Tallinas tehnoloģiju universitātē veiktais latviešu studenta Arņa Paršova pētījums liecina, ka gandrīz visos gadījumos klientu atpazīšana caur internetbankām ir nedroša un dažos gadījumos pietiktu pat tikai ar sveša cilvēku vārdu un personas kodu, lai jebkurš piekļūtu tikai konkrētam lietotājam domātajai informācijai, vēstīja raidījums Nekā personīga.
Tas norāda, ka pētījumā minētās nepilnības nekādā veidā neattiecas uz pašu internetbanku drošību. To uzrauga Finanšu un kapitāla tirgus komisija un komisija apliecināja, ka visas operācijas, kas saistītas ar klientu naudas pārskaitījumiem, ir drošas.
Pēdējos gados Latvijā daudzi portāli ļauj lietot elektroniskos pakalpojumus, klientus atpazīstot ar internetbanku palīdzību. Tas notiek tā. Pie datora piesēžas, pieņemsim, Jānis Bērziņš, atver portālu, lai, piemēram, samaksātu par fotoradara pārkāpumu. Portāls pierasa, lai lietotājs apliecina, ka pa tiešām ir Jānis Bērziņš. Ja Bērziņam ir elektroniskā paraksta vai jaunizdotā ID karte, viņš to var izdarīt uzreiz. Bet lielākajai daļai šādu karšu nav. Tāpēc turpat visi elektronisko pakalpojumu piedāvātāji klientu atpazīšanā sadarbojas ar bankām. Bērziņš bankai apstiprina savu personības īstumu, un bankas nosūta portālam apstiprinājumu, ka tas tiešām ir Bērziņš, un viņš var sākt izmantot portāla pakalpojumus.
Tallinas tehnoloģiju universitātē studējošais IT drošības speciālists Arnis Paršovs atklājis, ka šī sistēma ir nedroša: «Problēma rodas tajā apstāklī, ka dzīvē netiek pārbaudīts tas, kuram portālam šie te dati ir paredzēti, vai šie dati jau nav tikuši izmantoti un cik veci ir šie dati. Šeit paveras iespēja kādam negodprātīgam portāla administratoram saņemt tos datus, cita cilvēka datus, lai tālāk autentificētos šajos citos portālos ar šo cita cilvēka identitāti.»
Ja situāciju salīdzinot ar pases uzrādīšanu, tad bankas kā apliecinājumu izsniedz pasi bez fotogrāfijas, vai bez pases derīguma termiņa, vai pavisam bez kādas plašākas informācijas par klientu un portāli notic, ka nepilnīgais dokuments apliecina Jāņa Bērziņa īstumu.
Datorspeciālists eksperimentāli pārliecinājies, ka visiem gandrīz 20 analizētajiem portāliem ir drošības problēmas, kas saistītas ar autentificēšanos caur internetbankām.
A. Paršovs skaidro: «Tika pārbaudīti 17 Latvijas portāli un visos portālos tika atrastas kļūdas. Šādas vai citādākas drošības kļūdas. Ja lielu daļu kļūdu var novērst paši portāli, tad šo divu banku gadījumā - Citadele un Swedbank - šīs kļūdas sākumā ir jānovērš bankām.»
Par atklājumiem jūnijā A. Paršovs ziņojis Latvijas nacionālajai IT drošības incidentu novēršanas institūcijai – CERT. Iestāde uz karstām pēdām pārbaudījusi, ka Arņa atklājumi patiešām ir patiesi un nopietni.
CERT pārstāvji secinājuši, ka problēmas rada nepilnīgā informācijas apmaiņa starp bankām un interneta portāliem. Latvijā nav noteikts, kādas ziņas bankai jāiekļauj elektroniskajā dokumentā, kas apliecina klienta īstumu. Savukārt portāli uzticas bankām un no savas puses nepārbauda, vai saņemtās ziņas ir drošas.
CERT jūnijā informāciju nodevis banku uzraugam FKTK. Komisijas vadība apliecina – bankām par viņu nepilnībām ir paziņots un nu jāgaida, kad tās savas sistēmas sakārtos.
Ivars Svilāns, Swedbank pārstāvis, Nekā personīga sacījis: «Protams, ka šīs lietas mēs esam skatījuši un arī šī konkrētā studenta pētījuma dati ir jau pirms kāda laika analizēti un, ja arī bija kādas lietas uzlabojamas, tad dzīvē šīs nianses jau ir pielabotas. Tā ir tāda ļoti tehnoloģiska diskusija, un šie riski, ko mēs redzam, ir vairāk teorētiski un dzīvē viņi ir praktiski nerealizējami.»
Gan bankas, gan kibernoziedznieku ķērāji CERT uzskata, ka lielākā atbildība ir internetportālu pusē. Tie nepārbauda, vai ziņas par klientiem ir drošas.
A. Paršovs skaidrojis: «Lielākā problēma, kas pētījumā tika atklāta, ka piecos lielos un samērā populāros portālos ir pilnībā iespējams apiet šo te banku autentifikāciju un autentificēties kā jebkurai iedzīvotāju reģistrā esošai personai. Šeit ir runa par virtuālo e-parakstu, Lattelecom, Latvijas Universitātes informācijas sistēmu, Lursoft un portālu manabalss.lv.»
Latvijas valsts radio un televīzijas centrs, kas nodrošina virtuālā elektroniskā paraksta pakalpojumu, atzinis, ka problēma ir bijusi un šobrīd tā salabota.