Nordea mobiilipankki

[tatulpin]

Pystyykö jonkun pankin mobiilisovelluksella siirtämään rahaa ilman vaihtuvia tunnuslukuja by default? Mulla on OP ja ei tolla onnistu. Tai siis itse voi valita ottaako mobiilitunnuksen käyttöön. Sit voi kuitata maksut kiinteällä itse valitulla koodilla. Mutta toi pitää erikseen aktivoida.

Ei onnistu, Nordealla vaatii käyttäjätunnuksen JA tunnuslukuapin/kortin, S-pankin softassa saa kanssa asettaa tunnusluvun/sormenjäljen jolloin ei tarvi listoja kaivaa, muista ei itellä kokemusta.

 

[Nurffe]

Myös siinä postissa lähetettävässä tunnuslukukortissa on kaikenlaisia hyökkäysvektoreita. Se kulkee monien käsien kautta ennen kuin se tupsahtaa postilaatikkoosi. Jos joku saa sen haltuusi, riittää yllä olevasta listasta kohta 4 ja tieto, milloin vanha listasi lakkaa toimimasta.

No tuota ei oikeastaan. Esim. OP:ssa vanhasta tunnuslukulistasta pitää syöttää tunniste vaihtaessa uuteen tunnuslukulistaan. Eli uudella tunnuslukulistalla ei tee mitään ennen kuin vanha on deaktivoitu ja sen tunnistetiedoilla aktivoitu uusi lista käyttöön

 

[Paapaa]

No tuota ei oikeastaan. Esim. OP:ssa vanhasta tunnuslukulistasta pitää syöttää tunniste vaihtaessa uuteen tunnuslukulistaan. Eli uudella tunnuslukulistalla ei tee mitään ennen kuin vanha on deaktivoitu ja sen tunnistetiedoilla aktivoitu uusi lista käyttöön

Ja mikä on mekanismi kun vanha lista häviää tai vanhenee? Muistelisin, että kun Nordassa vanha lista on vanhentunut/kadonnut, otetaan uusi käyttöön vain laittamalla ensimmäinen tunnusluku. Ohjetta en tähän nyt löydä mistään.

Ainakin S-pankissa: "Verkkopankki ilmoittaa, kun olet käyttänyt vanhan tunnuslukutaulukon loppuun ja sinun on syötettävä seuraava tunnusluku uudesta taulukosta.".

Tästä voisi päätellä, että pelkällä uudella listalla pärjää sopivalla ajoituksella.

 

[Nurffe]

Ja mikä on mekanismi kun vanha lista häviää tai vanhenee? Muistelisin, että kun Nordassa vanha lista on vanhentunut/kadonnut, otetaan uusi käyttöön vain laittamalla ensimmäinen tunnusluku. Ohjetta en tähän nyt löydä mistään.

En tiedä kun en ole tohelo. Aavistelisin että täytyy passin tai vastaaavan kanssa raahautua pankin tiskille ihan fyysisesti paikalle. Pikainen googletus toheloiden avainlukulistojen hukkaamisesta myös vahvistaa aavistustani

 

[Paapaa]

En tiedä kun en ole tohelo. Aavistelisin että täytyy passin tai vastaaavan kanssa raahautua pankin tiskille ihan fyysisesti paikalle. Pikainen googletus toheloiden avainlukulistojen hukkaamisesta myös vahvistaa aavistustani

Vanhenemisen yhteydessä näin ei kyllä tarvitse menetellä. Hävinneen kohdalla voi olla toinen tilanne.

 

[tatulpin]

En tiedä kun en ole tohelo. Aavistelisin että täytyy passin tai vastaaavan kanssa raahautua pankin tiskille ihan fyysisesti paikalle. Pikainen googletus toheloiden avainlukulistojen hukkaamisesta myös vahvistaa aavistustani

Tämähän se on. OP'n listoilla ei ole mitään vanhentumispäivää, loppuu kun loppuu ja hyvissä ajoin kehotetaan vaihtamaan uuteen.

 

[Nurffe]

Vanhenemisen yhteydessä näin ei kyllä tarvitse menetellä. Hävinneen kohdalla voi olla toinen tilanne.

No jos nyt oletetaan että käyttämällä kaikki tunnusluvut listasta pystyisit aktivoimaan seuraavan listan pelkästään syöttämällä ensimmäisen tunnusluvun (ei muuten suurella todennäköisyydellä toimi näin..). Tässä tapauksessa mahdollinen hyökkäsvektori vaatisi että joku kolmas osapuoli onnistuu kaappaamaan postisi ja tietää koska käytät viimeisen tunnuslukusi vanhasta listasta ilman, että olet jo ollut yhteydessä pankkiin ja kysellyt missä se pirun uusi lista viipyy kun tunnusluvut käyvät vähiin. Niin joo ja unohtamatta ettei ne pahviset tunnuslukulistat toimi ilman noin 10 merkin käyttäjätunnusta. Sanotaanko näin ettei tämä kuvitteellinen hyökkäysvektori ainakaan tee paperilistasta turvattomampaa kuin mobiiliratkaisut

 

[Paapaa]

Tämähän se on. OP'n listoilla ei ole mitään vanhentumispäivää, loppuu kun loppuu ja hyvissä ajoin kehotetaan vaihtamaan uuteen.

Muilla pankeilla erilaiset listat. Nordealla siis yliviivattiin lukuja ja ne loppuivat, jolloin alettiin käyttää uutta listaa. S-pankilla ilmeisesti sama juttu. Voi olla muillakin pankeilla.

OP:lla tosiaan käytetään samoja tunnuslukuja. Senkin ongelma on kopioiminen. Palvelu kertoo, mikä tunnusluku pitää seuraavaksi käyttää, joten jos listasta saa kuvan, on turvallisuus vaarantunut. Toki silti pitää tietää kiinteät tunnukset.

Sovellus lisää turvaa siinä, että listaan ei pääse käsiksi ilman tunnistautumista. Kyseessä siis tavallaan tunnuslukukortti, johon on oma PIN-koodi. Ja lisäksi tuo vaatii sen, että puhelin varastetaan.

 

[Paapaa]

No jos nyt oletetaan että käyttämällä kaikki tunnusluvut listasta pystyisit aktivoimaan seuraavan listan pelkästään syöttämällä ensimmäisen tunnusluvun (ei muuten suurella todennäköisyydellä toimi näin..).

Kyllä se vaan noin toimii jos vanha lista on käytetty loppuun - ainakin Nordealla ja S-pankilla. Nordealla saattoi toimia vaikka ei olisikaan käytetty loppuun. Mutta tätä en pysty enää varmistamaan.

Googlettaa...: "Käyttöönotto tapahtuu yksinkertaisesti siten, että alat käyttää niitä. Systeemi hyväksyy sekä seuraavan luvun vanhasta taulukosta että ensimmäisen luvun uudesta taulukosta."

Eli kyllä se juuri noin toimi kuin muistelinkin. Uuden taulukon pystyi aktivoimaan koska tahansa uuden taulukon ensimmäisellä luvulla. (Typerää, mutta noin se oli toteutettu.)

Tässä tapauksessa mahdollinen hyökkäsvektori vaatisi että joku kolmas osapuoli onnistuu kaappaamaan postisi ja tietää koska käytät viimeisen tunnuslukusi vanhasta listasta ilman, että olet jo ollut yhteydessä pankkiin ja kysellyt missä se pirun uusi lista viipyy kun tunnusluvut käyvät vähiin. Niin joo ja unohtamatta ettei ne pahviset tunnuslukulistat toimi ilman noin 10 merkin käyttäjätunnusta. Sanotaanko näin ettei tämä kuvitteellinen hyökkäysvektori ainakaan tee paperilistasta turvattomampaa kuin mobiiliratkaisut

Mun mielestä se tekee siitä juuri siksi, että sen tunnuslukukortin voi aika helposti kopioida matkalla pankista omaan postilaatikkoon. Ja yllä nimenomaan ratkesi, että tämä oli vieläpä täysin mahdollista ainakin Nordeassa. S-pankissa uusi taulukko pitää aktivoida vanhalla taulukolla, joten se aukko on tukittu. Silti tuo vanheneminen on kummassakin ongelma ja veikkaan, että on toteutettu niin, että uuden voi tällöin aktivoida 1. luvulla.

 

[Nurffe]

Muilla pankeilla erilaiset listat. Nordealla siis yliviivattiin lukuja ja ne loppuivat, jolloin alettiin käyttää uutta listaa. S-pankilla ilmeisesti sama juttu. Voi olla muillakin pankeilla.

OP:lla tosiaan käytetään samoja tunnuslukuja. Senkin ongelma on kopioiminen. Palvelu kertoo, mikä tunnusluku pitää seuraavaksi käyttää, joten jos listasta saa kuvan, on turvallisuus vaarantunut. Toki silti pitää tietää kiinteät tunnukset.

Sovellus lisää turvaa siinä, että listaan ei pääse käsiksi ilman tunnistautumista. Kyseessä siis tavallaan tunnuslukukortti, johon on oma PIN-koodi. Ja lisäksi tuo vaatii sen, että puhelin varastetaan.

Sovellus on myös puhelimessa joka on jatkuvassa yhteydessä julkiseen verkkoon joka lisää noin miljoona uutta hyökkäystapaa versus paperilappu joka on lipaston laatikossa kotona

OP:lla esimerkiksi tunnuslukulista tulee vähän erikoisesti paperiin liimattuna ettei sitä saa auki tai luettua ilman että listan irroittamisen huomaa. Eli sen kopioiminen on vaikeaa ilman että käyttäjä huomaa asiaa. Ja tämäkin vaatii sen että postin setä availisi kirjekuoren, jollain ihme vippaskonstilla onnistuisi kopioimaan listan vaikka se on tehty äärimmäisen vaikeaksi ja tämän jälkeen sulkemaan kirjeen takaisin kuoreen ja välittämään loppukäyttäjälle aktivoimista varten. Unohtamatta taas että pitäisi se käyttäjätunnus tietää jota ei ole kirjekuoressa

Yrität nyt keksiä avain käsittämättömiä hyökkäysvektoreita jo vuosia käytössä olleelle tavalle jossa ei ole raportoitu haavoittuvuuksia ja vertaat mobiilisovellukseen jota käytetään käyttäjän puhelimessa joka on jatkuvassa yhteydessä julkiseen verkkoon. Yeah right

 

[Nurffe]

OP:lla tosiaan käytetään samoja tunnuslukuja. Senkin ongelma on kopioiminen. Palvelu kertoo, mikä tunnusluku pitää seuraavaksi käyttää, joten jos listasta saa kuvan, on turvallisuus vaarantunut. Toki silti pitää tietää kiinteät tunnukset.

Lisätään tähän nyt vielä että OP:lla et pääse edes tunnuslukulistan koodeillakirjautumaan. Kirjaudut käyttäen käyttäjätunnusta ja salasanaa joita ei löydy siitä tunnuslukulista. Et siis tee mitään tunnuslukulistalla vaikka kaikki lähes mahdottomat esittämäsi tavat kaapata/kopioida tunnuslukulista olisi mahdollista

 

[Paapaa]

Sovellus on myös puhelimessa joka on jatkuvassa yhteydessä julkiseen verkkoon joka lisää noin miljoona uutta hyökkäystapaa versus paperilappu joka on lipaston laatikossa kotona

OP:lla esimerkiksi tunnuslukulista tulee vähän erikoisesti paperiin liimattuna ettei sitä saa auki tai luettua ilman että listan irroittamisen huomaa. Eli sen kopioiminen on vaikeaa ilman että käyttäjä huomaa asiaa. Ja tämäkin vaatii sen että postin setä availisi kirjekuoren, jollain ihme vippaskonstilla onnistuisi kopioimaan listan vaikka se on tehty äärimmäisen vaikeaksi ja tämän jälkeen sulkemaan kirjeen takaisin kuoreen ja välittämään loppukäyttäjälle aktivoimista varten. Unohtamatta taas että pitäisi se käyttäjätunnus tietää jota ei ole kirjekuoressa

Yrität nyt keksiä avain käsittämättömiä hyökkäysvektoreita jo vuosia käytössä olleelle tavalle jossa ei ole raportoitu haavoittuvuuksia ja vertaat mobiilisovellukseen jota käytetään käyttäjän puhelimessa joka on jatkuvassa yhteydessä julkiseen verkkoon. Yeah right

Ei kyse ole käsittämättömästä. Vaan aika ymmärrettävästä ja periaatteessa toteuttamiskelpoisesta (Nordean kohdalla). Siihen vaaditaan yksi epärehellinen postinkantaja ja esim. muistisairas vanhus, joka ei heti tajua, että vanhat tunnarit on jo vanhentuneet. Tällöin postinkantajalla on tiedossa seuraava koodi. Onko tämä tosiaan käsittämätöntä? Ja tietenkin sen käyttäjätunnuksen onginta jostain on tehtävä. Keyloggerilla/phishing? Ei missään nimessä helppoa mutta mahdollista.

Säkin taidat unohtaa, että sillä kännykällä+tunnuslukusovelluksella ja sen PIN-koodillakaan (sekä puhelimen, että sen softan) ei saa (ainakaan Nordeassa) tehtyä juuri mitään, vaan vaaditaan yhä myös käyttäjätunnus, jota ei lue missään. Eli toisin kuin tunnuslukutaulukko, on se sovellus yleensä 2-3 tunnistautumisen päässä käytöstä, sen päälle vielä käyttäjätunnus. Ja sovelluksen ei tarvitse olla "jatkuvassa yhteydessä julkiverkkoon", vaan ainoastaan kun se käynnistetään pankkiin kirjautumisen yhteydessä.

Toistaiseksi en kyllä itse ainakaan kaipaa tunnuslukutaulukoita. Muutan kyllä mielipidettäni, jos esim. Nordean softasta paljastuu merkittävä haavoittuvuus.

Ja jottei jää epäselväksi: en usko, että kummassakaan tavassa on suuria heikkouksia - jos tosin tuo Nordean lista on aika kyseenalainen. OP:n on mielestäni parempi. Mutta senkin voi kopioda, jolloin keyloggerilla/phishing kiinteät tunnukset. Ei toki helppoa. Käytän varsin turvallisin mielin kumpaakin, sovellus on toki paaaljon käyttäjäystävällisempi.

 

[tatulpin]

Tuo Nordean appihan toimii myös offlinessa.

 

[Nurffe]

Ei kyse ole käsittämättömästä. Vaan aika ymmärrettävästä ja periaatteessa toteuttamiskelpoisesta (Nordean kohdalla). Siihen vaaditaan yksi epärehellinen postinkantaja ja esim. muistisairas vanhus, joka ei heti tajua, että vanhat tunnarit on jo vanhentuneet. Tällöin postinkantajalla on tiedossa seuraava koodi. Onko tämä tosiaan käsittämätöntä? Ja tietenkin sen käyttäjätunnuksen onginta jostain on tehtävä. Keyloggerilla/phishing? Ei missään nimessä helppoa mutta mahdollista.

Taitaa olla helpompaa vain mennä kahville postia toimittaessa ja huijata mummolta rahat jos nyt tälle jos jos jos linjalle lähdetään

Säkin taidat unohtaa, että sillä kännykällä+tunnuslukusovelluksella ja sen PIN-koodillakaan (sekä puhelimen, että sen softan) ei saa (ainakaan Nordeassa) tehtyä juuri mitään, vaan vaaditaan yhä myös käyttäjätunnus, jota ei lue missään. Eli toisin kuin tunnuslukutaulukko, on se sovellus yleensä 2-3 tunnistautumisen päässä käytöstä, sen päälle vielä käyttäjätunnus. Ja sovelluksen ei tarvitse olla "jatkuvassa yhteydessä julkiverkkoon", vaan ainoastaan kun se käynnistetään pankkiin kirjautumisen yhteydessä.

Toistaiseksi en kyllä itse ainakaan kaipaa tunnuslukutaulukoita. Muutan kyllä mielipidettäni, jos esim. Nordean softasta paljastuu merkittävä haavoittuvuus.

En ole unohtanut. En ole edes tarkemmin kommentoinut mobiiliasioimisen haavoittuvuuksia ja mennyt syvemmälle kirjautumismetodeihin. Ei se mobiilipankkikaan lähtökohtaisesti toki mikään reikäleipä ole, mutta on tuosta onnistuttu poistamaan se yksi ylimääräinen security layer jonka fyysinen avainlukulista on tarjonnut. Käyttö on toki helppokäyttöisempään, mutta helppokäyttöisyys tulee turvallisuuden kustannuksella. Se onko turvallisuus silti riittävä selviää vuosien varrella

Ja jottei jää epäselväksi: en usko, että kummassakaan tavassa on suuria heikkouksia - jos tosin tuo Nordean lista on aika kyseenalainen. OP:n on mielestäni parempi. Mutta senkin voi kopioda, jolloin keyloggerilla/phishing kiinteät tunnukset. Ei toki helppoa. Käytän varsin turvallisin mielin kumpaakin, sovellus on toki paaaljon käyttäjäystävällisempi.

Olen kyllä itsekin ihmetellyt tuota nordean verkkosivujen kirjautumistapaa vuosien saatossa kun muutaman kaverin nähnyt sinne kirjautuvan. Omaan silmään näytti ainakin silloin hieman hazardilta

 

[Don Stupido]

Ei ole. Saat laittaa PIN-koodiksi jotain muuta kuin 1234. Mobiilipankkia ei käytetä selaimessa, vaan ainakin Nordealla on oma sovellus. Ei tarvitse (tai edes voi?) tallettaa kirjautumistietoja sinne. Esim. jos voro haluaa tehdä jotain jäynää, tämän pitää:

1. varastaa kännykkäni
2. ohittaa sormenjälkitunnistus (katkaista sormeni?)
3. (Tässä kohdassa voi tarkastella tilitietoja, mutta ei tehdä mitään, kuten lukea viestejä tai siirtää rahaa)
4. urkkia jotain muuta kautta 8-numeroinen käyttäjätunnukseni
5. urkkia taas jotain muuta kautta 4-numeroinen PIN-koodini (joka voi olla joku muukin kuin 1234).

Tämä kaikki pitäisi tehdä ennen kuin estän tuon kaiken omalta tietokoneeltani tai soittamalla aspaan. Taidat olla ihan hiukkasen vainoharhainen Myös siinä postissa lähetettävässä tunnuslukukortissa on kaikenlaisia hyökkäysvektoreita. Se kulkee monien käsien kautta ennen kuin se tupsahtaa postilaatikkoosi. Jos joku saa sen haltuusi, riittää yllä olevasta listasta kohta 4 ja tieto, milloin vanha listasi lakkaa toimimasta.

Olen tyytyväinen, että tuo tunnuslukusovellus on tullut käyttöön.

Better safe than sorry, kuten sanotaan.

Ja kaikista eniten ainakin itseäni tässä ärsyttää juurikin tuo hinnaston avulla tehtävä mobiilipankin pakotus. Kotimaiset pankit kun vain jostain syystä tykkäävät muutella noita asiakkaidensa palveluita mielivaltaisesti ilman, että kysyvät asiakkaalta mitään haluaako niitä vai ei. (Tyyliin jos et hyväksy tätä niin vaihda sitten pankkia.) Asiakaslähtöinen palvelu huipussaan.

 

[Fenotype]

Se mobiili tunnistautuminen "pakotetaan" siksi että nordealle maksetaan parempi hinta myydyistä asiakkaan tiedoista, kun tilin tiedot voidaan yhdistää puhelinnumeroon.

 

[Paapaa]

Se mobiili tunnistautuminen "pakotetaan" siksi että nordealle maksetaan parempi hinta myydyistä asiakkaan tiedoista, kun tilin tiedot voidaan yhdistää puhelinnumeroon.

Nordeallahan on ainakin tuoreiden asiakkaittensa puhelinnumerot vaikka nämä eivät käyttäisi mitään mobiilipankkia. Puhelinnumeroa on käytetty yhteydenottoihin ja esim. isompien tilisiirtojen hyväksymiseen kauan ennen kuin mobiilipankkia edes oli. Esim. OP:lle jos avaa verkossa asiakkuutta, vaaditaan matkapuhelinnumero. Sitä en osaa sanoa, jos on jotain hyvin vanhoja asiakkaita ja asiakkuuksia, joiden kohdalla puhelinnumero puuttuu. Veikkaan, että yhteystiedot on yhdenmukaistettu aikaa sitten. En ihmettelisi, jos laki vaatii puhelinnumeron.

Ja konsernin ulkopuolellehan ei mitään asiakastietoja edes saa myydä pankkien rekisteriselosteiden ja henkilötietolain mukaan. Joten epäilen tietojenmyyntiä.

Se voisi olla motiivi, jos tosiaan joidenkin asiakkaiden puhelinnumeroita puuttuu ja heille haluttaisiin kohdistaa puhelinmarkkinointia, (jonka voi helposti kieltää). Epäilen kyllä tätä motiivia (koska veikkaan että ne puhelinnumerot jo löytyvät).

 

[minnis]

Nordeallahan on ainakin tuoreiden asiakkaittensa puhelinnumerot vaikka nämä eivät käyttäisi mitään mobiilipankkia. Puhelinnumeroa on käytetty yhteydenottoihin ja esim. isompien tilisiirtojen hyväksymiseen kauan ennen kuin mobiilipankkia edes oli. Esim. OP:lle jos avaa verkossa asiakkuutta, vaaditaan matkapuhelinnumero. Sitä en osaa sanoa, jos on jotain hyvin vanhoja asiakkaita ja asiakkuuksia, joiden kohdalla puhelinnumero puuttuu. Veikkaan, että yhteystiedot on yhdenmukaistettu aikaa sitten. En ihmettelisi, jos laki vaatii puhelinnumeron.

Ja konsernin ulkopuolellehan ei mitään asiakastietoja edes saa myydä pankkien rekisteriselosteiden ja henkilötietolain mukaan. Joten epäilen tietojenmyyntiä.

Se voisi olla motiivi, jos tosiaan joidenkin asiakkaiden puhelinnumeroita puuttuu ja heille haluttaisiin kohdistaa puhelinmarkkinointia, (jonka voi helposti kieltää). Epäilen kyllä tätä motiivia (koska veikkaan että ne puhelinnumerot jo löytyvät).

Joo, itse kun kävin tuossa muutama kuukausi sitten pankissa, niin ennenkuin suostuivat asiaani käsittelemään piti tehdä "asiakastietojen päivitys" jossa kysyivät mm. tuon puhelinnumeron. Että eiköhän nordealla suurimman osan asiakkaiden puhelinnumerot jo löydy valmiina, kyllä tässä mobiilipankki/tunnuslukusovellus pakotuksessa on joku muu taustalla.

 

[jarp]

Esim. jos voro haluaa tehdä jotain jäynää, tämän pitää:

1. varastaa kännykkäni
2. ohittaa sormenjälkitunnistus (katkaista sormeni?)
3. (Tässä kohdassa voi tarkastella tilitietoja, mutta ei tehdä mitään, kuten lukea viestejä tai siirtää rahaa)
4. urkkia jotain muuta kautta 8-numeroinen käyttäjätunnukseni
5. urkkia taas jotain muuta kautta 4-numeroinen PIN-koodini (joka voi olla joku muukin kuin 1234).

Näin, jos Androidin tietoturva olisi millään järjellisellä tasolla, mutta kun ei ole. Käytännössä root-exploitteja löytyy jatkuvasti ja pahimmat ovat olleet remote root exploitteja (mms:llä puhelin haltuun, muistaako joku?). Jos olisin rikollinen, iloitsisin aika tavalla tähän mobiiliin pakottamisesta, kehittäisin troijalasen joka kykenee kaappaamaan eri pankkien verkkopankkisovelluksen + tunnuslukusovelluksen käyttöönsä ja odottelisin rauhassa seuraavaa vakavaa exploittia, jonka jälkeen liipaisin troijalaisen matkaan.

PC-maailmassa toki on täsmälleen samat ongelmat, mutta PC-maailman tietoturva on merkittävästi Androidia parempi ihan jo pelkästään sen vuoksi, että Microsoft pakkopäivityttää Windowsit ajan tasalle. Suurinta osaa Androideista ei voi edes päivittää, vaikka haluaisi, koska valmistajia ei kiinnosta paskaakaan. Aivan satavarmasti paperinen tunnuslukulista + verkkopankki PC:llä on turvallisempi, kuin mobiilivirivirit, ainakin siksi kunnes Android-valmistajat alkavat ottaa tietoturvan vakavasti.

Itse suostuisin käyttämään mobiilipankkia vain, jos sille olisi oma dedikoitu laite, jonne ei tulisi asennettua mitään ylimääräistä. Tai ainakin pitäisi olla erillinen tunnuslukulaite (kuten minulla onkin), eikä samassa puhelimessa mobiilipankkia + tunnuslukusovellusta.

 

[Fenotype]

Ja konsernin ulkopuolellehan ei mitään asiakastietoja edes saa myydä pankkien rekisteriselosteiden ja henkilötietolain mukaan. Joten epäilen tietojenmyyntiä.

PSD2-maksupalveludirektiivi.

”Uusi PSD2-sääntely muuttaa pankkialaa, pankkien on avattava rajapintojaan ulkopuolisille toimijoille, jotta nämä voivat tarjota palvelujaan tilinomistajille”,
Nordean Erik Zingmark sanoo tiedotteessa.

Danske Bank on kehittänyt yrityksille uuden palvelun, joka käyttää hyväkseen tilitietojen avautumista kolmansille osapuolille.
”Tähän saakka pirstaleisesta, eri järjestelmissä olevasta tiedosta on ollut vaikea koota yhteistä näkymää”,
kertoo Dansken Markets-yksikön valuutta-asiantuntija Terhi Koivikko-Mäkinen kertoo Kauppalehdelle.

Näin vaikuttaa psd2 – KL: Danske avaa rajapintansa ja kerää muiltakin pankeilta tiedot uuteen palveluunsa

Oikeastaan, haluan uskoa niinkuin muutkin, että mitään tietoja ei anneta kenellekkään. lalalaa (korvat kädeillä peitettynä)

 

[Paapaa]

PSD2-maksupalveludirektiivi.

”Uusi PSD2-sääntely muuttaa pankkialaa, pankkien on avattava rajapintojaan ulkopuolisille toimijoille, jotta nämä voivat tarjota palvelujaan tilinomistajille”,
Nordean Erik Zingmark sanoo tiedotteessa.

Löysääpä hiukan sitä foliota Toihan ei liity millään tavalla asiakastietojen luovutuksiin. Tuossa on kyse pankkien järjestelmärajapintojen avaamisesta, joka ei millään tavalla muuta pankkien oikeuksia luovuttaa asiakastietoja eteenpäin. ASIAKAS päättää PSD2:nkin jälkeen, liikkuuko ne omat tiedot mihinkään vai ei. Se vain tarkoittaa, joku voi kehittää verkkopalvelun vaikka oman talouden seurantaan. Yhä edelleen on sinusta kiinni, alkaisitko tuollaista palvelua käyttää ja antaisitko palvelulle luvan päästä käsiksi tilitietoihisi. Jatkossakin pitää tunnistautua, ennen kuin yksikään tilitapahtuma liikkuu minnekään.

Päinvastoin, reilun kuukauden päästä voimaan tulevan GDPR:n takia henkilörekisterien käsittelyä ja valvontaa tiukennetaan entisestään ja yksityishenkilöiden oikeudet paranevat koskien omien tietojensa rekisteröintiä ja tietojen poistoa. Ohjelmistoala on hiukan helisemässä tuon takia, sillä toi vaikuttaa hirmuiseen joukkoon palveluita.

 

[Fenotype]

Löysääpä hiukan sitä foliota

Pipoa löysätty.
(tuo nordean uusi, ilmainen puhelin sovellus ja maininta Nordean Erik Zingmark tiedotteessa "Pilotissa käytetään aluksi vain suomalaisten asiakkaiden tietoja"
sai itseni hieman triggeroitumaan.)

 

[zepi]

Itse suostuisin käyttämään mobiilipankkia vain, jos sille olisi oma dedikoitu laite, jonne ei tulisi asennettua mitään ylimääräistä. Tai ainakin pitäisi olla erillinen tunnuslukulaite (kuten minulla onkin), eikä samassa puhelimessa mobiilipankkia + tunnuslukusovellusta.

Halpoja kännyköitähän saa ja mikäänhän ei estä ostamasta pöytälaatikkoon mobile-bank luuria erikseen.

Tai vaikka vaihtamasta iOS:ään / hommaamaan käytettyä iphonea / ipod touchia / ipadia tjsp.

 

[Paapaa]

Halpoja kännyköitähän saa ja mikäänhän ei estä ostamasta pöytälaatikkoon mobile-bank luuria erikseen.

Tai vaikka vaihtamasta iOS:ään / hommaamaan käytettyä iphonea / ipod touchia / ipadia tjsp.

Ja aika pitkälle pääsee kun pitää luurinsa päivitettynä, ei asenna paskaa tuntemattomista lähteistä, eikä jatka luurin käyttöä kun tietoturvapäivityksiä ei enää valmistajalta saa. Nordeahan uskaltaa väittää, että tunnuslukusovellus on käytännössä murtovarma: "Tunnuslukusovellukseen murtautuminen on käytännössä tehty mahdottomaksi. Jos mobiililaitteen tietoturvaa yritetään murtaa, tekee sovellus itsestään automaattisesti käyttökelvottoman". Tuskin mahdotonta, mutta kuitenkin. Olisi ihan kiinnostava tietää tarkemmin tuon toteutuksesta.

Mutta jos kerran direktiivi kieltää jatkossa tunnuslukutaulukot, on meillä kohta hyvin iso populaatio käyttämässä tunnuslukusovelluksia. Sitten ollaan viisaampia, lisääntyvätkö väärinkäytökset.

 

[Err]

eikä jatka luurin käyttöä kun tietoturvapäivityksiä ei enää valmistajalta saa.

Ihme ettei Nordea ole keksinyt rajoittaa tunnuslukusovelluksen käyttöä pelkästään Nexus ja Pixel luureille Androidin puolella, jos Samsunginkin kokoisella valmistajalla loppuu tuki muutaman päivityksen jälkeen monissa halvemmissa luureissa.
Mutta nähtävästi pitää vain uskoa että se Nordean root-tarkistus tekee siitä tunnuslukusovelluksesta murtovarman kun noin varmoja ovat.

 

[tatulpin]

Ihme ettei Nordea ole keksinyt rajoittaa tunnuslukusovelluksen käyttöä pelkästään Nexus ja Pixel luureille Androidin puolella

Niin, ehkä Nordea toivoo, että sille olis käyttäjiä.. ihan toimiva sovellus kyllä, välillä saa vaan odotella, että voi näpytellä koodia.

 

[zepi]

Ihme ettei Nordea ole keksinyt rajoittaa tunnuslukusovelluksen käyttöä pelkästään Nexus ja Pixel luureille Androidin puolella, jos Samsunginkin kokoisella valmistajalla loppuu tuki muutaman päivityksen jälkeen monissa halvemmissa luureissa.
Mutta nähtävästi pitää vain uskoa että se Nordean root-tarkistus tekee siitä tunnuslukusovelluksesta murtovarman kun noin varmoja ovat.

Mutuilisin, että nordea tuskin on itse mitään root-tarkastuksia koodannut. Noita voi ostaa kaupallisilta tahoilta valmiina moduuleina. Todennäköisesti sellainen kannattaakin hommata, sillä pankkiviranomaiset voivat hyvinkin vaatia auditoitua koodia ja tuollaisten toimittajat myyvät koodiaan monille pankeille -> vain yksi auditointivaatimus vs. joka pankki koodaa omansa.

 

[Pertti Kosunen]

Eiköhän tuo tarkistus kuulu Android-koodareilla alkeisiin.

 

[Niksu]

Tuon root tarkistuksen pystyy kyllä helposti ohittamaan. Nimimerkillä käytössä Rootattu Oneplus 5T ja käytän siinä päivittäin Nordean mobiilipankkia, tunnuslukusoftaa ja Nordea pay:tä/wallettia (eli siis lähimaksua kaupassa) Magik softalla roottaus ja Magik hide nimisellä softalla / ominaisuudella saa rootin piilotettua niin, että nuo pankki softat ei sitä havaitse ja googlen oma safetynet tarkistus menee läpi kirkkaasti.

 

[akse]

Näin kärjistäen, kuinka vainoharhainen autisti täytyy olla ettei halua/uskalla käyttää mobiilipankkia herran vuonna 2018? Tunnuslukusovellusta varten täytyy joka tapauksessa olla älypuhelin, siihen asentaa mobiilipankinkin ja simsalabim ei maksa mitään.

En ajatellut hankkia mobiilipankkia, enkä tunnuslukusovellusta, ihan periaatteesta.

1. Miksi pakotetaan tämän käyttöön, mikä on hyöty Nordealle? Avainasiakkaalle ei juuri mitään hyötyä. Perusasiakkaalle kyllä halvemmat kulut.
2. Miksi verkkopankkia ei vain uudistettu ja tehty sille parempaa tukea mobiililaitteelle, siten että et juuri erottaisi oletko web sivulla vai sovelluksessa?
3. Jos käyttöjärjestelmä ei tue mobiilipankki sovellusta niin joudut maksamaan joko kk maksua tai uuden puhelimen.
4. Taitaa löytyä vanhoja Android puhelimiakin, joille tätä sovellusta ei voi asentaa?
5. Eniten hämäsi täällä ( Mobiili Plus ja Peruspaketti ) lukeva vaatimus Mobiilipankin Aktiivisesta käytöstä. Eli ei riitä että sen sovelluksen on hankkinut, mutta onko Nordealla joku counteri siellä jos et käytä sovellusta niin maksut nousee?

Mobiili Plus -paketin edellytyksenä on, että asiakas käyttää Mobiilipankkia. Yhdelle asiakkaalle tämä voi tarkoittaa, että tarkastaa tilin saldon päivittäin ja toiselle asiakkaalle, että maksaa laskun kerran kuukaudessa. Pelkkä Mobiilipankin lataaminen puhelimeen ei siis riitä.

Jossain Twitterissä Nordea vastasi ettei näin muka ole, mutta nätisti vieläkin sivuilla lukee noin.
Voisin periaattessa asentaa mobiilipankin ja katsoa että kulut on edelleen 0€ ja sen jälkeen poistaa sen turhana. Mutta jos vaatimus on aktiivinen käyttö niin mitä vittua?

Itselle mobiilipankki sovelluksella ei ole juuri mitään käyttöä. Käyn jotain 1-2 kertaa kuukaudessa verkkopankissa.
Saldo ei kiinnosta. Aina on riittävästi.
Laskut tietää suunnilleen. Isommat kerran vuodessa olevat tulee pääasiassa paperina, kun siinä tulee yhteenveto samalla (vakuutukset jne.)
Luottokortin maksut käy nollaamassa kerran kk, jos siellä jotain on. Ja siirtää lainatilille rahaa.

Noistakin voisi monet vielä automatisoida, mutta pysyy hieman kärryllä kun kerran kk käy jotain laskuja vahvistamassa.

Nordea saa lähettää sen uuden tunnuslukulaitteen, mutta ehkä olen jo vaihtanut pankkia ennen sitä tämän viimeisen toilailun jälkeen. Tai voisihan sen odottaa ja vaihtaa sen jälkeen pankin, tulisi Nordealle vielä kulut siitä laitteesta.

Tunnuslukusovellusta en laita. Entäs jos puhelimen akku loppuu tai puhelin hajoaa yms. Ja pitäs päästä verkkopankkiin? Toi skenaario riittää mulle. Ihan hyvin toiminut toi työpöydällä oleva tunnuslukulista (ehkä tuleva kortti). Nytkin olen PC:llä ja puhelin on jossain ihan muualla.. kortti on tuossa edessä.

Nordean palvelutkin on kyllä menny niin alas että eipä paljon tee mieli enää asiakkaana olla. Mitään face2face palvelua ei taida enää olla. Kyseltiin uutta pientä lainaa tuossa niin tänään pitäisi puhelimen välityksellä keskustella asiasta (wtf?).

 

[gratnak]

Onhan jotkut toiminnot, ainakin minun mielestäni, helpompaa työpöytäselaimella. Tosin, itsekin käytän enemmän mobiilia perusjuttuihin, useat laskus vahvistan sieltä. Että on se mobiilipankki ihan toimiva juttu, pieniä puutteita vain.

On aika hanurista tuo Nordean hinta verkkopankille. Olisi aika katsella muita pankkeja, mutta mitä kavereilta nähnyt pintapuolisesti, Nordean palvelut ovat edellä muita.

Itse vaihdoin juuri pankkia OP:hen Nordeasta ja voin sanoa, ettei Nordean palvelut nyt kyllä juurikaan eroa OP:n palveluista. Toki mobiilisovelluksessa ja verkkopankissa on eroja, mutta oikeastaan ainoat erot mitä olen pankkien välillä huomannut:

1. Nordealla kiinteät kuukausikulut kattavat suurimman osan palveluista. OP:lla taas paljon ns. mikromaksuja. (henk koht ja tmi pankkipalvelut)

2. Nordealle plussa siitä, että kortin PIN-koodin saa mieleisekseen ja saman PIN-koodin saa useampaan korttiin. Toki tämä on turvallisuusriski, mutta helpottaa aika paljon elämää useamman kortin kanssa puljatessa kun on paljon muitakin numeroita mitä maailmassa pitää muistaa.

Tuon root tarkistuksen pystyy kyllä helposti ohittamaan. Nimimerkillä käytössä Rootattu Oneplus 5T ja käytän siinä päivittäin Nordean mobiilipankkia, tunnuslukusoftaa ja Nordea pay:tä/wallettia (eli siis lähimaksua kaupassa) Magik softalla roottaus ja Magik hide nimisellä softalla / ominaisuudella saa rootin piilotettua niin, että nuo pankki softat ei sitä havaitse ja googlen oma safetynet tarkistus menee läpi kirkkaasti.

Magiskilla onnistuu näppärästi juuri tuolla Hidellä, myös Xposedin moduuleilla homma hoituu. Ei mitään ongelmaa käyttää Nordean sovelluksia. Harmi, että OP:n mobiilipankkiin ei ainakaan vielä ole löytynyt kiertotietä (ainakaan Magisk Hide ei toimi). Jos jollain on tähän kikka niin otan mieluusti vinkin vastaan

Vielä sanottava, että jos pelko mobiilipankin tietoturvan suhteen on kova, muistaakseni pankeilla on olemassa tekstiviestivarmenne. Eli ennen kuin jotain merkittävää tileilläsi tapahtuu, pitää kaikkien normaalien kirjautumisten lisäksi vielä erikseen hyväksyä tapahtumat tekstiviestivarmenteella.

 

[Pertti Kosunen]

Hyviä ja huonoja puolia Aktiasta ja Handelsbankenista, kumpaan kannattaa vaihtaa?

 

[mikkelson]

@gratnak Itsellä ainakin tulee OP:n palvelumaksut edullisemmaksi kuin Nordean. Nordeasta edelleen menee itsellä 5€/kk palvelumaksuja kun siellä on opintolainan maksutili josta lyhennykset menevät. Osuuspankissa palvelumaksut on taas joka kuukausi pelkästään 2,95€ koska on omistaja-asiakas (+OP-visa). Tuokin summa menee joka kuukausi bonuksista mitä omistaja-asiakkaana kertyy niin periaatteessa ne kulut on 0€/kk. Mitään paperisia tiliotteita en tarvitse enkä käytä käteistä/pankkiautomaatteja niin ei noita yleisiä mikromaksuja kerry.

edit. ilmeisesti jokaisella osuuspankilla on oma hinnastonsa niin en mene vannomaan että muualla olisi yhtä halpaa kuin omassa kotipankissa

 

[gratnak]

@gratnak Itsellä ainakin tulee OP:n palvelumaksut edullisemmaksi kuin Nordean. Nordeasta edelleen menee itsellä 5€/kk palvelumaksuja kun siellä on opintolainan maksutili josta lyhennykset menevät. Osuuspankissa palvelumaksut on taas joka kuukausi pelkästään 2,95€ koska on omistaja-asiakas (+OP-visa). Tuokin summa menee joka kuukausi bonuksista mitä omistaja-asiakkaana kertyy niin periaatteessa ne kulut on 0€/kk. Mitään paperisia tiliotteita en tarvitse enkä käytä käteistä/pankkiautomaatteja niin ei noita yleisiä mikromaksuja kerry.

edit. ilmeisesti jokaisella osuuspankilla on oma hinnastonsa niin en mene vannomaan että muualla olisi yhtä halpaa kuin omassa kotipankissa

Nordean yleiset linjaukset olivat suurin syy, miksi olen vaihtanut pankkia, mutta jatkuvat maksujen nousut olivat sitten se viimeinen sysäys - ihan periaatteesta. Moni asiakaskin toistelee sitä samaa mantraa, ettei ilmaisia palveluja ole. En tiedä milloin maailma meni niin pahasti vikaan, että pankille pitää maksaa siitä, että se saa asiakkaiden pääoman itselleen käyttöönsä ja tekee sillä valtaisaa voittoa. Ennen pankit sentään maksoivat jonkinlaista hyvitystä (korkoa) asiakkaalle siitä. Itselläni oli Nordean viimeisin palvelumaksuveloitus 11 € / kk ja esim. automaattisaldokyselyistäkin meni kertamaksu. Yritystileillä onkin sitten hintaa ihan reilunlaisesti.

Olen ymmärtänyt, että OP ottaa paljon erilaisia mikromaksuja, mutta asiakas-omistajana nämä tietenkin kuittaa melko pitkälti bonuksilla pois. Yrittäjäasiakasta taas tällaisilla ylimääräisillä herkuilla ei hemmotella, maksuvalineenä on vain kylmä käteinen. Tosin vaikutti siltä, että hinnoittelu on aika paljon inhimillisempi kuin Nordealla.

Tuo on mielestäni typerää, että ison konsernin konttorit voivat tehdä itsenäisiä päätöksiä mm. palveluiden hinnoittelussa. Toki asiakas voi avata tilinsä vaikka toiselle puolea maata ja valita halvimman konttorin itselleen. Yllätyin myös siitä, ettei OP pitänyt valikoimissaan Master Cardia - vai liekö tämäkin paikallinen ominaisuus, kun netistä katsoin, että OP:lla on sekä VISA että MC. Toinen mitä ihmettelin kun tein korttisopimuksen: Nordea tarjosi ihan mukisematta minulle 5000 € luottorajaa luottokortille, OP antoi vain 4000 € (olisin saanut korkeammankin, mutta silloin minimierämaksu olisi noussut).

 

[innos]

Halpoja kännyköitähän saa ja mikäänhän ei estä ostamasta pöytälaatikkoon mobile-bank luuria erikseen.

Tai vaikka vaihtamasta iOS:ään / hommaamaan käytettyä iphonea / ipod touchia / ipadia tjsp.

Android-emulaattori KOPLAYER hoitaa homman myös todella kätevästi samalla koneella, verrattuna johonkin BlueStacks-bloatin mainos-oksennukseen. Asennus vie tosin pari gigaa, joka ei nykypäivänä pahalta tunnu, vaikka tuota ei mihinkään muuhun käytäkään.


Päivitys-edit: Ei kannatakaan enää koskea KOPlayeriin, koska uusin versio on vuoden vanha ja sekin on ryssitty. Nordean mobiili-appsi ei suostunut toimimaan, vaikka koodi-appsi toimi, ja Play Store valitti, ettei muka ole nettiyhteyttä.

MEMU Player sen sijaan tuntuu toimivan mainiosti: MEmu - The fastest free Android Emulator for PC as your best choice

 

[TippaKannu]

Verkkopalkka puuttuu myös edelleen.

Itte latasin eLiksa ohjelman iphonelle.

 

[sm81]

Kannattaako vaihtaa s-pankkiin jos yli puolet vuodesta menee ulkomailla? Miten nopeasti pankkien väliset maksut nykyään siirtyy? Esim: Nordea - S-pankki?

Osaako joku kommentoida tätä?

 

[tatulpin]

Osaako joku kommentoida tätä?

Samana päivänä jos siirto vahvistetaan ennen klo ~15.

 

[Don Stupido]

Näin kärjistäen, kuinka vainoharhainen autisti täytyy olla ettei halua/uskalla käyttää mobiilipankkia herran vuonna 2018? Tunnuslukusovellusta varten täytyy joka tapauksessa olla älypuhelin, siihen asentaa mobiilipankinkin ja simsalabim ei maksa mitään.

Security Research Labs: Android-valmistajilta jää tietoturvapäivityksiä välistä - io-tech.fi

Siinä Io-techin uutista Androidin mahtavasta tietoturvasta mobiilipankin nimeen vannovia vakuuttamaan.


EDIT: Nordean sivuilta löytyy muuten ihan chat-palvelukin jonka kautta voi käydä ilmaisemassa mielipiteensä uudistuksesta ilmankin mitään kirjautumisia.

 

[masapate]

Osaako joku sanoa miksi credit-yhdistelmäkortille on asetettu varoitus. Se oli tullut kun yritin maksaa Dressmannilla vaatteita.

 

[pelitys]

Security Research Labs: Android-valmistajilta jää tietoturvapäivityksiä välistä - io-tech.fi

Siinä Io-techin uutista Androidin mahtavasta tietoturvasta mobiilipankin nimeen vannovia vakuuttamaan.

Niin mitä sitten, ei tuo tarkoita yhtään mitään. Viimeisimmilläkkin päivityksillä varustetun Androidin saa saastutettua ja vice versa. Imuroit luurin täyteen turhakesovelluksia ja pelejä ja siinä se.
Fiksusti käyttämällä ei tarvitse edes virusturvaa kuten ei PC:lläkään, Adblock/Adaway ja hämärien sovellusten jättäminen on tarpeeksi

 

[Nurffe]

Niin mitä sitten, ei tuo tarkoita yhtään mitään. Viimeisimmilläkkin päivityksillä varustetun Androidin saa saastutettua ja vice versa. Imuroit luurin täyteen turhakesovelluksia ja pelejä ja siinä se.
Fiksusti käyttämällä ei tarvitse edes virusturvaa kuten ei PC:lläkään, Adblock/Adaway ja hämärien sovellusten jättäminen on tarpeeksi

Tähän täytyy vain todeta että olet väärässä

 

[sm81]

Millaisia kokemuksia teillä S-pankin asiakaspalvelusta jos asuu ulkomailla? Kuinka ruuhkainen on asiakaspalvelu ja maksaako uuden kortin lähettäminen maltaita EU alueelle? Toimiiko tuo S-pankin mobiili-softa luotettavasti?

 

[Kautium]

Sen verran sekavan viestin olivat lähettäneet tästä uudistuksesta ja sen surkuhupaisista vaikutuksista hinnoitteluun, että ajattelin lopettaa vihdoinkin koko asiakkuuden. Nordea-tili on ollut muutenkin sellaisena "jos vaikka joskus tarvitsisi" -tilinä taustalla, mutta tämä oli viimeinen niitti, vaikka siellä jonkin verran rahaakin on tullut makuutettua.

S-Pankki rulettaa mobiilivarmennuksella ja semijärkevällä kulurakenteella. Palkkatili on vielä OP:ssa, mutta sen verran kämäinen on se niiden webbiliittymä (ja huonommaksi vain meni viimeisimmällä uudistuksella), että varmaan pitää vaihtaa sieltä pois.

 

[Paapaa]

Sen verran sekavan viestin olivat lähettäneet tästä uudistuksesta ja sen surkuhupaisista vaikutuksista hinnoitteluun, että ajattelin lopettaa vihdoinkin koko asiakkuuden. Nordea-tili on ollut muutenkin sellaisena "jos vaikka joskus tarvitsisi" -tilinä taustalla, mutta tämä oli viimeinen niitti, vaikka siellä jonkin verran rahaakin on tullut makuutettua.

S-Pankki rulettaa mobiilivarmennuksella ja semijärkevällä kulurakenteella. Palkkatili on vielä OP:ssa, mutta sen verran kämäinen on se niiden webbiliittymä (ja huonommaksi vain meni viimeisimmällä uudistuksella), että varmaan pitää vaihtaa sieltä pois.

Hmm, mikä ihmeen idea on pitää 3 pankissa tilejä?

 

[sm81]

S-Pankki rulettaa mobiilivarmennuksella ja semijärkevällä kulurakenteella.

Mitä meinaat semijärkevällä?

 

[tatulpin]

Tuo Nordean uus hinnoittelu on kyllä kai suht järkevä, mutta tiedotus tosiaan kusi ja pahasti. En vieläkään oo täysin varma, että koskeeko itseä vai mennäänkö check-in tasolla. Tasothan myös aspan mukaan poistuu mutta silti ei kuulemma vaikuta muuten kuin Debit-kortin hinnan nousulla (joka on nytkin ilmainen)..

 

[Kautium]

Hmm, mikä ihmeen idea on pitää 3 pankissa tilejä?

Ei siinä muuta syytä ole kuin että joskus aikoinaan olen tilit avannut ja ne ovat sitten jääneet. Tai lähinnä se Nordea on jäänyt. OP:n ja S-Pankin tilejä olen pitänyt jotta olisi reissuilla käytettävissä kaksi korttia tarvittaessa. Nordea saa nyt jäädä ja samaa mietin myös OP:n osalta.

 

[Kautium]

Mitä meinaat semijärkevällä?

Lähinnä sitä että kuukausimaksut ovat järkevällä tasolla, eikä luottokortilla tule kuluja jos sitä ei käytä. Vastaavasti kuitenkin mm. tunnusluvun vaihdosta kehdataan veloittaa 5€ jne.

 

[sm81]

Eipä sitä tunnuslukua onneksi vaihdeta kovin usein