Weryfikacja tożsamości przy zakładaniu konta - jak banki prześwietlają twoje dane?

Weryfikacja tożsamości: co to jest i dlaczego bank musi cię prześwietlić?

Bank to instytucja zaufania publicznego. Choć nie jest to formalny status nadany jednym artykułem, wynika on z całokształtu przepisów (jak Prawo bankowe), które dają bankom m.in. wyłączne prawo do wykonywania czynności bankowych.

Bank nie może otworzyć konta każdemu, kto poda jakieś imię w formularzu.

Zanim bank da Ci dostęp do usług finansowych, musi mieć 100% pewności, że Ty to Ty. To nie jest widzimisię banku, tylko fundament bezpieczeństwa całego systemu finansowego i obowiązek prawny.

Procedury KYC i AML - co to oznacza dla Ciebie?

Na początku warto zrozumieć czym są KYC (Know Your Customer) i AML (Anti-Money Laundering). Mówimy o fundamentach bezpieczeństwa finansowego. KYC to proces zbierania i potwierdzania Twoich danych (imię, nazwisko, PESEL, dokument tożsamości) plus ocena ryzyka. AML to zestaw regulacji przeciwko praniu pieniędzy i finansowaniu terroryzmu.

• KYC - bank zbiera informacje o Tobie - imię, nazwisko, PESEL, adres - ale przede wszystkim musi je wiarygodnie potwierdzić, najczęściej patrząc na Twój dokument tożsamości. Jest to jednak dopiero pierwszy krok. Pełna procedura (tzw. CDD - Customer Due Diligence) obejmuje też ocenę ryzyka (np. czy jesteś osobą na stanowisku politycznym) oraz ciągły monitoring relacji.

• AML to cały zestaw regulacji, których fundamentem jest Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. To Art. 34 tej ustawy prawnie zobowiązuje banki (jako "instytucje obowiązane") do stosowania środków bezpieczeństwa finansowego, w tym '"identyfikacji klienta oraz weryfikacji jego tożsamości".

Krótko mówiąc: banki są prawnie zobowiązane do weryfikacji każdej osoby, która chce założyć konto. Muszą to robić zgodnie z przepisami, aby zapewnić zgodność i bezpieczeństwo.

To nic innego jak obwiązek prawny banku (i twoja ochrona)

Ten cały proces może wydawać się uciążliwy. "Po co im skan mojego dowodu?", "Dlaczego muszę robić sobie zdjęcie?". Prawda jest taka, że te procedury, choć czasochłonne, chronią również Ciebie.

Weźmy sytuację, zę ktoś zakłada konto na Twoje skradzione dane i przepuszcza przez nie brudne pieniądze.

Procedury KYC/AML mają to wykryć, zanim sprawa się rozrośnie.

To Twoja podstawowa ochrona przed oszustwami.

Przegląd metod weryfikacji

Prześwietlmy wszystkie dostępne opcje.

Gdy analizowałem rynek, świadomie podzieliłem metody weryfikacji tożsamości online na cztery główne kategorie.

Metody tradycyjne (offline): wizyta w oddziale lub spotkanie z kurierem.

To "stara szkoła", która wciąż działa i ma się dobrze.

1. Wizyta w placówce. Idziesz do oddziału, pracownik banku osobiście sprawdza Twój dowód osobisty i potwierdza tożsamość. Wolne, czasochłonne, ale bardzo bezpieczne.
2. Kurier. Wypełniasz wniosek online, a umowę i dokumenty do weryfikacji przywozi Ci kurier. On sprawdza Twój dokument tożsamości i przekazuje papiery do banku. Trwa to zwykle od 2 do 5 dni roboczych.

Metody elektroniczne (online): przelew weryfikacyjny, mojeID (przez bankowość) i Profil Zaufany.

Tutaj weryfikujemy się, korzystając z czegoś, co już mamy - zaufanego konta w banku lub profilu elektronicznego.

1. Przelew weryfikacyjny. Wykonujesz symboliczny przelew (np. 1 zł lub 1 grosz) ze swojego konta w innym banku. Bank docelowy zakłada, że skoro inny bank już Cię kiedyś zweryfikował (np. w placówce), Twoja tożsamość jest potwierdzona. To wymaga posiadania rachunku bankowego w innym banku.
2. mojeID. Genialne w swojej prostocie. Logujesz się do swojej bankowości elektronicznej (w innym banku), a system mojeID tylko przekazuje Twoje potwierdzone już dane do nowego banku. Szybkie i bardzo bezpieczne. Dostawcą usługi mojeID jest KIR (Krajowa Izba Rozliczeniowa S.A.).

Metody biometryczne (online): wideoweryfikacja "na selfie" vs. wideo-rozmowa z konsultantem

To jest ta najczęściej reklamowana wygoda, oparta o biometryczne metody rozpoznawania twarzy.

1. Wideoweryfikacja "na selfie" (automat). Robisz zdjęcie dowodu i serię zdjęć lub krótkie nagranie swojej twarzy (np. ruch głową). Automat (algorytm biometryczny) porównuje cechy fizyczne i sprawdza, czy dokument jest autentyczny.
2. Wideo-rozmowa z konsultantem. To samo, ale po drugiej stronie jest żywy człowiek. Łączysz się na szyfrowaną rozmowę online, pokazujesz dowód i swoją twarz do kamery. Moim zdaniem to znacznie bezpieczniejsze niż automat - ludzkie oko trudniej oszukać niż algorytm bankowy.

Metoda kryptograficzna (premium): e-dowód z warstwą elektroniczną (NFC i aplikacja eDO App).

Dotyczy to tylko nowych dowodów osobistych z chipem, czyli wydawanych od 4 marca 2019 r. Używasz specjalnej aplikacji, takiej jak autoryzowana aplikacja eDO App, która została przygotowana przez Polską Wytwórnię Papierów Wartościowych (PWPW) lub aplikacji banku.

Przykładasz dowód do telefonu (przez NFC), wpisujesz swój 4-cyfrowy kod PIN. Telefon kryptograficznie potwierdza autentyczność dowodu i Twoje dane.

Obiektywne porównanie metod zakładania konta

Oto tabela porównawcza. Oceniam wszystkie metody w czterech kategoriach: szybkość, bezpieczeństwo, wymagania techniczne (czego potrzebujesz do założenia konta) i poziom inwazyjności (jak dużo danych udostępniasz).

Jak działa technologia "na selfie"? Prześwietlamy biometrię

Kiedy robisz sobie "selfie" do weryfikacji, nie robisz go dla banku. Robisz je dla algorytmu.

Na czym polega biometria twarzy (i czym różni się od odcisku palca)?

Biometria to po prostu pomiar unikalnych cech fizycznych. Odcisk palca jest unikalny. Tęczówka oka też. Geometria Twojej twarzy - rozstaw oczu, kształt nosa, linia żuchwy - również tworzy unikalny wzorzec.

Algorytm biometrycznej weryfikacji twarzy skanuje Twoją twarz, tworzy jej matematyczny model (tzw. "mapę") i porównuje go z "mapą" twarzy ze zdjęcia na dowodzie. Jeśli pasują - proces idzie dalej.

Kto ma dostęp do twojej twarzy? Bank czy zewnętrzny dostawca?

I tu dochodzimy do sedna sprawy. Banki rzadko tworzą tę technologię same. Zazwyczaj kupują usługę od zewnętrznych dostawców. To firmy takie jak Onfido, Ariadnext czy inne, które specjalizują się w biometrii. W praktyce oznacza to, że Twoje dane osobowe (skan dowodu) i Twoje dane biometryczne (skan twarzy) trafiają do firmy trzeciej. To ona przeprowadza weryfikację dla banku.

Co się dzieje z twoimi danymi biometrycznymi po weryfikacji?

To jest pytanie, które musiałem zadać. Co dzieje się z tą mapą mojej twarzy? Czy jest usuwana? Czy dostawca przechowuje ją na wszelki wypadek?

Odpowiedzi szukałem w regulaminach i politykach prywatności. Długość przechowywania danych zależy od dostawcy i rodzaju danych. Wynosi od 96h (surowe dane biometryczne) do 10 lat. Nawet jeśłi dane biometryczne są przechowywane przez krótki czas (jak wspomniane 96h), to później często wędrują do archiwum, w którym spędzają od 3 do 10 lat.

Dlatego przeczytaj każdą zgodę. Szukaj nazw firm trzecich. Czy na pewno zgadzasz się tylko na weryfikację, czy może też na ulepszanie algorytmów z użyciem Twojej twarzy? Sprawdź to przed podpisaniem zgód, by upewnić się, że zgadzasz się tylko na weryfikację, a nie na dodatkowe wykorzystanie danych biometrycznych.

Kradzież tożsamości to realne ryzyko

Marketing bankowy naturalnie koncentruje się na wygodzie zakładania konta w kilka minut, bez wychodzenia z domu i bez żadnych kosztów - często z premią na start. To przyciąga klientów. Ale w natłoku prostych przekazów reklamowych, szczegóły techniczne bezpieczeństwa zostają w cieniu.

W reklamach banków nie ma miejsca na wytłumaczenie warstwy elektronicznej, NFC czy zewnętrznych dostawców biometrii - te informacje znajdziesz na mojej stronie.

Kradzież tożsamości to realny problem, który może prowadzić do wyłudzenia kredytów, pożyczek czy "chwilówek" na Twoje dane. Nie jest abstrakcją.

Oszustwa zdarzają się każdego dnia, a proces weryfikacji to moment, w którym możesz zatrzymać takie oszustwo - zanim ktoś wyłudzi kredyt na Twoje nazwisko.

Pułapki wideoweryfikacji "na selfie": co może pójść nie tak? (słabe światło, błąd systemu)

Jedna z najpopularniejszych zdalnych metod to tzw. "selfie". Wykonujesz zdjęcie swojej twarzy i dowodu osobistego. System (coraz częściej automat) porównuje Twoją twarz ze zdjęciem w dokumencie.

Brzmi prosto, ale algorytm - jak każdy system komputerowy - ma swoje słabe punkty. Niewyraźne oświetlenie, okulary, zarost, odblask na dowodzie - automat odrzuca próbę. Możesz powtarzać kilka razy bez efektu.

Jednocześnie te same systemy są podatne na manipulacje - próby użycia masek 3D czy nagrań wysokiej jakości.

Sposoby, jakimi oszuści omijają weryfikację tożsamości

Oszuści nie śpią. Jeśli proces weryfikacji jest słaby, staje się on dla nich otwartą furtką. Ci, którzy nie dbają o Twój interes, wykorzystują skradzione dokumenty tożsamości (np. z wycieków danych lub po prostu zgubione) i próbują "podłożyć" je pod automatyczne systemy weryfikacji.

Jeśli system biometryczny jest niedoskonały albo opiera się tylko na prostym zdjęciu, ryzyko, że oszust przejdzie weryfikację, rośnie.

A stąd już prosta droga do zaciągnięcia zobowiązań finansowych na Twoje nazwisko.

Dlatego tak ważne jest, by metoda weryfikacji miała solidne podstawy bezpieczeństwa.

Która metoda weryfikacji jest najbezpieczniejsza?

Po prześwietleniu wszystkich za i przeciw, moja rekomendacja jest jednoznaczna.

Dlaczego e-dowód to "Wybór Agenta" dla maksymalnej ochrony prywatności?

Mój wybór to metoda na e-dowód (przez NFC i aplikację eDO App). Dlaczego tak?

Ponieważ jako jedyna nie opiera się na biometrii, tylko na kryptografii. Nie wysyłasz nigdzie zdjęcia swojej twarzy. Nie nagrywasz filmików. Przykładasz dowód do telefonu i wpisujesz PIN, który znasz tylko Ty. To jest cyfrowy odpowiednik osobistego stawienia się w placówce – szybki, ale pancernie bezpieczny.

Na drugim miejscu stawiam mojeID - jest równie bezpieczne, bo opiera się na zaufaniu do banku, który już Cię kiedyś zweryfikował.

Wygoda nie może wygrać z bezpieczeństwem.

Weryfikacja 'na selfie' jest niewątpliwie wygodna i szybka. Dla wielu osób to właściwy wybór. Ale jeśli Twoje bezpieczeństwo i prywatność są dla Ciebie priorytetem (a w finansach powinny być), radzę: gdy tylko masz dostęp do e-dowodu lub mojeID, wybieraj te metody. Dają Ci one najwyższy poziom kontroli nad Twoimi danymi biometrycznymi.

Jaką metodę weryfikacji tożsamości online wybrać?

Masz wybór metod: tradycyjny kurier (2-5 dni), wygodne 'selfie' (dane biometryczne do firm trzecich), mojeID (zaufanie do banku) lub e-dowód (kryptografia bez biometrii).

Najważniejsza lekcja jest taka: wygoda i bezpieczeństwo nie muszą się wykluczać, ale to Ty musisz świadomie wybrać balans, który Ci odpowiada.

Banki promują metody, które są szybkie i dostępne dla większości klientów. Ale jeśli Twoja prywatność jest priorytetem, możesz wybrać metodę bardziej zaawansowaną technicznie - jak e-dowód czy mojeID - nawet jeśli wymaga to odrobinę więcej przygotowania.

Twój plan działania przed założeniem konta

• Sprawdź, czy masz e-dowód z warstwą elektroniczną (wydany po marcu 2019)
• Jeśli tak - znajdź swój PIN do e-dowodu
• Jeśli nie masz e-dowodu - rozważ mojeID jako drugą najlepszą opcję
• Przed weryfikacją przeczytaj zgody i sprawdź nazwy firm trzecich
• Nigdy nie weryfikuj się przez publiczne Wi-Fi/2