Newsgroup: it.comp.sicurezza.varie
Titolo: [OT - lunghetto] La sicurezza delle banche.

Questo mi è accaduto ieri mattina:
'stavo cercando di effettuare il pagamento dell'F24 on-line sul sito 
mediante il sistema web-banking della banca di credito cooperativo di 
**** ma quando arrivo alla conferma non mi riconosce la passwd 
dispositiva.. provo diverse volte ma niente da fare.. chiamo il nr. 
verde del servizio di assistenza ed espongo il problema e un operatore 
mi dice che devo andare in filiale a chiedere il reset delle passwd così 
che possa ripristinare le mie passwd a partire da quella originale 
indicato nel contratto.. cerco il contratto ma non lo trovo quindi 
decido di fare un colpo di telefono in filiale.. mi risponde uno degli 
addetti allo sportello (piccola filiale, riconosco i rumori di vondo e 
la voce) e mi presento: sono [cognome] della [ditta] eccetera.. il 
gentile impiegato mi dice che può provvedere a resettare le passwd 
immediatamente ma io non ho più la copia del contratto dove trovo la 
passwd originale ?? nessun problema: il gentile impiegato mi da la 
passwd originale senza neppure chiedermi il nome o un qualunque altro 
dato che possa quantomeno provare che io possa essere chi dico di essere 
però il gentile impiegato ha fatto di più: per assicurarsi della mia 
identità mi ha chiesto se il mio userid era 211****** ma sicuro che sono 
io, che cavolo.. così in meno di 10 minuti e con una semplice telefonata 
ho ottenuto tutti i dati necessari ad effettuare *tutte* le operazioni 
possibili tramite web-banking'
sto pensando di segnalare la cosa almeno al direttore della filiale ma 
mi spiacerebbe se fossero presi provvediemnti nei confronti dell'impiegato
che ne dite ??
markus
p.s.: al telefono ho detto *solo* il cognome ma io non sono chi avrei 
dovuto essere perchè il titolare del conto corrente e della'azienda è 
mio figlio e non io.

passwd originale senza neppure chiedermi il nome
Hai trovato il punto debole del tuo home banking.
-- 
Bye, Yorgos
To send me an e-mail, please change antzhùya with alice

 Hai trovato il punto debole del tuo home banking.
mi auguro che si sia trattato di un episodio isolato e non di un cliché 
di tutti gli impiegati di quella banca..
ciao, markus

> un cliché di tutti gli impiegati di quella banca..
clichè ?!? no.. macchè, quella è la prassi ordinaria !

 risolverebbe solo in parte il problema, non credi?
lo credo bene.. in principio non riuscivo a crederci ma mi sono reso 
conto che avevo tutti i parametri necessari per effettuare *tutte* le 
operazioni on-line ma - soprattutto - come ho detto la cosa sconcertante 
è che anche se fra me e mio figlio esistono evidenti rapporti di 
parentela (sua madre è anche mia moglie :D ) effettivamente *io non ero 
chi avrei dovuto essere*...
sto riflettendo sul da fare.
markus

 
in linea di principio, sono d'accordo sul fatto che la cosa sia "seria".
Mi permetterei tuttavia di indicare una strada diversa, considerando che 
un episodio del genere può essere punito anche con il licenziamento 
dell'impiegato in questione. Mi esprimo con piena cognizione di causa, 
credetemi. Onestamente.. una riflessione credo sia d'obbligo, per questo 
aspetto, come anche per la serietà dell'evento, che indubbiamente va 
segnalato: la cortese dabbenaggine va redarguita senz'altro. Mi 
rivolgerei però al direttore della filiale. Farei ben comprendere il mio 
punto di vista, ma lascerei a lui la responsabilità di decisioni 
appropriate. ah, un'altra cosa. Non vada da solo. Vada col titolare del 
rapporto (suo figlio, vero?) che certo è al corrente e sa che Lei agiva 
nel suo interesse.
Mi permetto infine di fare una domanda (che premetto essere sciocca): 
per quale motivo Lei ha telefonato chiedendo dati riservati non suoi? Si 
aspettava davvero un rifiuto? o non "sperava" invece di risolvere il Suo 
problema in qualche modo? Che la conclusione sia poi stata quella.. 
d'accordo sulla gravità (a maggior ragione: avrebbe in effetti potuto 
essere qualunque altro parente/dipendente della ditta, infedele)
Un saluto.
G

 escluderei il CLI sul telefono.
ma l'impiegato non può aver riconosciuto me... il titolare del conto e 
dell'azienda è mio figlio non io...
markus

 G
saluti, markus

markus ha scritto:

Ok, ma non è che sei te che comunque tieni i rapporti con la banca?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Un uomo sulla luna non sara' mai interessante quanto una donna sotto il
sole.
		-- Leopold Fechtner

 Ok, ma non è che sei te che comunque tieni i rapporti con la banca?
no.. è mio figlio che intrattieni i rapporti personali con la banca e 
non io..

markus ha scritto:

Quindi non ti può aver riconosciuto :-(
Io una chiaccherata con il direttore la farei
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Secondo te, Ivan, si puo' costruire il socialismo nel Liechtenstein?
- No.  E' cosi' piccolo che non lo sopporterebbe.
		-- Citata da Danilo Acquisti

 
fatto...


E che ti ha detto?

 clichè ?!? no.. macchè, quella è la prassi ordinaria !
Oddiomiooooooo!!!
(respiro)
No, non e' poi cosi' per tutti: per attivare il RUDIMENTALE home banking
di una banca, ho seguito una lunga e pallosa procedura di username e
password (e non era "pippo"), che ho comunque cambiato subito.
Anche per il reset della PW, come per la carta di credito (non vale
"l'ho ritrovata!" Ormai e' bloccata, manco fosse l'Apocalisse), devi
aspettare la lettera dalla sede centrale, il che mi pare abbastanza
corretto.
BTW, perche rudimentale?
Crea Bonifico
Cerca Bonifico (spuntare quelli voluti dalla lista)
Autorizza Bonifico
(altra richiesta di username e password)
Credi che sia finito? NAAAAA, non hai ancora fatto niente, finche non
clicchi su...
...SPEDISCI A BANCA.
Li mortacci loro!
Fabrizio (e le procedure demenziali dell'home banking!)

 
era sconcertato quanto me...