Prečo FLOW nikdy nepýta prihlásenie do vašej banky a prečo sa pýtať aplikácií, ktoré ho chcú

Kompromisy, ktoré nikto nevysvetlí

Open banking je regulovaný a len na čítanie a tento článok nebude predstierať opak. Kompromisy sú jemnejšie:

• Vaše dáta menia jurisdikciu. Keď transakcie opustia banku, riadia sa zásadami ochrany súkromia aplikácie, nie banky. Dva dokumenty, veľmi odlišné motivácie.
• Zvyčajne je tam prostredník. Mnohé aplikácie sa k banke nepripájajú samy. Používajú agregátora, ďalšiu firmu medzi vami a vaším účtom, ktorú ste si nikdy menovite nevybrali.
• Súhlas prežije pozornosť. Panely na odvolanie prístupu existujú, ale málokto vie bez pozretia vymenovať všetky služby aktuálne pripojené k svojmu účtu.

Keď sa prístup pokazí: lekcia za 58 miliónov dolárov

V roku 2022 americký federálny súd schválil hromadné vyrovnanie vo výške 58 miliónov dolárov so spoločnosťou Plaid, agregátorom, ktorý pripájal aplikácie ako Venmo a Robinhood k bankám používateľov. Žaloba tvrdila, že Plaid zbieral viac finančných dát, než aplikácie potrebovali, a používal prihlasovacie obrazovky, ktoré vyzerali ako banky používateľov, pričom prihlasovacie údaje smerovali do Plaidu. Plaid sa vyrovnal bez priznania pochybenia a zaviazal sa vymazať určité dáta a minimalizovať budúci zber (informovali Courthouse News Service a Bloomberg Law, 2022).

Poučenie nie je, že agregátori sú zloduchovia. Je štrukturálne: trvalý prístup plus pozícia prostredníka vytvárajú pokušenie zbierať viac, než úloha vyžaduje. Jediný prístup, ktorý sa nikdy nedá nadmerne využiť, je prístup, ktorý nikdy nebol udelený.

Skutočný varovný signál: zadávanie hesla do banky priamo do obrazovky aplikácie

Regulovaný open banking má jednu viditeľnú bezpečnostnú vlastnosť: overujete sa vo svojej banke, v jej vlastnej aplikácii alebo na jej stránke, a finančná aplikácia vaše heslo nikdy nevidí.

Tu je teda jednoduchý test. Ak od vás akákoľvek aplikácia žiada, aby ste zadali prihlásenie do banky priamo do jej vlastného formulára, zastavte sa. Ide o zdieľanie prihlasovacích údajov, techniku z čias pred reguláciou známu ako screen scraping, a podmienky vašej banky takmer isto uvádzajú, že prihlasovacie údaje sú prísne osobné. Overte si ich skôr, než to niekedy urobíte.

Nástroje pracujúce len s výpisom odstraňujú celú túto triedu rizika: keď neexistuje krok prihlásenia, nie je čo phishovať, napodobniť, ukladať ani z čoho uniknúť.

Ako funguje analýza len z výpisu: modelový príklad

Nasleduje modelový príklad, vymyslený na ukázanie mechaniky, nie skutočné dáta používateľov. Dvaja susedia majú rovnakú banku a obaja chcú vedieť, kam idú ich peniaze.

• Marta pripojí aplikáciu cez open banking. Cez svojho agregátora teraz aplikácia môže čítať jej históriu transakcií aj každú novú transakciu, kým súhlas nevyprší alebo si nespomenie a neodvolá ho. Spracovanie prebieha na serveroch poskytovateľa.
• Jonas si stiahne júlový výpis ako PDF zo svojej banky, ten istý dokument, ktorý by si mohol vytlačiť, a nahrá ho na analýzu. Analýza vidí presne 31 dní, ktoré si vybral, končiacich v momente, ktorý určil, a nič z toho, čo sa na jeho účte deje potom.

Líšia sa tri hranice: rozsah (vybraný mesiac verzus bežiaci tok dát), smer (on posiela jeden súbor verzus aplikácia si sťahuje dáta) a koncový bod (v prípade FLOW sa súbor spracúva v prehliadači na jeho vlastnom zariadení). Rovnaká otázka, radikálne odlišná expozícia.

Päť otázok pre každú finančnú aplikáciu

Nemusíte byť technik. Položte ich jednoduchými slovami a sledujte, ako priamo dostanete odpoveď:

• Overujem sa vo svojej banke, alebo zadávam heslo na vašej obrazovke?
• Ako dlho trvá váš prístup a kde presne ho odvolám?
• Ktoré firmy stoja medzi vami a mojou bankou?
• Kde sa moje transakčné dáta spracúvajú a ukladajú?
• Čo sa stane s mojimi dátami, keď vás prestanem používať?

Poctivý produkt odpovie na každú jednou vetou. Vyhýbavé odpovede sú tiež odpovede.

Vyskúšajte si verziu bez prihlásenia sami

Tento model je overiteľný, nestojí na dôvere. Nahrajte jeden výpis na app.vestelonflow.com: analýza prebehne vo vašom prehliadači, svoje číslo uvidíte približne do minúty, nepotrebujete účet ani prihlásenie do banky a bez vášho súhlasu nič neopustí vaše zariadenie. Ak chcete podrobnejšie porovnanie oboch prístupov, rozobrali sme ich v článku open banking verzus nahranie výpisu.

Časté otázky

Je open banking nebezpečný? Nie. Je regulovaný, len na čítanie a overovaný vo vašej banke. Otázka nie je bezpečnosť, ale rozsah: nástroj bežiaci nepretržite môže trvalé pripojenie odôvodniť, zatiaľ čo report či analýza potrebuje len jeden výpis. Prispôsobte prístup úlohe.

Môže aplikácia s prístupom cez open banking ukradnúť peniaze? Prístup k informáciám o účte je len na čítanie. Iniciovanie platby vyžaduje samostatný súhlas a samostatné overenie. Realistické riziko nie je krádež, ale to, koľko dát odteká a ako sa s nimi následne zaobchádza.

Čo ak môj výpis obsahuje položky, ktoré nechcem zdieľať? Presne to je výhoda: súbor aj mesiac si vyberáte vy a pred nahraním si ho môžete otvoriť a prečítať každý riadok, čo pri živom toku dát nikdy neurobíte.