Niebezpiecznik

Wystarczyło zadzwonić na infolinię PKO BP i w rozmowie z “inteligentnym botem” poprosić o zastrzeżenie dokumentu tożsamości. Bot prosił o podanie imienia i nazwiska oraz PESEL-u a potem upewniał się, czy faktycznie chcemy zastrzec numer dokumentu tożsamości, jaki podaliśmy bankowi — dyktując numer i typ dokumentu. Ta luka została już poprawiona po naszym zgłoszeniu do banku.

Karol, co z botem rozmawiał

O tym ciekawym sposobie pozyskania dokumentu tożsamości dowolnego klienta PKO BP poprzez rozmowę z “inteligentnym botem” poinformował nas w poniedziałek Czytelnik Karol (imię zmienione). Tego samego dnia przetestowaliśmy tę “ścieżkę” — posłuchajcie jak to wyglądało:

Jeszcze w poniedziałek wieczorem napisaliśmy do Banku w tej sprawie. Prywatnie skontaktowaliśmy się z jedną z osób odpowiedzialną za bezpieczeństwo, a także oficjalną scieżką daliśmy znać o błędzie i wysyłaliśmy następujące pytania:

1) Od kiedy bot obsługuje proces zastrzegania dokumentu tożsamości i umożliwia pozyskanie informacji na temat numeru dowodu klienta banku? Czy taki sposób obsługi przez bota jaki wskazaliśmy był zamierzony?

2) Czy przed wdrożeniem bota, procedura zastrzeżenia dokumentu na infolinii również pozwalała na pozyskanie numeru dokumentu tożsamości klienta na podstawie jego PESEL-u oraz imienia i nazwiska?

3) Czy bank może określić, ile osób do tej pory skorzystało ze ścieżki “zastrzeżenia dokumentu tożsamości” przy użyciu bota oraz ile z tych przypadków mogło być nieuprawnionym pozyskaniem danych? Np. ktoś dzwonił z innego numeru telefonu niż ten, który klient podał w banku, a mimo to otrzymał poprawną odpowiedź od bota po podaniu peselu oraz imienia i nazwiska klienta?

Dziura została usunięta ok. południa we wtorek, co jest całkiem niezłym czasem reakcji. Na nasze pytania po ok. 20 godzinach otrzymaliśmy następującą odpowiedź:

Klient może zablokować dokument tożsamości na naszej infolinii zarówno podczas rozmowy z konsultantem, jak i podczas obsługi przez bota. Zastrzeganie dokumentów drogą telefoniczną z wykorzystaniem bota jest dostępne dla klientów od prawie 3 lat. Do prawidłowego przejścia przez proces zablokowania dokumentu niezbędna jest identyfikacja i weryfikacja klienta, jednak o szczegółach procesu nie informujemy. Obecnie został on zmieniony – klienci otrzymują informację o ostatnich 3 cyfrach zastrzeganego numeru dokumentu tożsamości. Nie odnotowaliśmy reklamacji związanych z procesem blokady dokumentów.

Jak widzicie, PKO BP niestety odpowiedziało tylko na jedno z naszych pytań, ale rozumiemy, że bank niechętnie chce informować o swoich procedurach bezpieczeństwa. Pozostaje więc mieć nadzieję, że ta dziura nie była jednak wykorzystywana od 3 lat, bo niestety, do momentu publikacji artykułu Bank nie wysłał żadnej komunikacji do osób, w stosunku do których ta ścieżka na infolinii była wykorzystywana do pozyskania ich numeru dowodu. Nie pytajcie, skąd wiemy.

Średnio inteligentne boty?

Ten atak to nie “prompt injection”. To skorzystanie ze standardowej ścieżki, która niestety była błędnie zaprojektowana. Błędy były dwa:

• Niedostateczna weryfikacja klienta. Bank weryfikował klienta tylko (!) po imieniu, nazwisku i PESEL-u, który w przypadku wielu osób jest dostępny w publicznych rejestrach. Nie wymagano potwierdzenia tożsamości prze aplikację ani uwierzytelnienia się jakimkolwiek innym “sekretem” znanym bankowi. Co więcej, Bank nie sprawdzał czy numer z którego ktoś kontaktuje się z infolinią w kontekście danego klienta jest faktycznie numerem klienta.
• Nadmierne ujawnienie informacji. Bank cytował cały numer dokumentu, choć nie było to potrzebne do jego zastrzeżenia. O numer można było poprosić zarówno samego klienta albo w celu potwierdzenia, odczytać np. pierwsze dwa znaki.

Przejrzyjcie swoje procedury i systemy obsługi klienta i wyciągnijcie z tego wnioski.

Raj dla OSINT-owców

W Polsce wciąż można spotkać wiele firm, które poprzez swoje systemy (telefoniczne lub webowe) udostępniają w ramach podobnych do opisanej powyżej procedur, szczątkowe informacje o swoich klientach. I tak, z jednego systemu można po podaniu e-maila klienta podejrzeć trzy ostatnie cyfry jego numeru telefonu, a w innym systemie, po podaniu tego samego e-maila trzy pierwsze cyfry numeru. Pozostaje więc już tylko 1000 kombinacji do sprawdzenia i numer telefonu mamy ustalony ;) Następnie tym numerem telefonu i imieniem i nazwiskiem w innym systemie pozyskamy końcówkę PESEL-u. A z Facebooka tej osoby weźmiemy sobie jego początek. I tak dalej.

Jeśli jesteście zainteresowani jak pozyskiwać informacje na temat osób i firm z internetu (z publicznych i nie tak do końca publicznych, ale wciąż dostępnych dla każdego źródeł), to zapraszamy na nasze szkolenie z OSINT-u. Prezentujemy na nim setki (!) narzędzi i technik, które przydadzą się zarówno w życiu prywatnym jak i służbowym. Nie tylko do weryfikacji kontrahentów, czy różnych analiz wspomagających kluczowe decyzje. Szkolenie mamy w dwóch wariantach — przyśpieszonym jednodniowym i pełniejszym dwudniowym z ćwiczeniami praktycznymi. Poniżej najbliższe terminy:

Jednodniowe szkolenie z OSINT:

Dwudniowe szkolenie z OSINT