Yeni yılda can sıkıcı BDDK hediyesi…
Yeni yılda midemde kramplar yaratan bir uygulamayı BDDK hepimize hediye etmişe benziyor. Benim çalıştığım bankalar bir aydır beni uyarıyordu zaten. İnternet banka hesabıma ulaşabilmek için standart login, parola, şifre üçlüsü artık yeterli değil. İki yol öneriliyor: SMS doğrulama metodu veya şifrematik denilen minik (ve uyduruk) donanımlar veya bunların cep telefonlarında koşan yazılım uygulamaları.
SMS doğrulamada hesabınıza girebilmek için daha önce tescil ve kaydedilmiş cep telefon numarasına 6 veya 8 rakamlı bir sayı gönderiliyor ve siz login, parola ve şifreye ek olarak bu dördüncü ve bir defa kullanılabilen bu bilgiyi giriyorsunuz. Şifrematik uygulamasında ise cep telefonunda koşan bir yazılım veya uyduruk ve ucuz bir donanım size bu dördüncü bilgiyi (SMS bağlantısına gerek duymadan) üretiyor.
Böylece daha güvenli oluyorsunuz. Öyle mi gerçekten? Neresinden bakarsanız bir yanlış var; anlatayım:
• BDDK gibi bir kurumun böyle spesifik bir teknoloji ve metodu zorlaması yanlıştır. BDDK, bankalardan daha çok önlem almasını istemeli ve spesifik uygulamayı bankalara ve müşterilerine bırakmalıdır. BDDK bilgi güvenliği konusunda bir uzmanlığa sahip değildir, olduğunu hiç iddia etmemelidir.
• SMS doğrulama güvenli bir teknoloji değildir. Kolaylıkla elde edilip kırılabilmektedir. Dilerseniz, 29 Aralık’taki haberlerde Karsten Nohl isimli Alman’ın neleri başardığını araştırın.
• SMS güvenilir bir teknoloji değildir. Ağustos ayındaki selde, bir gün boyunca 2 milyona yakın abonenin cep telefonu bağlantısını kaybettiğini bilenler bilmeyenlere anlatsın.
• Yurtdışı seyahatlerde size gönderilen bu SMS’lerden yüzde kaçı elinize geçecek, BDDK burada bilgili bir kurum mu?
• Şifrematik veya cep telefonunun evde, arabada bırakılması veya kaybolması dolayısıyla, banka hesabına hızlı bir şekilde ulaşamamanın ortaya çıkaracağı zararları BDDK karşılamayı düşünüyor mu? Bence, düşünmesi gerekir çünkü böyle bir spesifik metodu bu kurum zorlamaktadır.
Ben bir banka müşterisi olarak BDDK’nın tanımladığı şekilde daha güvende olmayı değil hesabıma daha hızlı ulaşmayı tercih ediyorum. Derdimi kime anlatacağım?
