mBank uznał, że logowanie jest zbyt łatwe. Teraz PIN musisz najpierw odnaleźć

mBank wprowadza losową klawiaturę PIN, która ma zwiększyć bezpieczeństwo klientów. Problem w tym, że przed keyloggerami czy złośliwym oprogramowaniem nie ochroni, za to skutecznie utrudni życie osobom przyzwyczajonym do wpisywania kodu z pamięci.

Bankowość mobilna powinna być przede wszystkim bezpieczna i wygodna. Najwyraźniej jednak mBank uznał, że skoro z bezpieczeństwem bywa różnie, to przynajmniej można popracować nad ograniczeniem wygody. W aplikacji mobilnej w wersji 3.123 pojawiła się opcja losowego rozmieszczania cyfr na klawiaturze służącej do wpisywania PIN-u.

Zasada jest prosta. Przy każdym logowaniu lub autoryzacji operacji cyfry mogą znajdować się w innych miejscach. Koniec z automatycznym wystukiwaniem kodu. Teraz trzeba najpierw odnaleźć odpowiednie przyciski, a dopiero później je nacisnąć.

W teorii ma to chronić przed podglądaniem PIN-u. W praktyce skuteczność tego rozwiązania zależy od tego, przed jakim zagrożeniem właściwie próbujemy się zabezpieczyć.

Cyberprzestępcy drżą. A przynajmniej ci stojący za plecami

Losowa klawiatura może utrudnić odgadnięcie PIN-u osobie, która obserwuje wyłącznie ruchy palców użytkownika. To rzeczywista, choć dość wąska korzyść. Przy czym nie ma wątpliwości, że taki losowy, każdorazowo inny układ sam proces autoryzacji przedłuży, ale przyjmijmy, że kilka sekund w tę czy w tamtą nie stanowi różnicy.

Nie rozwiązuje natomiast problemu złośliwego oprogramowania. Keylogger zdolny do przechwytywania wprowadzanych znaków nadal może poznać PIN niezależnie od tego, gdzie na ekranie znajdowały się poszczególne cyfry. Podobnie malware nagrywający ekran i rejestrujący dotknięcia może odtworzyć wpisywany kod. Przestawianie przycisków nie zastępuje ochrony przed przejęciem urządzenia.

Za to skutecznie eliminuje coś, z czego korzystają miliony ludzi, czyli pamięć mięśniową. PIN często wpisujemy podświadomie, zapamiętując sekwencję ruchów zamiast intencjonalnie wyszukiwać każdą cyfrę. Losowy układ zmusza do ciągłego analizowania klawiatury.

Bezpieczeństwo nie powinno oznaczać utrudniania życia

Na szczęście mBank nie zdecydował się na obowiązkową rewolucję. Funkcja jest opcjonalna i można ją włączyć w ustawieniach logowania i autoryzacji.

Nie oznacza to jednak, że nie warto pytać o sens podobnych rozwiązań. Banki coraz chętniej przedstawiają kolejne utrudnienia jako przełom w bezpieczeństwie, choć rzeczywista ochrona bywa ograniczona do bardzo konkretnego scenariusza.

W tym przypadku scenariuszem jest ktoś, kto zapamiętuje położenie naciskanych przycisków, ale nie widzi samych cyfr. Tymczasem użytkownik ma za każdym razem urządzać sobie małą grę w odnajdywanie PIN-u.

mBank znalazł więc sposób, żeby utrudnić życie osobom podglądającym ruchy palców. Przy okazji utrudnił je również właścicielowi telefonu. Tyle dobrego, że nie trzeba dopłacać za tę dodatkową dawkę bezpieczeństwa.