ЦБ выпустил рекомендации для банков по верификации электронной почты клиентов, чтобы не допускать утечки их данных

12 февраля 2020 года Центральный банк России выслал банкам и некредитным финансовым организациям информационное письмо, в котором содержались рекомендации по способам проверки принадлежности клиенту адреса электронной почты.

«Подобные проверки позволят противодействовать схемам, в которых мошенники используют перехваченные или некорректные адреса электронной почты реальных клиентов, например, для подделки платежных поручений или кражи важной информации. Также это предотвратит случайное получение посторонними людьми конфиденциальной информации клиентов банков. Исполнение данных рекомендаций позволит кредитным организациям повысить безопасность персональных данных клиентов и сохранность их денежных средств», — поясняют в ЦБ.

ЦБ предлагает проверять электронную почту клиентов по такому алгоритму:

перед первой отправкой сообщений по электронной почте банк должен проверять, действительно ли хранящийся в его базе данных адрес электронной почты принадлежит клиенту, которому нужно отправить письмо, а также убедиться, что он не дублируется с адресами других клиентов. В случае выявления совпадения адресов электронной почты должна фиксироваться информация, что сообщенный данным клиентом адрес электронной почты не подтверждается и клиент уведомляется об этом событии по телефону или лично;
также необходимо проверить номер мобильного телефона клиента и убедиться, что он не дублируется с номерами мобильных телефонов других клиентов;
затем банк должен отправить клиенту на электронную почту уникальную ссылку для ее верификации (причем ссылка для верификации адреса электронной почты должна иметь уникальную последовательность символов для защиты от перебора и угадывания) и графический код, а на номер мобильного телефона клиента — СМС-сообщение с паролем, после ввода которого им будет возможно далее перейти по ссылке в письме, полученном по электронной почте;
электронная почта клиента является подтвержденной только в случае успешного перехода клиента по ссылке для верификации и ввода на сайте банка правильного кода из СМС, направленного на мобильный телефон клиента, а также ввода корректного графического ключа, направленного на указанную электронную почту клиента;
банк должен удалять из своей базы неподтвержденные адреса электронной почты клиентов по истечении срока действия ссылки для верификации или превышения попыток ввода кода из СМС и графического ключа.

Ранее ЦБ фиксировал факты, в том числе по обращениям граждан, когда информация, содержащая банковскую тайну, например, состояние счета, информация о платежах и кредитной задолженности, направлялась банками на электронные адреса злоумышленников, а не реальных клиентов. Согласно информационному письму, ЦБ не устанавливает периодичности контрольных мероприятий по верификации мобильных номеров и электронной почты клиентов. Однако в регуляторе надеятся, что введение новых механизмов проверки позволит обезопасить данные клиентов.

«Эти рекомендации ЦБ связаны не только с конкретным видом мошенничества, а призваны осветить и систематизировать все виды потенциальных угроз для клиентов и банков», — рассказал в интервью изданию «Ведомости» директор департамента информационной безопасности Московского кредитного банка Вячеслав Касимов.

Habr

Опять шумят. Чего шумят? Ведь абсолютно же технический вопрос.

lesss писал(а):

Опять шумят. Чего шумят? Ведь абсолютно же технический вопрос.

100 пудов. Опять до конца не читают. Сразу строчат после заголовка

Цитата:

Ранее ЦБ фиксировал факты, в том числе по обращениям граждан, когда информация, содержащая банковскую тайну, например, состояние счета, информация о платежах и кредитной задолженности, направлялась банками на электронные адреса злоумышленников, а не реальных клиентов. Согласно информационному письму, ЦБ не устанавливает периодичности контрольных мероприятий по верификации мобильных номеров и электронной почты клиентов. Однако в регуляторе надеятся, что введение новых механизмов проверки позволит обезопасить данные клиентов.

paramedik1 писал(а):

perdosya
Если вы так боитесь, то снимайте деньги сразу после поступления денег на счет и тогда кошмарные видения вас оставят.
Ишь ты. подтверждение номера и почты им не нравится. Я тут на ebay карту подтверждал. Причем только данный номер подтверждался уже третий раз за счет окончания действия с последующим перевыпуском. Так они это дело рассматривали два месяца. Месяца! А раньше двое суток максимум. Стрясли все что можно вплоть до номера ИНН. Да и фиг с ними, даже если они эти данные сливают, я к ним не собираюсь.

Забыли только упомянуть о том, что делали это в "ру" сегменте.

"―Товарищи призывники!
Наш священный долг - защищать Родину, и соблюдать правила личной гигиены.
Иначе все у нас пойдет через жопу."

вот зачем ЦБ пишет правила...

Слышь, граждане, вам не надоело постоянно стоять в позе - "а баба яга против"?
Абсолютно технический вопрос - всего лишь процедура подтверждения почты. Да на обычных сайтах бывает и хлеще. Что вы так заходитесь то? Потому что рекомендации ЦБ РФ?

vlad_evp
Уважаемый, а для чего это новость создана?
Ну т.е ваши-то мысли по поводу новости где? Что вы думаете? К чему это?

Да, во многом perdosya
прав, но тут в конкретно этой новости, на сколько я могу понимать, речь идет о верификации электронной почты. Если клиент захотел завести почту и дать ее банку, то почту проверят, правда ли это он владелец почты, или привязал кто-то посторонний к его аккаунты свою почту. Разве не так?

И напомоминаю, что вам не могут отказывать в получении зарплаты наличными деньгами в вашей бухгалтерии на работе вообще без банков, также, вам не могут навязывать карту какого-то конеретного банка.

Добавлено спустя 1 минуту 43 секунды:

lesss
Нет мыслей самого того, кто скопировал и вставил сюда статью, может мы что-то невидим конеретно коварное.
Если кто-то видит в этой новости что-то, хотелось бы понять что именно.

mihailsi писал(а):

на сколько я могу понимать, речь идет о верификации электронной почты. Если клиент захотел завести почту и дать ее банку, то почту проверят, правда ли это он владелец почты, или привязал кто-то посторонний к его аккаунты свою почту. Разве не так?

Именно так

mihailsi писал(а):

может мы что-то невидим конеретно коварное.

Ничего там коварного нет, чисто технический момент. По идее конечного пользователя это вообще не должно интересовать.

mihailsi писал(а):

Нет мыслей самого того, кто скопировал и вставил сюда статью, может мы что-то невидим конеретно коварное.
Если кто-то видит в этой новости что-то, хотелось бы понять что именно.

Если нельзя, но очень хочется - то можно. (с)
Так что коварное - найдут обязательно, я даже не сомневаюсь.)))

коллективная баба Яга как всегда против

dansheri писал(а):

Забыли только упомянуть о том, что делали это в "ру" сегменте.

И что? Он поимел проблем на ебэе с ру, его оппонент поимел проблем зеркально - зайдя с впн. Вывод - у всех одно и то же.

paramedik1 писал(а):

>> про пайпал <<
Стрясли все что можно вплоть до номера ИНН. Да и фиг с ними, даже если они эти данные сливают, я к ним не собираюсь.

ну сливают же они нашим силовикам, оттуда и требования эти пошли несколько лет назад. потому, в данном случае, их не будет интересовать куда вы собираетесь, покуда вы - неуловимый джо. а как только сделаете что-нибудь, например, денег переведете навальному, то сразу все о вас и узнают. всякие конституционные права, вроде тайны переписки или банковской тайны, никого не будут интересовать. Цензура

fgfds писал(а):

ну сливают же они нашим силовикам, оттуда и требования эти пошли несколько лет назад.

Кто, Пейпал сливает ФСБ? )))))))

Kedmi писал(а):

А почему бы и нет? Может это их контора,под прикрытием.

Минимум, иногда мне кажется, что количество мозгов может уменьшаться меньше нуля. Американский платёжный сервис сливает информацию ФСБ. Бэнк оф Нью-Йорк и Дойче Банк наверное тоже )