Przed Forum Usług Płatniczych: regulacje i cyberbezpieczeństwo

Karol Mórawski: Przed nami kolejna edycja Forum Usług Płatniczych. Jedna z sesji tego wydarzenia, moderowana przez Pana Prezesa, poświęcona będzie problematyce cyberbezpieczeństwa oraz aspektom prawnym rynku płatniczego. Jakie zagadnienia będą omawiane podczas debaty?

Tadeusz Białek: Podczas sesji dokonamy przeglądu najistotniejszych kwestii, związanych z problematyką cyberbezpieczeństwa w obszarze płatności. Przygotowana przeze mnie, jedna z prezentacji wprowadzających do debaty, poświęcona zostanie wybranym w obszarze cyberbezpieczeństwa płatności elektronicznych rekomendacjom Rady Systemu Płatniczego, umiejscowionej przy strukturach NBP, którego to ciała jesteśmy aktywnym uczestnikiem.

Wśród prezentacji wprowadzających będziemy mieć także prezentacje przedstawiciela firmy Mastercard poświęconą technologii na straży bezpieczeństwa w kontekście ścieżek klienta w procesach w bankowości elektronicznej i mobilnej oraz prezentację Dyrektora Zespołu Bezpieczeństwa Banków w ZBP Piotra Balcerzaka poświęconą cyberprzestępczości związanej z transakcjami oszukańczymi.

Zmuszanie banków do oceny, na ile operacja została autoryzowana przez użytkownika prowadzi do oczekiwania, że bank podejmie się zbadania stanu świadomości i umysłu klienta, czy chciał on autoryzować daną operację, czy też nie

Następnie będziemy przechodzić do panelu, poświęconego problematyce transakcji oszukańczych. W tym panelu z pewnością będziemy chcieli porozmawiać o problemach związanych ze stosowaniem dyrektywy PSD2, gdzie wbrew literalnej treści zapisów tego unijnego aktu prawnego zamiast pojęcia uwierzytelniania zastosowano wyraz autoryzacja, co rodzi oczywiste problemy choćby w zakresie obowiązków dowodowych po stronie banków.

Czytaj także: Przed Forum Usług Płatniczych: po pierwsze płatności natychmiastowe>>>

Kwestia ta podnoszona jest już od dłuższego czasu, jakie jej aspekty będą omawiane podczas Forum?

Będziemy rozmawiać, jak wyglądają możliwości działania banków od strony operacyjnej, a także dlaczego obecne oczekiwania ze strony organów ochrony konsumentów, zwłaszcza UOKiK, są całkowicie nierealistyczne.

Dyrektywa nie nakazuje bankom badania kwestii autoryzacji transakcji, a jedynie właściwego uwierzytelnienia klienta. Zmuszanie banków do oceny, na ile operacja została autoryzowana przez użytkownika prowadzi do oczekiwania od banku, że podejmie się zbadania stanu świadomości i umysłu klienta, czy on chciał autoryzować daną operację, czy też nie.

Będziemy też mówić na pewno o nieustannej potrzebie edukacji klientów, o stosowanych socjotechnikach i manipulacjach ze strony cyberprzestępców, o modelowej współpracy z policją i prokuraturą, ale także o tym jak niektóre organy władzy publicznej mogłyby pomóc w walce z transakcjami oszukańczymi zamiast skupiać się na nieuzasadnionych postępowaniach wobec samych banków także dotkniętych działaniami cyberprzestępców.

W panelu będziemy także mówić o nieuczciwych praktykach samych klientów, oszustwach typu first party fraud, gdzie klienci próbują wyłudzać środki z powoływaniem się na komunikaty UOKIK.  

Czytaj także: Forum Usług Płatniczych 2022>>>

Jakich środków technologicznych można zatem użyć, żeby ograniczać wspomniane zagrożenia?

Cały czas analizujemy różne rozwiązania, tak technologiczne jak i operacyjne, które mogłyby zmniejszyć skalę oszustw.

Do rozwiązań technologicznych należy zaliczyć wdrażanie rozwiązań dotyczących biometrii behawioralnej, która jest w stanie wykrywać w szerszym zakresie nietypowe działania po stronie konsumentów, niemniej tu na przeszkodzie szerszego stosowaniu tego rozwiązania stoją nieżyciowe oczekiwania dotyczące zgody konsumenta.

Tu trzeba by podjąć działania wprost odnoszące się do promocji tego typu rozwiązań technologicznych, których oczywistym celem jest ochrona klientów.

Niekiedy klienci są na tyle zmanipulowani, że potrafią odrzucać połączenia ze strony banków ostrzegające przed tym, że możemy mieć do czynienia z fraudem

Z drugiej strony myślimy o rozwiązaniach operacyjnych, jak np. oczekiwanie stawienia się klienta wprost w oddziale, jeśli pojawia się podejrzenie fraudu skierowanego wobec danego użytkownika. To oczywiście może wydawać się dodatkowym utrudnieniem, jednak jak pokazuje praktyka, pozwala chronić klientów przed działaniami oszukańczymi, czy to w formie socjotechniki czy innymi manipulacjami, choćby w postaci obietnic nadzwyczajnych zysków.

Niekiedy klienci są na tyle zmanipulowani, że potrafią odrzucać połączenia ze strony banków ostrzegające przed tym, że możemy mieć do czynienia z fraudem. W takich wątpliwych sytuacjach staramy się wstrzymywać transakcje i zapraszać do oddziału, by można było klientowi wytłumaczyć, że mamy do czynienia z oszustwem.

W przypadku gdyby klient upierał się co do wykonania transakcji, należy pobrać od niego oświadczenie, że został uprzedzony o istniejącym ryzyku.