Náhodne som naposledy narazil na zablokovaný účet banky fio, keď som zadal zlé heslo viac krát, lebo som si neuvedomil, že som ho nedávno menil. Napadlo ma, že fio nerieši tento bezpečnostný prvok vhodne. Na fio sa defaultne prihlasuje cez login:”meno vlastníka” a heslo. No a ak zadáte heslo viac ako 5 krát nesprávne, zablokujú vám účet na 1 hodinu.
Už zo SLSP som odišiel kvôli tomu, že sa nepoužívala dvojfaktorová autentizácia a prešiel som k ČSOB. No a teraz toto FIO je zase perla. Hociktorá osoba sa môže na fio internet banking skúsiť prihlásiť pod vaším menom a zablokovať vám tak prístup na spomínaný počet hodín. A môže to robiť stále dokola. Pomerne silná zbraň, mať možnosť zablokovať niekomu účet (podľa podmienok sa nedá účet odblokovať, treba počkať). Podľa mňa už väčšina klientov používa internet banking a preto je táto zraniteľnosť nezanedbateľná.
Mať tak zlé srdce na banku, čo takto spraviť program, kde by sme nahádzali zoznam mien a zablokovali účty všetkým ľudom v zozname? Taký zoznam môžeme stiahnuť hocikde, taký zoznam dlžníkov SP má niekoľko desiatok tisíc mien. Alebo zobrať konateľov firiem v drsr či kontakty u slovenských domén. A to sú len možnosti, čo ma napadli za pár sekúnd. No a keď už máme takú moc, blokovať tisícky účtov dokola, stačí zvoliť vhodný dátum a banka bude mať problémy. Napríklad dátum, kedy sa platí daň štátu. No a pochybujem, že FIO by to vedelo vyriešiť do pár dní.
Tento text som písal, keď som si myslel, že zablokovanie trvá 24 hodín, no trvá len hodinu. Aj tak by login nemal byť verejne známy alebo mať možnosť ho zmeniť, čo možné nie je.
Update: Heslo je možné zmeniť cez telefón, ak viete sekundárne heslo. Pripadne potom na hociktorej českej alebo slovenskej pobočke.