Online bankacılık

Açılış

Barış yeni telefonunu aldığı akşam ilk iş bankacılık uygulamasını kurmak istedi. Uygulama mağazasında bankasının adını yazdı. Listenin en üstünde bankanın logosuna çok benzeyen bir simge vardı; adı da neredeyse aynıydı, yalnız sonunda "Mobil Giriş" yazıyordu. Hemen altında bir uygulama daha vardı, daha sade bir adla.

Barış ilkini kurmak üzereydi ki Ece omzunun üstünden baktı. "Geliştirici adı ne yazıyor?" İlkinin geliştiricisi, bankanın adıyla hiç ilgisi olmayan bir şirketti; indirme sayısı birkaç yüzdü ve yorumların çoğu son bir haftadandı. İkincisinin geliştiricisi bankanın kendisiydi ve milyonlarca kez indirilmişti.

Barış doğru uygulamayı kurdu. Ama ikinci bir sürpriz onu bekliyordu. Uygulamayı etkinleştirmek istediğinde banka, yeni hattına SMS ile kod göndermedi; telefon hattını yeni değiştirdiği için onu şubeye ya da kimliğini başka bir yoldan doğrulamaya yönlendirdi. Barış söylendi: "Kendi bankam beni tanımıyor."

Ece güldü. "Belki tam da bu yüzden seni koruyor." Ama ikisi de sistemin neden böyle çalıştığını bilmiyordu: banka neyi neden yapıyordu, ve senin tarafında neyi yapman gerekiyordu?

Tek fikir

Online bankacılığın güvenliği iki taraflıdır: banka iki bileşenli kimlik doğrulama, cihaz bağlama ve yasal kurallarla kapıyı tutar; kullanıcı ise doğru uygulamayı kurar, bildirimleri açık tutar ve kapının anahtarlarını, yani parolasını ve kodlarını, hiç kimseye vermez.

Nasıl çalışır

Bu modül paraya dokunan her şeyi ele alıyor ve en sık kullanılan kapıdan başlıyor: bankanın kendisi.

Bu kurallar, bir kullanıcının bankasından neyi bekleyebileceğini ve neyi beklememesi gerektiğini anlamanın en iyi yoludur.

Bu maddelerin arkasındaki mantık, Modül 6'da gördüğümüz iki adımlı doğrulamanın bir yasa kuralına dönüşmesidir. Ama bir ayrıntı daha var: mobil uygulama kurulduktan sonra SMS kodunun kullanılmaması.

Bunun önemi, Modül 6'da tanımladığımız SIM değiştirme saldırısında görünür. Bir saldırgan kurbanın telefon numarasını kendi SIM kartına taşıyabilirse, o numaraya gelen SMS kodlarını alır. Uygulamaya bağlanmış bir hesap ise numaraya değil cihaza dayanır; numarayı ele geçirmek tek başına yetmez.

Yönetmelik bu tehdide doğrudan bir kural da koyar.

Barış'ın "kendi bankam beni tanımıyor" dediği an, bu fıkranın işlediği andı. Yeni bir hat, banka için bir saldırganın da elde edebileceği bir hattır; banka onu doğrulanana kadar anahtar saymaz.

Bu kurallar bankanın tarafıdır. Kullanıcının tarafı da üç noktada toplanır. Birincisi doğru uygulamadır: Barış'ın gördüğü gibi, uygulama mağazasında bankayı taklit eden uygulamalar bulunabilir; geliştirici adı, indirme sayısı ve bankanın kendi sitesindeki bağlantı, doğru uygulamayı bulmanın yoludur. İkincisi bildirimlerdir: para çıkışı, giriş ve yeni cihaz için anlık bildirim, bir saldırıyı dakikalar içinde fark etmeyi sağlar. Üçüncüsü anahtarlardır: parola, uygulama şifresi ve tek kullanımlık kod, yalnız senin girmen için vardır. Kodun mesajında genellikle hangi işlem için gönderildiği yazar; o işlemi sen başlatmadıysan, kodu kimseye vermemenin nedeni budur.

Sahada

Savunma

Online bankacılıkta önleme, doğru kapıdan girmekle başlar. Bankacılık uygulaması yalnız resmî uygulama mağazasından, geliştirici adı bankanın kendisi olan sürüm olarak ve mümkünse bankanın kendi internet sitesindeki bağlantıdan kurulur. İnternet şubesine bir arama motorunun reklamından ya da bir mesajdaki bağlantıdan değil, adresi kendin yazarak ya da yer imlerinden girilir. Mobil uygulama kurulduktan sonra telefonun kendisinin güvenliği, Modül 8'de gördüğümüz gibi, hesabın güvenliğinin parçasıdır: ekran kilidi, güncellemeler, yalnız resmî mağazadan uygulama.

İkinci önleme, yetkiyi daraltmaktır. Kullanmadığın kanalı kapat; yönetmelik, bankanın müşteri talebi olmadan internet ve mobil bankacılığı açamayacağını da söyler, yani bu senin kararındır. Kurumsal hesaplarda, büroda görüldüğü üzere, hazırlayan ve onaylayan kişileri ayır, tutar sınırları koy.

Tespit tarafında asıl araç bildirimdir. Her giriş, her işlem ve her yeni cihaz tanımlaması için anlık bildirim açılır. Yönetmelik bankadan başarısız giriş denemeleri hakkında ilk girişte bilgi vermesini ister; böyle bir uyarı gördüğünde, birinin senin hesabına girmeye çalıştığını varsay ve parolanı değiştir. Ekstreyi ayda bir de olsa satır satır okumak, küçük ve tanıdık olmayan bir işlemi fark etmenin yoludur.

Müdahalede sıra ve hız önemlidir. Tanımadığın bir işlem ya da tanımadığın bir cihaz bildirimi gördüğünde, bildirimdeki bağlantıya değil, kartın arkasındaki ya da bankanın sitesindeki numaraya başvur. Banka hesabı ya da kartı dondurur, itiraz sürecini başlatır. Ardından parolanı ve uygulama şifreni, temiz bir cihazdan değiştir. Bir kod paylaştıysan, bunu bankaya açıkça söyle; utanmak, saatleri kaybettirir. Ve yönetmeliğin bir kuralını hatırla: iki bileşenli doğrulama kullanılmadan yapılan bir işlemin müşteri tarafından yapıldığını ispat yükü bankadadır; bu yüzden olanı ayrıntılı ve yazılı olarak bildirmek, sonraki süreç için önemlidir.

Uygulama

Kendi bankacılık kurulumunu, uygulamadan bildirimlere kadar gözden geçireceksin.

Kurulum on beş dakika sürer; ama bir sonraki tanımadık işlemi saatler değil dakikalar içinde fark etmeni sağlar.

Defter: Para bölümüne bankacılık uygulamasının geliştirici adının doğrulandığı tarih, açılan dört bildirim, kaldırılan cihazlar, kapatılan kanallar ve rehbere kaydedilen bankanın resmî numarası.

Hata köşesi

Etik ve sınırlar

Bankacılık bilgilerin yalnız senindir. Yardım etmek istesen de bir yakının hesabına onun parolasıyla girmek, bankanın kayıtlarında onun yaptığı bir işlem gibi görünür ve hem onun hem senin için sonradan çözülmesi zor sorunlar doğurur. Yakınına yardım ederken onun yanında ol, ekranı o kullansın, kararları o versin; Selin'in annesinin bildirimlerini o açtı, Selin yalnız gösterdi. Bir kurumda ödeme yetkileri, Defne Hanım'ın bürosunda olduğu gibi, görev ayrılığına göre ve yazılı olarak tanımlanır; bir çalışanın başkasının kullanıcısıyla işlem yapması, yetkisi olsa bile, iz bırakmayan bir kapı açar. Bu dersteki her kontrol, yalnız kendi hesabında ve kendi cihazında yapılır.

Kapanış

1. Türkiye'de elektronik bankacılık, iki bileşenli kimlik doğrulama isteyen bir yönetmeliğe bağlıdır; bu doğrulama olmadan yapılan bir işlemin müşteri tarafından yapıldığını ispat yükü bankadadır.
2. Mobil uygulama etkinleştirildikten sonra SMS kodu kullanılmaz ve yeni bir SIM, doğrulanana kadar doksan gün boyunca güvenilir sayılmaz; cihaz bağlama, numarayı ele geçiren bir saldırganı durdurur.
3. Kullanıcının payı üç noktada toplanır: geliştiricisi doğrulanmış resmî uygulama, her işlem ve yeni cihaz için açık bildirimler ve hiç kimseye verilmeyen parola ve kodlar.

Üç soru

1. Barış'ın bankası yeni hattına neden SMS ile kod göndermedi ve bu ona karşı mı, onun için mi çalışıyordu?
2. Mobil bankacılık uygulaması etkinleştirildikten sonra SMS kodunun kullanılmaması hangi saldırıya karşı koruma sağlar?
3. Defne Hanım bürosunun kurumsal internet bankacılığında hangi iki değişikliği yaptı ve neden?

Yanıtlar

1. Barış telefon hattını yeni değiştirmişti. Yönetmelik, SIM kartını değiştiren müşteriler için, değişiklik teyit edilmedikçe doksan gün boyunca SIM karta dayalı unsurun kimlik doğrulamada kullanılmasını yasaklar. Bu onun için çalışıyordu: aynı kural, numarasını kendi SIM kartına taşıyan bir saldırganın hesabına girmesini de engeller.
2. SIM değiştirme saldırısına karşı. Saldırgan kurbanın numarasını ele geçirirse o numaraya gelen SMS kodlarını alır; ama uygulamaya bağlı bir hesap numaraya değil, etkinleştirildiği cihaza dayanır. Numarayı ele geçirmek tek başına hesaba girmeye yetmez.
3. Ödemelerin bir kullanıcı tarafından hazırlanıp başka bir kullanıcı tarafından onaylanmasını sağlayan yetkilendirmeyi açtırdı ve stajyerin yetkisini görüntülemeyle sınırladı; belirli bir tutarın üstündeki ödemeler için kendine bildirim kurdu. Böylece ele geçirilen tek bir kullanıcı ya da tek bir sahte talimat, tek başına para çıkaramayacaktı.

Sonraki derse köprü

Selin'in annesinin sabahında banka hesabı güvendeydi ama kartın bilgileri bir alışveriş sitesinde ele geçirilmişti. Kart güvenliği dersi bu ikinci kapıya bakıyor: sanal kart, 3D Secure doğrulaması, harcama limitleri ve ekstre takibi.