenia informacji.

To nie powinno się zdarzyć i nie jest normalną praktyką.

Twój bank nigdy nie poprosi Cię o podanie numeru PIN ani hasła.

EDYTUJ: Po przeczytaniu twoich komentarzy i wyjaśnieniu (opublikowanym za moim awnserem), że kontakt został w całości zainicjowany przez Ciebie, jest możliwe / prawdopodobne, że nie jest to próba wyłudzenia informacji i albo bardzo zła polityka (ponieważ identyfikator głosowy / dane biometryczne nie powinny wymagać tajnego hasła do działania) lub prośby o informacje dostarczone w celu potwierdzenia tożsamości w tego rodzaju scenariuszu.

Tak czy inaczej, skontaktowałbym się z Twoim bankiem (inną metodą niż ten numer telefonu) i wyjaśnij swoje obawy i uzyskaj od nich wyjaśnienie, że ta prośba jest uzasadniona.

Nie ufałbym temu bankowi. Nawet jeśli ta rozmowa telefoniczna była całkowicie zgodna z ich systemami, to tylko dowodzi, że nie rozumieją konsekwencji dla bezpieczeństwa na co najmniej dwa sposoby:

1. Jeśli Twoje hasło internetowe jest wystarczająco proste aby robot mógł je wymówić, tak aby mógł je zrozumieć wystarczająco dobrze, aby potwierdzić, że jest to rzeczywiście Twoje hasło, nie jest to wystarczająco bezpieczne hasło dla czegoś tak wrażliwego jak informacje bankowe. Zmuszając użytkowników do wymawiania (lub w jakiś sposób wpisywania go z klawiatury, co szczerze brzmi jak absolutne piekło) swojego hasła, zachęcają do niezabezpieczonych haseł.

2. Z odpowiedzi Rory:

Prawidłowo zaimplementowane nie powinno być bardziej niebezpieczne niż wpisanie hasła w witrynie internetowej.

i

Jeśli chodzi o bezpieczeństwo systemu IVR, jest to w zasadzie jak każdy inny system przetwarzający dane. Musi być odpowiednio zabezpieczony, aby poświadczenia użytkownika nie były ujawniane, tak samo jak kanał internetowy.

Rozmowa przez telefon BARDZO różni się od komunikacji w kanale internetowym. O ile nie korzystasz z zaszyfrowanej linii telefonicznej od Ciebie do banku, wszystko, co jest przesyłane przez tę linię, może zostać podsłuchane. Natomiast prawidłowo zaimplementowany login sieciowy nie może zostać podsłuchany, ponieważ wykorzystuje szyfrowanie od końca do końca. W rzeczywistości w najlepszych implementacjach Twoje hasło nigdy nie jest przesyłane w formie możliwej do odzyskania, więc nawet jeśli serwer internetowy banku zostałby zainfekowany, nie byłby w stanie wykryć Twojego hasła (mógł jedynie zweryfikować, czy posiadasz poprawne hasło). Oto dyskusja na temat tego, dlaczego ta technika haszowania (oprócz już zaszyfrowanego kanału komunikacyjnego) byłaby lub nie byłaby używana: Dlaczego haszowanie hasła po stronie klienta jest tak rzadkie?

[T] hej muszę Cię jakoś uwierzytelnić, aby móc omówić z Tobą Twoje konto.

To prawda, ale używanie poświadczeń internetowych nie jest właściwym sposobem na to. A z powodów, o których wspomniałem powyżej, komunikacja telefoniczna ma nieodłączną cechę niepewności i nie prowadzę delikatnych interesów przez telefon, jeśli mogę na to poradzić.

Jak we wszystkim, posłuchaj mojej rady z przymrużeniem oka. Prawdopodobieństwo podsłuchania Twojej linii telefonicznej przez osobę lub organizację, która byłaby zainteresowana użyciem Twojego hasła internetowego przeciwko Tobie, jest bardzo niewielkie. Czytelnikowi pozostawiam to, aby rozważył to ryzyko z ryzykiem banku niewłaściwie zabezpieczającym inne kanały komunikacji i zdecydował, jaki poziom ryzyka jest gotów podjąć.

Nigdy nie będziesz w 100% bezpieczny. Ryzyko można ograniczyć tylko do akceptowalnego poziomu.

Zwykle istnieją różne dane uwierzytelniające do bankowości telefonicznej i internetowej. Pozwala to uniknąć większości pokus i konfliktów interesów, ponieważ bankowość telefoniczną można zainicjować tylko za pośrednictwem zalogowanego operatora telefonicznego, a przynajmniej mój bank dość wyraźnie wskazuje, że jego dane uwierzytelniające online nigdy nie zostaną poproszone ani zaakceptowane przez telefon, właśnie z powodu phishingu.

Gdyby odróżnienie phishingu od prawdziwej głupoty było całkowicie trywialne, phishing byłby mniej istotny. Tak czy inaczej, zaufanie drugiej stronie do Twoich danych uwierzytelniających online wydaje się złym pomysłem.

Zastrzeżenie: nigdy nie udostępniaj swoich danych logowania, haseł ani numerów PIN osobiście, przez telefon lub online. Używaj haseł bankowych tylko w zweryfikowanej witrynie banku, sprawdzając informacje bezpieczeństwa przeglądarki (obok https).

Nie nazwałbym tego „naruszeniem prywatności” ponieważ teoretycznie twoje hasło (lub jego hash) to informacje już udostępnione między tobą a bankiem. Ponieważ to ty dzwoniłeś do obsługi klienta, wygląda na to, że odkryłeś błąd lub wyciek bezpieczeństwa w ich systemie.

• Zostałem poproszony o podanie części mojego numeru PUK lub identyfikatora fabrycznego z tego elementu plastiku moja karta SIM została usunięta przez pracownika obsługi klienta podczas rozmowy w sprawie mojego konta w telefonie komórkowym. I przez kilka cyfr z mojego numeru konta przez pracownika banku, dzwoniąc do banku, nigdy nie podawaj hasła.
• Nie, to nie jest normalna praktyka, większość banków ostrzega Cię, abyś nigdy nie zapisywał swojego hasła. poinformować o tym komukolwiek i używać go tylko ze swojego komputera podczas logowania się do usługi bankowości internetowej przez HTTPS.
• Możliwe, że ktoś do nich włamał się (mianowicie oprogramowanie bota używane w ich centrum serwisowym) lub może stanowić nieplanowane zagrożenie bezpieczeństwa / błąd w ich oprogramowaniu. Tak czy inaczej, wypowiedzenie hasła przez telefon jest samo w sobie zagrożeniem bezpieczeństwa, ponieważ możliwe jest, że ktoś Cię podsłucha, przekierowanie połączenia telefonicznego (na przykład zhakowanie telefonu) lub ktoś może przechwytywać i podsłuchiwać rozmowa.
• Skontaktuj się z bankiem za pośrednictwem innego źródła i zgłoś zagrożenie bezpieczeństwa. Możesz spróbować zgłosić błąd za pośrednictwem formularza kontaktowego / zgłaszania błędów na ich stronie internetowej lub osobiście udać się do lokalnego oddziału. Inną rzeczą do zrobienia byłoby sprawdzenie witryny banku pod kątem stron pomocy związanych z ich usługą telefoniczną. Zwykle opisują one proces wymagany do korzystania z ich linii obsługi klienta, a jeśli ten krok (przekazanie botowi hasła) nie jest uwzględniony, ktoś najprawdopodobniej włamał się do jego oprogramowania bota lub jest to atak phishingowy dokonany przez kogoś z centrum obsługi ten krok jest uwzględniony i najprawdopodobniej jest przeoczonym zagrożeniem bezpieczeństwa. Tak czy inaczej powinieneś to zgłosić, większość usług finansowych potraktuje taką skargę bardzo poważnie.
• W zależności od wyniku tej skargi może być konieczne skontaktowanie się również z operatorem telefonicznym, ponieważ może to być wynikiem złośliwego oprogramowanie lub zagrożenie bezpieczeństwa u Twojego dostawcy. Aby tymczasowo to wykluczyć, spróbuj skontaktować się z usługą bankową za pomocą innego telefonu w innej sieci.

Nie pytali o Twoje hasło do bankowości internetowej, ale o Twoje hasło / hasło do ich systemu telefonicznego. Bank (nie mówiąc już o jakiejkolwiek firmie / systemie) używający tych samych danych uwierzytelniających do bankowości internetowej i telefonicznej po prostu nie istnieje.

- typowe „bezpieczne” hasło internetowe:

+ o_TH3 -m * 0N2017! który jest następnie przechowywany w bazie danych jako skrót (np. 8dd6ae487b790146f6570cb5b01f7f70224f6706). Aby uwierzytelnić wprowadzoną prawidłową przepustkę, system ponownie zhasowuje wprowadzone dane, a jeśli jest to zgodne, zostaniesz uwierzytelniony.

W przypadku systemów telefonicznych hasła byłyby przechowywane jako zwykły tekst lub automatyczny system wymagałby tylko używania cyfry / litery i podawaj je litera po literze.

Jeśli nie chcesz nam podać informacji o banku, z którego korzystasz, możesz uzyskać większą jasność, dzwoniąc do banku i prosząc o rozmowę z przedstawicielem?

Wreszcie - skoro do nich dzwoniłeś, próba wyłudzenia informacji jest mało prawdopodobna

Na pierwszy rzut oka wygląda to na oszustwo, ale teraz masz coś do zrobienia:

1. Kiedy ludzie odbierają takie telefony, zwykle zaleca się skontaktowanie się z centralą banku numer telefonu i poproś prawdziwą osobę o potwierdzenie, czy sprawa jest prawdziwa.

   Ponieważ najprawdopodobniej jest to sztuczka phishingowa, powinieneś im to zgłosić. Pomaga im blokować lub znajdować przestępców.

   • Musisz podać informacje o numerze telefonu lub adresie e-mail, z którego pochodzi.
   • Podaj informacje o godzina połączenia i wszelkie inne podejrzane działania wraz z datami.
   • Podaj informacje o pytanych przez nich informacjach i czy coś im przekazałeś.

2. Zmień wszelkie możliwe dane, najlepiej dzwoniąc na centralną linię informacyjną, gdzie podajesz im ŚWIEŻY nowy adres e-mail i numer telefonu, pod którym możesz bezpiecznie się komunikować. Najlepiej nie czytać smsów z nieznanych numerów.

   • Zmień nazwę użytkownika, hasło, kod PIN. Ogranicz kwotę do wypłaty, ale szczerze mówiąc, jeśli dawałeś im identyfikator, po prostu poprosiłbym o nowe konto ze względów bezpieczeństwa. To zależy od Twojego banku i jego elastyczności.
   • Po zarejestrowaniu nowego adresu e-mail musisz również zmienić hasło i pytania zabezpieczające na koncie. Jeśli konto wydaje się być bezpieczne, możesz przelać te pieniądze na inne konto lub najlepiej osobiście przekazać je gotówką w banku lub przelać na nowe konto. Powiedz im, że rozdałeś informacje.
   • Nie ufaj żadnym witrynom pojawiającym się na (skompresowanym) adresie e-mail / koncie. Nawet SSL (bezpieczna witryna) może być fałszywa.

3. Opcjonalnie możesz skontaktować się z policją, ale jest to strata czasu bez żadnych konkretnych informacji.

Niektóre z nich mogą wydawać się przesadne i nieprawdopodobne, ale widziałem wielu sprytnych, podstępnych przestępców. Na co dzień przyjeżdżają z Rosji lub Indii, gdzie organy ścigania nie będą się przejmować władzami w UE / USA.

edytuj komentarz @ questioner

Wydaje się, że nie sprecyzowałeś, jak to się stało. Nie wiem, czy został zredagowany, ale jak zrozumiałem, wyglądało na to, że skontaktowali się z tobą. Jeśli zadzwoniłeś pod numer oficjalnej strony (bez klikania linków e-mailowych), to zrobiłeś to, co powiedziałem. Ale:

1. ŻADNA z firm, które znałem do tej pory (banki czy IT) nie pytają o hasło przez telefon. Jak powiedziałeś, jest nagrany, niezaszyfrowany i nadający się do użytku bez zgody właściciela. Nie proszą nawet o pełne numery identyfikacyjne!
2. Wręcz przeciwnie, znam firmy, które mają obowiązek poinformować, że rozmowa jest nagrywana, a pracownikowi ZABRONIONO prosić o jakiekolwiek hasło, a właściciel, aby powiedzieć którymkolwiek z nich. Nawet zautomatyzowane systemy nie proszą o wpisywanie pełnych haseł za pomocą przycisków czy wypowiadanie tego do telefonu, a gdyby to była prawdziwa firma, natychmiast opuściłbym ten bank.
3. To dokładnie wygląda na oszustwo. „Prawdziwa osoba” to kluczowy element inżynierii społecznej. Oszust zyskuje zaufanie, będąc autentycznym. Tego typu sztuczki zdarzają się na co dzień. To, co opisałem, to oficjalna rutyna profesjonalnych firm. Zgadzam się, to okropna polityka, jeśli to był prawdziwy bank.