رمزهای پویا، ضروری و زمان بر در مقابله با جرایم اینترنتی
بانک مرکزی تا ابتدای خردادماه سال آینده به بانک‌ها و موسسه‌های اعتباری مهلت داده که رمزهای پویا را جایگزین رمزهای ثابت کنونی در کارت‌های بانکی مشتریان کنند تا به این ترتیب کلاهبرداری‌های اینترنتی از حساب افراد به صفر میل کند.
بانک مرکزی ابتدای شهریورماه امسال «الزامات رمزهای پویا در تراکنش‌های مبتنی بر کارت‌های بانکی» را به شبکه بانکی کشور ابلاغ و دو بازه زمانی برای اجرای آن در نظر گرفت.
به گزارش تجارت‌نیوز، براساس این بخشنامه، از ابتدای آذرماه امسال مسئولیت جبران خسارت مال باختگان ناشی از هک شدن کارت یا کلاهبرداری اینترنتی به بانک یا موسسه اعتباری منتقل شده است اما در عین حال بانک‌ها می‌توانند همزمان خدمات خود را با استفاده از رمز دوم پویا و ایستا به مشتریان ارائه کنند.
در بازه زمانی دوم که ابتدای خردادماه سال آینده در نظر گرفته شده است، دیگر امکان ارائه خدمات بانکی با استفاده از رمزهای ایستا و ثابت از بین می‌رود و همه تراکنش‌های مشتریان باید براساس رمزهای پویا باشد.
دلیل اصلی تهیه و ابلاغ این بخشنامه کاهش کلاهبرداری‌های اینترنتی، هک شدن کارت‌های بانکی مشتریان است که به گفته سردار سید کمال هادیان فر رئیس پلیس تولید و تبادل اطلاعات ناجا (فتا) برداشت‌های غیرمجاز از حساب‌های بانکی در صدر جرائم سایبری کشور قرار دارند.
به گفته وی، برداشت‌های غیر مجاز از حساب بانکی افراد در سال 96 نسبت به سال 95 بیش از 61 درصد افزایش داشته است.
اهمیت این کار زمانی که بدانیم بیش از 400 میلیون کارت بانکی در کشور وجود دارد و به طور متوسط هر شهروند صاحب پنج کارت بانکی است، بیشتر می‌شود زیرا اغلب هموطنان رمز ثابتی را برای همه کارت‌های بانکی خود در نظر می‌گیرند که می‌تواند محملی برای سودجویان و کلاهبرداران باشد.
رمز پویا چیست
براساس بخشنامه بانک مرکزی، رمز پویا به رمز اول یا دوم کارت گفته می‌شود که متغیر بوده و پذیرش آن توسط موسسه اعتباری در خدمات بانکداری و پرداخت الکترونیکی مبتنی بر کارت در یک بازه زمانی مشخص، تنها یکبار صورت پذیرد.
البته برخی از بانک‌ها نظیر سامان، ملت و پاسارگاد از سال‌های گذشته استفاده از رمزهای پویا را برای مشتریان خود آغاز کرده بودند اما این روش الزام قانونی نداشت اما با بخشنامه اخیر اداره نظام‌های پرداخت بانک مرکزی، اکنون همه بانک‌ها و موسسه‌های اعتباری ملزم هستند که این شیوه را اجرا و برای فرهنگسازی میان مشتریان خود بکوشند.
پیگیری خبرنگار ایرنا از بانک‌های کشور نشان می‌دهد بسیاری از بانک‌ها به دلیل آنکه طی بیش از دو دهه پیش در زیرساخت‌های بانکداری الکترونیک سرمایه گذاری کرده‌اند، امکان اجرای رمزهای پویا و یکبار مصرف را دارند اما اجرای آن زمان بر است.
پس از ابلاغ بخشنامه اخیر بانک مرکزی، بانک ملی ایران اعلام کرد که زیرساخت‌های این کار را فراهم کرده است و مشتریان می‌توانند با استفاده از سامانه طراحی شده، رمزهای یکبار مصرف تهیه کنند.
«محمدرضا جمشیدی» دبیرکل کانون بانک‌های خصوصی و موسسه‌های اعتباری با تایید اینکه بسیاری از بانک‌ها هنوز آمادگی اجرای این بخشنامه را در مدت کوتاه تعیین شده تا ابتدای خرداد سال آینده ندارند، اظهار داشت: در گذشته برخی بانک‌ها رمزهای پویا را برای مشتریان خود اجرایی کردند هرچند الزامی در کار نبود و برای امنیت بیشتر به صاحبان کارت می‌گفتند که بهتر است از رمزهای دو یا چند عاملی استفاده کند.
وی افزود: بخشنامه اخیر بانک مرکزی یک الزام برای شبکه بانکی ایجاد کرده که هرچند هدف اصلی آن مقابله با کلاهبرداری اینترنتی است اما می‌توان در کنار آن مباحثی چون مبارزه با پولشویی، احراز هویت صاحبان حساب و رصد تراکنش‌های بانکی را نیز پیگیری کرد.
جمشیدی گفت: از ابتدای آذرماه مسئولیت جبران خسارت ناشی از هک کارت‌های بانکی توسط کلاهبرداران برعهده بانک‌ها نهاده شده است در حالی که بانک‌ها درخواست دارند مهلت بیشتری به آنها داده شود.
وی افزود: درصددیم در نامه‌ای به بانک مرکزی مهلت بیشتری برای بانک‌ها بگیریم تا بتوان با موفقیت این طرح را اجرا کرد.
این مدیر بانکی با اعلام اینکه برخی بانک‌ها از دستگاه‌های او. تی.پی (OTP) برای تولید رمز پویا استفاده می‌کنند، اظهار داشت: اگر بانک‌ها بخواهند با این شیوه رمز پویا برای مشتریان تولید کنند، مستلزم هزینه برای بانک و مشتری است و شاید حتی نیاز باشد این دستگاه‌ها از خارج از کشور تهیه شود.
وی افزود: البته در سند الزامات استفاده از رمز پویا روش‌های دیگری چون تلفن همراه نیز برای ارسال رمز پویا در نظر گرفته شده اما در این سند گفته شده که بانک تنها زمانی می‌تواند از شماره تلفن همراه به عنوان یکی از عوامل احراز هویت استفاده کند که از تطابق اطلاعات مالک تلفن همراه با اطلاعات دارنده کارت اطمینان یابد.
جمشیدی گفت: هیچ سامانه‌ای برای تطبیق اطلاعات مالک شماره تلفن همراه و دارنده کارت بانکی نداریم و این کار امری زمان بر است.
تایید انتقال و رمزهای پویا در اغلب بانک‌های دنیا اجرا می‌شود
«مرتضی تبریزی» مدیر امور فناوری اطلاعات بانک ملت درباره ویژگی‌های این کار به خبرنگار ایرنا گفت: در سال‌های گذشته بانک‌ها با معضل سایت‌های جعلی مشابه تارنمای خود مواجه بودند که کلاهبرداران با هدف «فیشینگ» طراحی کرده و با این کار شماره کاربری و رمز عبور فرد را سرقت می‌کردند.
وی افزود: افزایش فیشینگ برخی بانک‌ها را بر آن داشت تا مشکل را از طریق دستگاه‌های او. تی.پی یا تولیدکننده رمزهای پویا حل کنند؛ این کار بویژه برای حواله‌های اینترنتی با مبالغ بزرگ بسیار کاربردی بود.
این کارشناس بانکداری الکترونیک با اعلام اینکه بخشنامه بانک مرکزی بر ایمن سازی پرداخت‌های اینترنتی تاکید دارد، گفت: با توجه به اینکه امروزه همه بانک‌ها به ابزارهای نوین پرداخت بویژه بانکداری تحت تلفن همراه مجهز شده‌اند، می‌توانند رمزهای پویا را اجرایی کنند.
تبریزی تاکید کرد: نیازی نیست رمز دوم و یکبار مصرف حتما با دستگاه او. تی.پی برای مشتری تولید شود زیرا این کار برای بانک و مشتری هزینه دارد؛ می‌توان از طریق اپلیکیشن موبایل بانک برای فرد پیامک کرد.
وی با بیان اینکه در بانک ملت روزانه بیش از 15 میلییون تراکنش بانکی انجام می‌شود، اظهار داشت: توسعه تجارت الکترونیک در کشور که سبب شده حتی از طریق پیام رسان‌های داخلی و خارجی افراد به معامله کالا و خدمات بپردازند، توسعه زیرساخت‌های امن برای پرداخت‌های ایمن را اجتناب ناپذیر کرده است.
مدیر امور فناوری اطلاعات بانک ملت تاکید کرد: در اجرای رمزهای پویا باید به گونه‌ای عمل کرد که هم کار برای کاربران عادی سخت نشود و هم روش امن باشد.
تبریزی یادآور شد: تایید پرداخت و استفاده از رمزهای یکبار مصرف از روش‌های مرسوم بانک‌ها در اغلب کشورهای جهان است و حتی برخی بانک‌ها برای تایید انتقال پول به صاحب حساب رایانامه ارسال می‌کنند تا در صورت تایید مشتری، انجام شود.
سوءاستفاده از کارت‌های بانکی به صفر می‌رسد
«مجید خادم الحسینی» کارشناس ارشد بانکداری الکترونیک یکی از بانک‌های خصوصی نیز درباره اهمیت این بخشنامه اظهار داشت: در دنیای امروز سودجویان به راحتی می‌توانند با استفاده از شگردهای اطلاعاتی رمزهای ایستای کارت‌های بانکی را استخراج کنند و با استفاده از دستگاه‌های خودپرداز، پایانه‌های فروشگاهی و حتی صفحات اینترنتی برداشت غیرمجاز انجام دهند.
وی افزود: مشکل اینجاست که اغلب افراد رمز ثابت یکسانی را برای چندین حساب خود در نظر می‌گیرند که کار کلاهبرداران را آسان‌تر می‌کند.
خادم الحسینی اظهار داشت: در دستورالعمل بانک مرکزی سه عامل «دانستنی، داشتنی و ویژگی ذاتی» برای احراز هویت اشخاص در نظر گرفته شده که برای داشتن رمزهای پویا باید در کنار عامل دانستنی، از عوامل داشتنی و یا ذاتی نیز استفاده کرد تا احتمال هک شدن افراد کاهش یابد.
این کارشناس حوزه بانکداری الکترونیک افزود: در صورتی که فرد از رمز پویا استفاده کند، احتمال هک شدن کارت وی به صفر می‌رسد مگر اینکه خود فرد با بی توجهی اطلاعات خود را نزد دیگران افشا کند یا در دسترس دیگران قرار دهد.
خادم الحسینی اظهار داشت: رمز پویا فقط برای 60 ثانیه کاربرد دارد و پس از آن دیگر قابل استفاده نیست و فرد باید برای هر تراکنش و اقدامی رمز جدید بگیرد که همین کار سبب می‌شود دیگران نتوانند به راحتی به حساب فرد دسترسی یابند.
وی درباره اینکه آیا برای فعال شدن رمز پویا نیاز است که هرمشتری به دستگاه تولید رمز (OTP) مجهز باشد، اظهار داشت: در سند ابلاغی بانک مرکزی روش‌های متنوعی دیده شده که یکی از آنها دستگاه او. تی. پی است و می‌توان با ابزارهایی چون نرم افزارهای موبایل این رمزها را در اختیار مشتری قرار داد.
آمار شرکت شبکه الکترونیکی پرداخت کارت (شاپرک) در شهریورماه امسال بیانگر آن است که بیش از 244 هزار و 800 میلیارد تومان از نقدینگی کشور با استفاده از نظام‌های پرداخت و با انجام بیش از یک میلیارد و 842 میلیون تراکنش جابجا شد.
سهم ابزارهای پرداخت اینترنتی از این رقم 5.12 درصد، تلفن همراه 6.12 درصد و کارتخوان های فروشگاهی 88.76 درصد بوده است.
با توجه به اینکه پایانه‌های فروشگاهی سهم عمده‌ای از این تراکنش‌ها را در اختیار داشته و اغلب با رمزهای اول کارت‌ها سر کار دارند، اعمال رمزهای پویا در این بخش نیز ضروری است.
از این رو در سند ابلاغی بانک مرکزی به بانک‌ها توصیه شده است که درخصوص تراکنش‌های «با مخاطره زیاد» در خدماتی که از «رمز اول» کارت‌های بانکی استفاده می‌کنند، از رمز پویا با مشخصات مندرج در این سند، به جای رمز اول استفاده کند.
منبع: ایرنا
نظرات