Vähän huijattu olo

Minä ryhdyin viime viikolla Nordean asiakkaaksi. Tai oikeastaan minulla on ollut tili Nordeassa jo pitkään, mutta en ole sitten Suomen Yhdyspankin aikojen juurikaan käyttänyt sitä. Nyt ajattelin aktivoitua, minkä johdosta tilasin Nordeasta tunnukset verkkopankkia varten, ja latasin puhelimeen Nordea ID -sovelluksen, jota tunnistautumisessa myös tarvitaan.

Verkkopankkitoiminnot olikin helppo ottaa käyttöön, ja samalla havaitsin, että olen herraties kuinka kauan maksanut käyttötilistäni - jota en siis ole käyttänyt - kuukausimaksua, viimeisimmäksi 2,60 €/kk. Päästäkseni maksusta eroon lähestyin verkkopankin viestipalvelun kautta Nordean asiakastukea, ja jäin sitten odottamaan vastausta, jonka saaminen nähtävästi ottaisi päivän tai pari.

Perjantai-iltapäivän kiireisinä tunteina minulle tuli puhelu numerosta +358 200 3000. Vähän oudon näköinen numero, mutta suomalainen kuitenkin, joten vastasin puheluun. Kyseessä oli Nordean asiakaspalvelija, joka soitti viestipalveluun jättämäni kysymyksen johdosta. No, käyhän asian hoito näinkin, vaikka ensisijaisesti odotinkin vastausviestiä, jonka voisin sitten käydä verkkopankissa lukemassa.

Puhelun aluksi kävimme läpi tavanomaiset löpinät puhelun tallentamisesta, minkä jälkeen edessä oli asiakkaan tunnistaminen. Oma pankkikäyttäytymiseni on melko konservatiivista, joten ajattelin sen tarkoittavan muutamaa tarkentavaa kysymystä, joihin vastaamalla todistan olevani kuka olen. Mutta eihän homma nykyään mene näin. Kysymyssarjan sijaan minun täytyisi tunnistautua Nordea ID -sovellusta käyttäen.

Tässä vaiheessa säpsähdin hieman. Siis hetkinen, joku minulle ennestään tuntematon ihminen soittaa, kertoo olevansa pankista, ja pyytää minua syöttämään Nordea ID -sovellukseen PIN-koodin, jolla kirjaudutaan pankin palveluihin... Jotenkin näin huijauksetkin kai etenevät. Toki huijatuksi tuleminen edellyttää, että käyttäjätunnus on ensin pääsyt vuotamaan jonnekin, mutta jos niin olisi käynyt, tuskinpa sitä itse tietäisi.

Minulla ei varsinaisesti ollut syytä epäillä soittajan aikeita, olihan hän tietoinen pankin viestipalveluun jättämästäni viestistä ja sen sisällöstä. Mutta riittääkö se aukottomasti todistamaan, että soittaja todella työskentelee pankin lukuun? Ehkä riittää tai sitten ei, riippuen siitä, miten pitkälle asiaa ajattelee.

No, puhelinnumero ainakin varmistui Nordean numeroksi, vaikka siihenkään ei kai aina voi luottaa. Jälkikäteen silti kauhistelin prosessin luonnetta ja sitä, miten koko homma eteni.

En odottanut puhelua pankista, ja koko tunnistautumiskäytäntö oli minulle vieras, koska en ollut aiemmin joutunut tunnistautumaan digitaalisesti sen johdosta, että minuun päin on otettu yhteyttä. Toiseen suuntaanhan sitä tapahtuu jatkuvasti, mutta silloin tietää itse, mitä on tekemässä ja miksi.

Lisäksi Nordea ID -sovellus oli minulle uusi, enkä ollut ehtinyt tutustua siihen kunnolla. En siten tiennyt, millaisia kehotteita sovelluksen näytölle oli tällaisessa tilanteessa tarkoitus ilmestyä. "Tunnistautuminen" ainakin, mutta sama tieto näkyy sovelluksessa myös esimerkiksi tiliä avattaessa. Pitäisikö olla jotain muutakin?

Kun Nordea-verkkopankkiin kirjautuu tietokonetta käyttäen, näytölle tulee nelimerkkinen kirjautumistunniste, jonka täytyy täsmätä Nordea ID -sovelluksessa näkyvän tunnisteen kanssa. Lisäksi sovellukseen ilmestyy varoitus: "Varo huijauksia! Älä kirjaudu pankkitunnuksillasi sivustoille viestillä saamiesi linkkien kautta tai jonkun muun pyynnöstä. Jos epäilet huijausta, älä vahvista kirjautumista. Ota yhteyttä asiakaspalveluumme, niin autamme sinua."

Jos pankista soitetaan, mitään kirjautumistunnistetta ei kuitenkaan ole, tai ainakaan sitä ei synny automaattisesti. Tunnistautuminen täytyy siten nimenomaan tehdä jonkun muun pyynnöstä ja luottaen siihen, mitä tämä ihminen sanoo.

Vasta myöhemmin huomasin, että Nordea ID -sovelluksessa on "Varmista puhelu"-toiminto, jota käyttäen voi varmistua, että puhelu todella on peräisin pankista. Samanlainen mekanismi lienee käytössä muidenkin pankkien ohjelmistoissa.

Oma virheeni oli, etten ollut perehtynyt Nordea ID -sovellukseen riittävän hyvin, mutta pankin virkailijakin olisi toisaalta voinut edellyttää varmistustoiminnon käyttöä. Yleisesti ottaen olisi myös hyvä, jos Nordea ID -sovelluksesta jotenkin näkisi, mitä tarkoitusta varten viimeisimmät tunnistautumiset on tehty.

Muutenhan keskustelu eteni mukavasti, ja sen myötä minua askarruttanut asia selvisi. Myöhemmin minulle kuitenkin tuli vähän huijattu olo, kun aloin pohtia, millaiset skenaariot voisivat oikeasti johtaa siihen, että ihminen joutuu petoksen uhriksi.

Minkähän vuoksi asiakkaisiin tällaisissa tilanteissa edes otetaan puhelimitse yhteyttä? Verkkopankin kautta esittämääni kysymykseen olisi aivan hyvin voitu vastata viestipalvelussa ilman että se olisi heikentänyt palvelukokemustani millään tavalla.

Ja koska kysymykseni liittyi hyvin yleiseen asiaan - kyse oli lähinnä pankin omilta verkkosivuilta epäselväksi jääneeseen juttuun - mitä merkitystä omalla tunnistautumisellani edes oli? Asiakaspalvelija olisi voinut kertoa samat julkiset asiat kenelle tahansa, missä tahansa.

Viestipalvelu-kontekstin vuoksi riskit olivat tässä tapauksessa pienet, mutta lienee parempi jatkossa päättää tällaiset puhelut heti alkuunsa "Älä soita mulle tähän numeroon!" -repliikkiä käyttäen. Voi tosin olla, että sitten vaimo alkaa kysellä asiasta.