Newsgroup: it.economia.banche
Titolo: Incredibile: accesso online al PaschiAziendaOnline SOLO se fai una chiamata dal cellulare

 
Ho un amico che ha una piccola ditta  con 10 dipendenti e ha un conto
Paschiazienda da vari anni.
Mi ha chiamato ieri per dargli una mano perche' voleva dei consgili in
quanto non ci stava capendo niente con la scadenza per la migrazione ad
un nuovo fichissimo prodotto di MPS: PaschiaziendaOnline.
 
Talmente fico che io ancora stento a credere sia possibile creare nel
2015 un prodotto del genere (soprattutto per le aziende): in pratica AD
OGNI ACCESSO dell'amministratore sul sito, con il proprio cellulare (e
solo quello autorizzato!) bisogna chiamare un numero, altrimenti non
entri sul sito.
 
Io dico ma sono impazziti o cosa??!?
[Tra l'altro dove sta il mio amico con l'ufficio, il cellulare neanche
gli prende]
 
Abbiamo chiamato il numero verde chiedendo se non era possibile avere un
onetime token RSA, che ormai hanno pure le banche per privati, o firmare
certificati digitali per entrare, insomma metodi un pochino meno
medievali (n'artro po' chiedevano di mandare un fax per entrare sul
banking aziendale...) e hanno detto che no, adesso MPS le aziende le fa
accedere *solo* cosi', dovendo preventivamente chiamare col cellulare un
numero.
 
Io gli ho consigliato di andare *immediatamente* a chiudere il conto
corrente.
 
Lui mi ha detto "Eh si' ma ora devo chiedere il fido altrove, la carta
aziendale, tutti i rid da spostare, e cambiare gli IBAN sulle fatture e'
un casino". Probabilmente ha le sue ragioni, ma mi sa che lui non ha
ancora ben capito cosa si sono inventati questi di MPS: in pratica ogni
volta che entrara' sul sito lui dovra' CHIMARE un fottuto numero di
telefono!
 
Cioe' e' qualcosa che veramente stento a credere. Pensavo ad una burla,
invece e' vero, sta scritto pure sul manuale del prodotto. Io gli ho
detto che non reggera' neanche una settimana. E' come se, non so, ti
dicessero "guarda, per la tua sicurezza, ogni volta che accendi la Tv,
devi andare prima in bagno a tirare lo sciacquone, senno' la tv non si
accende". Ecco, questo e' il paragone.
 
Ma a voi e' mai capitato di sentire un prodotto del genere per e-banking
(soprattutto quello aziendale!)?
 
Ma come si fa nel 2015, per una banca cosi' importante (vabe' quasi
fallita) a concepire un prodotto cosi' assurdo e inutilizzabile?
 
-- 
BArrYZ


successo anche a una persona che conosco........che avencdo wind 
semplicemente NON poteva accedere al numero verde se non pagando 10 euro 
al mese in più nel contratto.............
 
 
sicurezza?
e quale è la prassi per cambiare il numero abbinato ? Scommettiamo che 
non è più sicuro un token ?

 in sicurezza del web come e' stato costruito fin qui, puo' apprezzare.
 
Il metodo escogitato da MPS (o chi per loro, perche' sicuramente lo
avranno dato in outsource), e' semplicemente DEMENZIALE, e' un NON-CONTO
online, praticamente annulla in toto i vantaggi di fare l'e-banking, a
questo punto e' meglio andare in filiale come prima. Tra l'altro i
metodi per connettersi in sicurezza esistono, e SICURAMENTE non e' che
fare una telefonata da un cellulare per accedere al loro e-banking sia
cosi' sicuro.
Faccio presente che la telefonata si deve fare OGNI VOLTA che si entra
sul loro sito, e non solo per autorizzare le operazioni dispositive, che
gia' sarebbe stato molto meno oneroso (ma cmq demenziale).
 
Ma la cosa piu' grottesca e' che sicuramente *NON* l'hanno fatto per la
sicurezza: ho infatti visto oggi che per i loro prodotti per i privati
l'accesso avviene con un banalissimo TOKEN che genera numeri
pseudocasuali sicronizzati con il server, come fanno la maggior parte
delle banche online.
 
Perche' non l'hanno fatto fatto, banalmente, anche per le aziende?!?
 
Per MPS non prevedo un futuro molto roseo...
 
-- 
BArrYZ

 non è più sicuro un token ?
 
Sicuramente non lo e', appunto.
(anche perche', cosa doppiamente assurda, i Token li usano per i
privati, quindi presumo che per loro siano sicuri, senno' sarebbe un po'
pochino illogico...)
 
Ma soprattutto: dove sta la comodita' di usare l'e-banking, se ogni
volta devo *io* *chiamare* anche solo per entrare sul sito e vedere il
saldo?
 
E' assolutamente folle, non ho altre parole per descrivere una cosa del
genere. Non so a questo punto faranno le automobili che "per sicurezza",
per aprirle si dovra' prima fare una telefonata ad un numero verde.
Siamo a questo livello di demenza.
 
Prevedo una chiusura in massa di conti, se non cambiano le cose per
l'accesso. E penso che il reparto IT dell'azienda (se esiste) abbia
davvero cacato fuori dal vaso ad imporre una cosa del genere.
 
-- 
BArrYZ

 Affidare il proprio conto a internet e' veramente demenziale.
 
Io lo faro' solo quando qualcuno sara' riuscito a fattorizzare numeri
primi in un tempo che sia *meno* che pseudoesponenziale.
 
Quando qualcuno trovera' il modo per farlo in tempi polionomiali (sempre
che sia teoricamente possibile), cmq, credo che ce ne accorgeremo un po'
tutti nel mondo.
 
Fino ad allora, i sistemi di crittografia a chiave pubblica e i sistemi
di autenticazione con doppio livello con il token (fisico o digitale),
sono *abbastanza* sicuri ("abbastanza" perche' di sicuro al 100% non
esiste nulla, se non il fatto che prima o poi tutto ha una fine, morte,
entropia massima, quello che si vuole, e quindi c'e' sempre un tradeoff
tra sicurezza e praticita').
 
Sempre che siano usati da persone con un cervello e seguendo le
specifiche...
 
-- 
BArrYZ


 
 
pensato che il cartaceo sia più sicuro ?
forse perchè in un mondo informatizzato le truffe cartacee passano in 
secondo piano..............
 
almeno su internet si può diversificare il conto su più conti correnti e 
su più investimenti in modo molto più semplice ed a costo zero
 
alcuni depositi inoltre prevedono bonifici solo verso conti 
prestabiliti, quindi per prendere quei soldi occorrere trovare le 
credenziali non uno ma bensì di due conti...........
 

 in sicurezza del web come e' stato costruito fin qui, puo' apprezzare.
 
Potresti aver ragione se fosse un controllo in più.
Ma dalla descrizione di barryz par di capire che c'è la telefonata ma 
non c'è il token.


Esatto: al posto del token, devi *telefonare*.
 
E, ripeto, non solo per le operazioni dispositive, anche solo per
entrare e vedere il saldo, uno deve *telefonare* fisicamente un numero
verde, e inserire un codice che appare a schermo.
 
Non solo: il mio amico mi ha chiamato ora e mi dice che il sistema ti da
60 secondi per chiamare e inserire il numero!
(dice che c'e' una sorta di count down a schermo)
 
Questi sono *COMPLETAMENTE* fuori di cervello.
 
-- 
BArrYZ


Ipotesi: forse ragionano che è più semplice fare una telefonata dal 
cellulare che comunque ti porti sempre dietro e custodisci, piuttosto 
che portarsi dietro e tenere al sicuro anche un token.

 che portarsi dietro e tenere al sicuro anche un token.
 
Ipotesi possibile, ma inconsistente, IMHO.
 
Se anche fosse: un conto e' avere accesso con uno smartphone, che ti
porti sempre dietro, e usi in modalita' terminale/SW, oppure con un
token fisico che non devi usare con un altro uteriore canale di
comunicazione, un conto e' dover FISICAMENTE fare una telefonata, non
c'e' paragone di tempo e scomodita' (e anche accessibilita' perche'
purtroppo la linea telefonica, sia mobile che fissa, non e' disponibile
ovunque).
 
Anche perche' se uno vuole accedere su un sito web per l'e-banking, si
presume che voglia faro via rete e basta, e non via telefono, fax o con
i piccioni viaggiatori. Se devi fare controlli di sicurezza con altri
canali di comunicazione, puoi farlo, ma devono essere per operazioni
magari dispositive o cmq devi offrire piu' canali a scelta, e non un
solo. Per esempio BPM/Webank per alcune operazioni dispositive ti manda
un codice via SMS per conferma, che e' gia' diverso.
 
Se fosse stato fatto per avere piu' sicurezza, ripeto, e' assurdo due
volte, primo perche' cosi' non e' piu' sicuro (uno si frega il telefono
aziendale, esattamente come con un token et voila'), secondo perche' per
i privati MPS usa gia' ora i Token. Se non fosse sicuro il token per
loro, a maggior ragione e per coerenza, dovrebbero toglierlo pure per i
privati.
 
Ripeto: e' un sistema che davvero secondo me li fara' chiudere.
 
-- 
BArrYZ
 

 c'e' paragone di tempo e scomodita'
...snip...
 
Non so, mi vengono in mente persone, specie quelle "allergiche" alle 
tecnologie, per le quali è più semplice fare un gesto familiare come una 
telefonata che imparare l'uso dell'app da smartphone o persino di un 
banale token, che comuqnue è anche una seccatura aver sempre dietro. Se 
la sicurezza è la stessa (in fin dei conti possono sottrarti il token 
così come il telefono, ma al telefono forse stai più attento perché lo 
usi sempre), alla fine della fiera è questione di gusti e abitudini. 
Però concordo con te che dovrebbero permettere la scelta tra diversi 
metodi, e magari differenziare tra operazioni dispositive e non.

 usi sempre), alla fine della fiera è questione di gusti e abitudini.
 
Sottolineo però il *se* la sicurezza è la stessa.
Considerando che esistono anche virus per telefonini, in grado di 
telefonare al posto tuo, quel "se" lo vedo un po' in bilico! :)

 tecnologie
 
Ok, ma parliamo di un prodotto per *aziende*, e' il loro prodotto di
punta per il CBI. Capisco questo discorso (ma fino ad un certo punto),
se fosse per privati (ma li' invece il token lo danno!), ma per le
aziende, e' incomprensibile. Quantomeno dovevano dare la scelta o token
fisico, oppure questo sistema (antidiluviano e medievale) di fare ogni
volta le telefonate per accedere ad una pagina web.
 
-- 
BArrYZ

fisico, oppure questo sistema (antidiluviano e medievale) di fare ogni
 
Ma non hai mai letto bene il loro claim? 
"Banca dal .... "  :-))
 
Gi


:-)
 
E' da ridere, se non ci fosse da piangere.
Se uno dei gruppi bancari piu' antichi (e grandi) d'Italia mette su un
sistema per l'e-Banking che e' cosi' *DEMENZIALE*, diciamo che uno poi
capisce perche' le banche falliscono, il paese non cresce e via dicendo
a catena...
 
-- 
BArrYZ

 volta le telefonate per accedere ad una pagina web.
 
Sì, dare la scelta è sempre meglio, però in ipotesi potrebbe esserci 
qualche difficoltà organizzativa, perché il token dovrebbe essere 
rilasciato a ogni utilizzatore del servizio all'interno dell'azienda.
Infatti mi par di capire che PaschiAziendaOnline permette utilizzatori 
multipli abilitati da un amministratore all'interno di un'azienda.
https://paschiinazienda.mps.it/help/ICB_Manuale_Amministratore.pdf
 


 
 
L'ho visto presso una Bcc (quindi presumo che l'abbiano molte Bcc).
Funziona una volta su tre.

 
 
"BArrYZ"  ha scritto nel messaggio news:mvk494$4k8$1...@dont-email.me...
 
 
Ho un amico che ha una piccola ditta  con 10 dipendenti e ha un conto
Paschiazienda da vari anni.
 
 
 
 
Per il credito di asti on line per le disposizioni di bonifico devo chiamare 
col mio MIO cellulare e digitare alcuni numeri.
Sarà sicuro ma è di certo una palla.
Mi chiedo se sono più bravi loro o se sono più scemi gli altri che 
mantengono l'autorizzazione in un ambito di semplici codici da 
inserire....senza telefono!
 
 
---
Questa e-mail è stata controllata per individuare virus con Avast antivirus.
https://www.avast.com/antivirus
 

 inserire....senza telefono!
 
Gia', ti sei risposto da solo.
 
Come ho detto in altri post: se chiedo di operare online, voglio doverlo
fare ONLINE, e non doverlo fare via telefono, fax, con i piccioni
viaggiatori, etc etc
 
-- 
BArrYZ


 
è semplice: il meccanismo è stato ideato da gente che ha deciso che 
"così è meglio" ma che non l'ha mai né usato né provato.
Immagino che clienti e filiali si saranno lamentati... ma chi l'ha 
concepito è superiore!
 
si chiama supponenza?


Si', ma forse in questi giorni in MPS hanno capito che il prodotto
*forse*" ha *qualche* *piccolissimo* problema: il mio amico mi ha
chiamato oggi dicendomi che da tre giorni non riusciva a fare un cazzo:
ha scaricato i cellulare per le chiamate che ha dovuto fare anche solo
per vedere il saldo della sua azienda!
Dice che addirittura chiamando il numero verde che gli diceva di
chiamare, gli dava occupato a certe ore!
 
Roba proprio da chiudi, impossibile lavorare.
 
Per mandare 3 bonifici, dico 3, ci ha messo quasi mezz'ora a combattere
col telefono e i codicilli che apparivano a schermo da inserire
chiamando al telefono il loro numero verde. Poi dice che il CBI e'
cambiato tutto, in peggio.
 
Alla fine dice che ha seguito il mio consiglio e' andato in filiale per
dirgli che o gli davano un token, o lui li' chiudeva fido e conto aziendale.
 
Dice che in filiale c'era la FILA di imprenditori incazzati tutti per lo
stesso motivo.
 
Morale della favola: il token alla fine glielo hanno dato!!!!!
 
Non ho parole.
 
-- 
BArrYZ

 Poi non chiede piu' niente.
 
Su MPS non so dirti, io riportavo quanto successo ad un mio amico, che
avendoci avuto a che fare per la sua azienda, li ha minacciati di
chiudere il conto, cosi' gli hanno dato, dopo molte proteste, il TOKEN
(solo che non e' piu' il prodotto, mi diceva, PaschiAziendaOnline, ma un
altro, che non so).
 
-- 
BArrYZ