mBank wprowadza nową funkcję bezpieczeństwa, która ma
przerwać jeden z najgroźniejszych scenariuszy oszustwa telefonicznego. Gdy
klient zaloguje się do aplikacji w trakcie rozmowy głosowej, bank może
wyświetlić mu komunikat, że w tym momencie nie prowadzi z nim rozmowy.
Mechanizm jest aktywny tylko w momencie, w którym klient
korzysta z aplikacji mBanku i nie ingeruje w rejestr połączeń. Weryfikuje
jedynie zajętość głośnika i mikrofonu, która jest wystarczającym wskazaniem na
trwające połączenie. „Nie mamy dostępu do informacji z kim i o czym prowadzisz
rozmowę” – tłumaczy Jarosław Górski, dyrektor departamentu bezpieczeństwa w
mBanku.
Jak wygląda groźny atak?
Oszust dzwoni do klienta i podaje się za pracownika
banku, policjanta albo prokuratora. Przekonuje, że pieniądze na koncie są
zagrożone, ktoś próbuje zaciągnąć kredyt albo właśnie trwa atak na rachunek.
Potem krok po kroku prowadzi ofiarę przez kolejne czynności: logowanie do
banku, zatwierdzanie operacji, przelew, czasem także wniosek kredytowy.
Z punktu widzenia banku wygląda to szczególnie trudno, bo
wiele tych działań wykonuje sam klient. mBank chce w takich sytuacjach wstawić
dodatkowy bezpiecznik. Chodzi o komunikat w aplikacji mobilnej, który ma
poinformować użytkownika, że bank w tym momencie do niego nie dzwoni. To prosta
wiadomość, ale jej zadanie jest poważne: wyrwać klienta z presji rozmowy i
skłonić go do przerwania kontaktu z osobą po drugiej stronie telefonu.
mBank chce zabezpieczyć klienta na dwa fronty
Od kilku lat działa rozwiązanie realizujące scenariusz, w
którym gdy dzwoni rzeczywisty pracownik mBanku, klient dostaje powiadomienie w
aplikacji mobilnej z jego danymi: imieniem i nazwiskiem. Najnowsze rozwiązanie
odpowiada na scenariusz przeciwny. Oszust nie może się uwierzytelnić w
aplikacji i uzasadnia to na rozmaite sposoby, co usypia czujność klienta.
Klient widząc w aplikacji ostrzeżenie „nie rozmawiasz teraz z mBankiem” a
jednocześnie słysząc że ktoś za pracownika się podaje, dostaje jasny sygnał aby
się rozłączyć, bo coś się nie zgadza.
Jarosław Górski tłumaczy w rozmowie z Bankier.pl że,
największe straty nie wynikają z technicznego włamania na konto, ale z
manipulacji klientem.
„Z punktu widzenia ciemnej strony mocy to jest portfel,
którym oni sobie zarządzają. Znakomita część zysków, niekoniecznie liczba
fraudów, ale zysków, które ciemna strona mocy generuje, pochodzi z fraudów
związanych z oszustwami. Czyli z sytuacji, w których klient został
zmanipulowany, namówiony do wykonania pewnych czynności i najczęściej sam je
wykonał ” — mówi Górski.
Jak dodaje, otrzeźwienie przychodzi zwykle za późno.
Pieniądze zdążyły już opuścić rachunek, przejść przez kilka kolejnych kont,
trafić do portfeli kryptowalutowych albo zostać wypłacone w bankomacie.
Oszust gra na emocjach
Górski wskazuje, że przestępcy wykorzystują dwa
szczególnie skuteczne mechanizmy. Pierwszy to obietnica zysku, czyli fałszywe
inwestycje, rzekome okazje życia i narracja, że inni zarabiają, a pieniądze
ofiary „leżą i się marnują”. Drugi to strach. W tym wariancie oszust
przedstawia się jako pracownik banku, często z departamentu bezpieczeństwa, albo
jako osoba współpracująca z policją czy prokuraturą.
„Klient jest przekonywany, że jego środki są pod atakiem,
że ktoś zasadza się na te środki, że za chwilę straci wszystkie pieniądze z
konta. To jest ten jedyny, ostatni moment” — opisuje Górski.
To właśnie w takich historiach nowa funkcja mBanku ma
mieć największe znaczenie. Jeżeli klient, będąc pod presją rozmówcy, otworzy
aplikację mobilną i zobaczy komunikat, że bank do niego nie dzwoni, powinien
dostać jasny sygnał: coś się nie zgadza.
„Klient działa na emocjach negatywnych, stara się
rzeczywiście ochronić swoje pieniądze, ale nie rozumie, że zachowując się tak,
jak głos po drugiej stronie podpowiada, robi wszystko, żeby te pieniądze
stracić” — mówi przedstawiciel mBanku.
Górski zwraca też uwagę, że przestępcy są coraz bardziej
wiarygodni. Nie chodzi już tylko o rozmowę telefoniczną. Ofiary dostają
fałszywe dokumenty, zawiadomienia, rzekome pisma procesowe albo materiały
mające potwierdzać, że sprawa jest poważna.
„Oni są naprawdę bardzo przekonujący. Często podsyłają
fałszywą dokumentacje, fałszywe wyroki, idealnie podrobione zawiadomienia o
wszczęciu postępowania. AI robi świetną robotę dla tej ciemnej strony mocy, bo
te dokumenty naprawdę wyglądają świetnie: są w kolorze, bez błędów, z
właściwymi danymi pracowników. Pieczątki wyglądają świetnie, orzeł w koronie
też wygląda bardzo dobrze” — mówi Górski.
Aplikacja ma przerwać scenariusz oszusta
„My możemy działać
tylko w momencie, kiedy użytkownik zaloguje się do aplikacji bankowej. Wtedy
rzeczywiście możemy ocenić, czy takie połączenie z banku jest aktywne, i adekwatnie do tego wyświetla komunikat
ostrzegawczy” — tłumaczy Górski.
„Mechanizm działania sprowadza się do tego, że jeżeli
nikt z mBanku ani w imieniu mBanku do klienta nie dzwoni, to taki komunikat
będzie się wyświetlał po otwarciu aplikacji” — wyjaśnia Górski.
Komunikat może pojawić się bezpośrednio po otwarciu
aplikacji. Może też zostać uruchomiony w określonych scenariuszach, kiedy
system antyfraudowy oceni sytuację jako podwyższonego ryzyka. Górski podkreśla,
że bank nie chce „świecić klientowi po oczach” ostrzeżeniem przy każdej okazji,
bo wtedy pojawiłby się efekt przyzwyczajenia. Użytkownik mógłby zacząć
ignorować komunikat tak samo, jak ignoruje wiele innych powiadomień.
Kredyt też może być sygnałem ostrzegawczym
mBank chce wykorzystywać ostrzeżenie przede wszystkim
przy operacjach wrażliwych. Może chodzić o nietypowy przelew wysokokwotowy, ale
także o próbę zaciągnięcia kredytu. To istotne, bo w scenariuszach oszustw
telefonicznych przestępcy coraz częściej nie ograniczają się do wyprowadzenia
środków z rachunku. Potrafią nakłonić ofiarę do zaciągnięcia zobowiązania, a
potem do przekazania pieniędzy dalej.
„Zaciągnięcie kredytu jest z naszego punktu widzenia
operacją wrażliwą. Może się pojawiać coś takiego również wtedy, kiedy klient
autoryzuje nietypowy, wysokokwotowy przelew. Może się pojawiać wtedy, jeżeli
klient próbuje zaciągnąć kredyt” — wskazuje Górski.
Za decyzją o pokazaniu komunikatu stoi system
antyfraudowy. Jak wyjaśnia przedstawiciel mBanku, nie jest to jeden prosty
mechanizm, ale połączenie klasycznych reguł i modeli uczenia maszynowego.
Samo edukowanie nie wystarcza
Nowa funkcja wpisuje się w szerszy kierunek, który mBank
określa jako przechodzenie od samej edukacji do ostrzegania klienta w trakcie
realnej operacji. Bank nadal chce przypominać klientom o oszustwach, ale
zakłada, że wiedza przekazana wcześniej często nie wystarcza w momencie presji.
„To, co klientom mówimy wcześniej, klienci przyjmują z
dużym zrozumieniem, natomiast krótko o tym pamiętają. Najczęściej te wiadomości
związane z bezpieczeństwem pozostają w pamięci na dwa, trzy tygodnie, po czym
ludzie zapominają o tych zasadach” — mówi Górski.
Dlatego komunikat w aplikacji ma być czymś w rodzaju
przypomnienia w krytycznym momencie. Nie zastąpi oczywiście zdrowego rozsądku,
ale może pomóc klientowi odzyskać kontrolę nad sytuacją.
„Chcemy w momencie, kiedy atak zaczyna się dziać,
ostrzegać klientów, że coś jest nie tak. Dawać im sygnały, czasami nawet
subtelne, ale jednak sygnały, że może to jest ten moment, kiedy warto się
zastanowić i coś zmienić albo coś przerwać” — tłumaczy Górski.
Bank rozwija komunikację kontekstową
mBank rozwija także tzw. komunikację kontekstową, czyli
dodatkowe ostrzeżenia pojawiające się w procesie autoryzacji. Ich zadaniem jest
przerwanie automatyzmu zatwierdzania operacji. Górski mówi, że klienci często
spędzają na ekranie autoryzacyjnym zaledwie kilka sekund, choć komunikaty
zawierają szczegóły transakcji.
„Klient jest przyzwyczajony do tego, że pojawi się komunikat, przewinie, ma dwa
przyciski: zatwierdzam albo odrzucam. Jak kliknie zatwierdź, to leci. Z badań
wychodziło nam, że klienci najczęściej przebywają na takim ekranie około dwóch,
maksymalnie trzech sekund. Tyle, ile potrzeba, żeby ekran się załadował,
przewinąć go i kliknąć realizację” — mówi.
W przypadku nietypowej operacji bank może więc pokazać
dodatkowy ekran. Ma on powiedzieć klientowi, że dana czynność odbiega od jego
standardowego zachowania i może być próbą oszustwa.
„Dajemy klientowi jeszcze raz dodatkowo możliwość
zatwierdzenia operacji, ale w niestandardowy sposób, bo on się tego ekranu nie
spodziewa. Zobaczy go jedynie wtedy, jeżeli coś dziwnego zaczyna się dziać na
jego koncie albo zaczyna wykonywać niestandardowe operacje dla siebie” — mówi
Górski.
Czerwone światło w ostatnim momencie
Z perspektywy klienta najważniejsze jest jedno: jeżeli
ktoś przez telefon podaje się za pracownika banku, a aplikacja pokazuje
komunikat, że bank nie prowadzi rozmowy, należy przerwać połączenie i
samodzielnie skontaktować się z bankiem oficjalnym kanałem.
Górski podkreśla, że banki mogą budować coraz lepsze
zabezpieczenia, ale bez świadomości użytkowników przestępcy nadal będą
wykorzystywać socjotechnikę.
„Kluczowe jest mówienie klientom, zanim coś się zdarzy,
na co powinni zwracać uwagę. Bez tego nie są w stanie rozpoznać, że dzieje się
coś złego. Możemy robić najlepsze zabezpieczenia, ale jeżeli klienci nie
wiedzą, jak to ma wyglądać, to i tak dadzą się podejść najprostszej
socjotechnice” — mówi przedstawiciel mBanku.
Nowy komunikat nie zablokuje każdego oszustwa. Ma jednak
zatrzymać klienta w chwili, w której oszust najbardziej liczy na stres,
pośpiech i posłuszne wykonywanie poleceń. Właśnie wtedy w aplikacji może
pojawić się proste zdanie: to nie my do ciebie dzwonimy.
0 komentarzy