Белинвестбанк - вопросы, ответы, советы по карточкам

DVK:

Недавно звонил в другой банк, узнать готова ли карта. Им оказалось достаточно спросить дату рождения и ФИО.

Несколько другая imho ситуация. Готовность карты - не финансовая информация.

DVK:

ФИО спросить, не? речь идет всего лишь об идентификации, не аутентификации, и не авторизации.

А, понятно. "Джентльменам верят на слово". То есть, любому, кто назовёт по телефону Ваши ФИО и 4 цифры номера карты, сотрудник должен сообщить приватные данные - в частности, как в Вашем случае, детали о транзакции.

Первые и последние цифры номера карты, заметим, печатаются на чеке. Вы всегда тщательно подбираете за собой чеки? Хотя бы клиентский экземпляр?

При телефонном общении, да вообще по любому открытому каналу, есть только две крайности: или Вы сообщаете (относительно) приватные сведения, чем подтверждаете свою личность и право доступа к действительно приватным данным. Или банк отвечает на вопросы неизвестно кому - т.е. любому, кто представится Вами. Можете предложить третью альтернативу?
Если Вам не подходит такое положение дел - не пользуйтесь этим каналом. Всё просто.
Потому что два других возможных решения, которые можно реализовать на стороне банка - это верить на слово или вообще не оказывать поддержки по открытым каналам. Лично меня ни один из них не устраивает.

DVK:

А зачем звонить на БПЦ?

Переверните карту. Читайте верхнюю строку до просветления.

krum:

А чтобы я подтвердил по телефону, что я - это я, нужно кодовое слово.

Не-не-не, что Вы! Секретное слово, да по открытому телефону?! DVK за такое увольнять предлагает.

andkh:

DVK:
Недавно звонил в другой банк, узнать готова ли карта. Им оказалось достаточно спросить дату рождения и ФИО.

Несколько другая imho ситуация. Готовность карты - не финансовая информация.

В моём случае тоже не требовалось никакой приватной или финансовой информации. Вообще-то не я должен был звонить, а банк должен был написать на сайте объявление. Чтобы не надо было звонить.

DVK:

ФИО спросить, не? речь идет всего лишь об идентификации, не аутентификации, и не авторизации.

А, понятно. "Джентльменам верят на слово". То есть, любому, кто назовёт по телефону Ваши ФИО и 4 цифры номера карты, сотрудник должен сообщить приватные данные - в частности, как в Вашем случае, детали о транзакции.

Какие детали? О какой транзакции? Вы бредите? О том, что у банка не работает перевод с карты на карту банк вообще должен был бы сообщить всем новостью на сайте. Хотя бы в разделе переводов с карты на карту. Банк же не счел нужным соощить об этом своевременно не то что клиентам, но и сотрудникам контакт-центра.

Первые и последние цифры номера карты, заметим, печатаются на чеке. Вы всегда тщательно подбираете за собой чеки? Хотя бы клиентский экземпляр?

Да.

При телефонном общении, да вообще по любому открытому каналу, есть только две крайности: или Вы сообщаете (относительно) приватные сведения, чем подтверждаете свою личность и право доступа к действительно приватным данным.

Ага. И эти данные передаются в ответ по открытому каналу? Нет, конечно, если это данные исключительно клиента, клиент знает, что канал передачи данных открыт, осознает это, понимает возможные последствия и согласен с разглашением, то пожалуйста.
В данном случае сотрудник банка не предупредил меня, что мы разговариваем по открытому каналу и прямо предложил назвать полный номер карты по открытому каналу. Не забываем о том, что исходить следует из того, что сотрудники банка - профессионалы, разбирающиеся в степени защищенности разных каналов связи, а клиенты - обычные обыватели, которые могут не понимать, что делают.

Или банк отвечает на вопросы неизвестно кому - т.е. любому, кто представится Вами. Можете предложить третью альтернативу?

Я её описал выше. Еще раз: в моём случае не требовалось ни аутентифицировать меня, ни авторизовать, ни передавать мне какую-то закрытую информацию. Для идентификации меня вполне достаточно было бы сочетания ФИО и последних цифр номера карты.

Если Вам не подходит такое положение дел - не пользуйтесь этим каналом. Всё просто.

Я бы рад. Однако, к сожалению, банк не пользуется защищенным каналом (переписка в интернет-банкинге). По крайней мере, я по этому каналу связи своевременного ответа от банка не получил.

Потому что два других возможных решения, которые можно реализовать на стороне банка - это верить на слово или вообще не оказывать поддержки по открытым каналам. Лично меня ни один из них не устраивает.

Можно оказывать поддержку по открытым каналам, если клиент с этим согласен. И, поскольку по умолчанию клиент - лох, то его обязательно надо предупреждать, что канал связи открытый и требовать его согласия на разглашение его приватных данных по этому каналу связи.

А зачем звонить на БПЦ?

Переверните карту. Читайте верхнюю строку до просветления.

Почитал. Всё равно не понимаю, зачем мне туда звонить? Если я потеряю карту и её надо будет заблокировать, то я буду звонить в свой банк. Если срочно опротестовать транзакцию или еще что - никаких звонков, только писать. Что еще?

Cardhunter:

ФИО и дата рождения????...а если они совпадают?...это ВПОЛНЕ реально...равно как и 4 первых и последние цифры номера карты тоже могут совпадать...при эмиссии больше 1000 тысяч карт это абсолютно реально...

По ФИО и дате рождения, ИМХО, вообще ничего нельзя идентифицировать...

Дату рождения предлагал не я. Вы считаете, что легко может быть совпадения одновременно:
1. ФИО
2. Последние 4 цифры номера карты
И два 2 человека с одинаковыми ФИО и последними цифрами номера карты, примерно в одно время делали одну и ту же операцию и у них возникли проблемы по разным причинам? Вот уж не верю я в такое совпадение! Хотя, чтобы их исключить, разве проблема сделать проверку и не выдавать карты с одинаковыми последними цифрами разным людям с одинаковыми ФИО?

Cardhunter:

Уточнять у вас прослушивается ли ваш телефон? Т.е. вы знаете, что прослушиваете и звоните для получения потенциально конфиденциальной информации?

Клиент может об этом банально забыть. Или не знать. А если его спросить, уверен ли он, что его телефон не прослушивается, предупредить, что в беларуских условиях очень легко может прослушиваться, то клиент задумается и опомнится, воспользуется более защищенными средствами связи.

Банк здесь при чем?

Клиент - не специалист по вопросам защиты информации. Хороший банк заботится о своих клиентах.

То что вы по корпоративному телефону в рабочее время звоните по личным вопросам должно волновать вашего работодателя, равно как и наличие либо отсутствие прослушки таких телефонных переговоров...а не банк...

Работодатель - это законная прослушка. Также может быть, например, звонок по мобильному телефону. Вы уверены, что клиент во время разговора смотрит на экран своего мобильника, не загорается ли там открытый замочек? И, как я уже упоминал, есть всякие беспроводные телефоны, которые в открытом виде всё в эфир гонят. Тоже всё законно.
А еще прослушка может быть и незаконной. Об этом забывать нельзя. Телефон в беларуских условиях - открытый, незащищенный канал связи, это аксиома.

по остальным пунктам - не убедили вы меня в том что нам необходимор усиливать конфиденциальность переговоров с операторами КонтактЦентра...избыточное усиление безопасности еще никогда никого не доводило до добра...

Разгильдяйское отношение к безопасности - тоже. Рисую вполне легко реализуемый сценарий: некто Хакир, слушая мой разговор с банком, записывает номер моей карты. Потом он перезванивает мне, представляется специалистом банка, просит назвать expiry date и CVC код. Клиент - лох, он ждет информации от банка, ничего не подозревая, называет запрошенные данные. И через 15 минут остаётся без денег. Дальше продолжать, что ответит банк на претензии клиента? Правильно, что "транзакции, совершенные с CVC кодом обжалованию не подлежат, клиент - ССЗБ, а банк - белый и пушистый".

И, хоть убей, не вижу никакого смысла банку запрашивать полный номер карты. Сочетания последних цифр номера и ФИО должно быть более чем достаточно для идентификации клиента. Всё, овцы сыты, волки целы. И клиент идентифицирован, и номер карты не скомпрометирован.

Да, кстати, было бы полезно онлайн-консультанта сделать своего, по https, внутри интернет-банкинга. Тут клиент уже аутентифицирован и авторизован.

DVK, ваши предложения конечно имеют право на жизнь, но актуальность их в белорусских условиях сомнительна...по сему прекращаю со своей стороны дискуссию...по конкретно вашему случаю мы послушаем оператора..

Cardhunter:

ФИО и дата рождения????...а если они совпадают?...это ВПОЛНЕ реально...равно как и 4 первых и последние цифры номера карты тоже могут совпадать...при эмиссии больше 1000 тысяч карт это абсолютно реально...

В приоре для идентификации по телефону просят ФИО, кодовое слово, и первые 6 цифр карты (или последние точно не помню).

DVK:

В моём случае тоже не требовалось никакой приватной или финансовой информации.

DVK:

Какие детали? О какой транзакции? Вы бредите?

Объясняю медленно, для не очень сообразительных.
О глобальном сбое (ЕСЛИ он даже был, чему я пока никаких подтверждений не вижу) оператор уведомлен не был. Таким образом, ему нужно было проверить вполне конкретную транзакцию - Вашу. И, естественно, сообщить результат. Кому - некоему телефонному анониму, так, по-вашему?

DVK:

andkh:

Вы всегда тщательно подбираете за собой чеки? Хотя бы клиентский экземпляр?

Да.

Замечательно. А экземпляр кассира?

DVK:

сотрудник банка не предупредил меня, что мы разговариваем по открытому каналу

DVK:

клиент - лох, то его обязательно надо предупреждать, что канал связи открытый

DVK:

А если его спросить, уверен ли он, что его телефон не прослушивается, предупредить, что в беларуских условиях очень легко может прослушиваться

Угу. А беседу с онлайн-консультантом нужно начинать с предупреждения, что клиенту через плечо может заглядывать посторонний. И что на компьютере клиента могут жить трояны или быть установлены кейлоггеры (тоже, кстати, вполне законно, если комп служебный).
Я, знаете ли, тоже параноик (в хорошем, бытовом смысле). Но в откровенный маразм не впадайте! Оператор не может знать о степени (не)защищённости канала на стороне клиента.

DVK:

Вы уверены, что клиент во время разговора смотрит на экран своего мобильника, не загорается ли там открытый замочек?

А Вы думаете, оператор смотрит на экран Вашего мобильника? Или предлагаете первые несколько часов беседы/переписки с суппортом в обязательном порядке посвящать консультации о безопасности с перечислением возможных угроз?

DVK:

Если я потеряю карту и её надо будет заблокировать, то я буду звонить в свой банк.

А ночью? А в выходной?
Кстати, звонить будете как - по той же телефонной линии и не называя ничего, кроме ФИО и 4 цифр? И требовать провести (раз)блокировку на основе этой информации - её ведь достаточно?

DVK:

Что еще?

Детали транзакции - например, пришедший с ней код. Не во всех банках это есть в выписке.
Причины отклонения транзакции...
В общем, любые вопросы, связанные с процессингом, продуктивнее выяснять в первую очередь в процессинговом центре. Особенно если он не принадлежит банку-эмитенту.

DVK:

Сочетания последних цифр номера и ФИО должно быть более чем достаточно для идентификации клиента.

Повторяю, последние цифры - более открытая информация, чем полный номер. То есть Вы хотите ПОНИЗИТЬ уровень доступа к конфиденциальной финансовой информации.
 

DVK:

Да, кстати, было бы полезно онлайн-консультанта сделать своего, по https

А вот здеь, как говорится, люто плюсую! И удивлён, что так не сделано изначально.

Допсоглашение по переводу карт-счетов в текущие обязательно подписывать в том отделении, где открывались карты? Или можно в любом?
А что будет, если до конца года я этого не сделаю?
 
Cardhunter, отправил в личку пару вопросов по универсалкам.

Вчера оформлял ВШ, подписал договор карт-счета.
Так что-ли мне тоже предстоит пройти через

andkh:

Допсоглашение по переводу карт-счетов в текущие

Если так - то бред...

Andrey Nitro:

На самом деле хочу сказать, что на картах которыми рассчитываешься в магазинах, интернете итд не стоит хранить какие-либо значительные суммы а хранить их на счетах к которым вообще никаких карт нету

Надо подумать над таким вариантом. У белинвестбанка есть такая возможность? Пока сумма хранится на ВШ, а для расходных операций необходимые суммы переводятся на электрон.

а для покупок перечислять необходимые суммы на казуальные карты и пользоваться ими а не поливать помоями банк если так боишься за сохранность своих средств ИМХО

Вот как раз проблема возникла именно при попытке перечисления необходимой суммы с "приходно-накопительной" ВШ на расходные электрон. Надо посмотреть, есть ли у БИБа вариант приходно-накопительного счета типа ВШ, только чтобы без карты. И чтобы проценты начислялись и переводы на расходные картсчета производились моментально и бесплатно.
Или такие варианты только у других банков?

Sad Joker, Этот баг не раз обсуждался на форуме. К сожалению, пока нет возможности выводить остаток после проводки операции. Поэтому поле остаток отражает сумму на момент блокировки транзакции.

bimber:

Могу предложить Вам услугу смс-оповещение, чтобы всегда быть уверенным, что Вашей картой никто не пользуется!!!

что то я не заметил вас в списке работников банка в шапке темы и СМС оповещение не дает никакой уверенности что моей картой никто не пользуется, не надо так утверждать. Ведь телефон может быть разряжен, отключен, да и банк не всегда СМС посылает, иногда посылает то, чего не было, а иногда не посылает то, чего было. Плюс когда вам придет СМС о транзакции, которой вы не совершали - пить боржоми будет уже поздно. Или я не прав?