Niebezpiecznik

Są 2 metody które praktycznie w 100% przed tym ochronią, czemu nadal banki, albo nie wprowadzą klucz U2F, a jeśli to za drogie rozwiązanie to mBank teraz wprowadził świetne rozwiązanie, w przypadku gdy posiadamy fizyczną kartę płatniczą i korzystamy z autoryzacji aplikacją mobilną to mogą w niektórych wypadkach wymagać przyłożenia karty do telefonu (obecnie działa tylko na smartfonach z androidem i wymaga NFC).

Jak dla mnie to jest super pomysł i każdy bank powinien to wprowadzić, kartę płatniczą ma na pewno większość klientów, przyłożenie jej do telefonu to żaden problem, a phising już tutaj jest mocno ograniczony, bo nawet jeśli oszust będzie znał dane logowania to nie ma karty płatniczej.
mBank będzie wymagał przyłożenia karty tylko w przypadku podejrzenia, że to nie my korzystamy z konta, ale jak dla mnie byłoby super móc ustawić, że każde logowania wymaga przyłożenia karty płatniczej.

Wiadomo, że U2F lepszy, ale mało kto go posiada, a kartę płatniczą to myślę, że większość osób ma zwłaszcza osoby starsze / mniej techniczne tym bardziej kartę płatnicza na pewno mają i nie korzystają z kart wirtualnych.

Jeszcze inna opcja to wymagać tego, żeby albo smartfon dogadał się z PC przez bluetooth albo wymagać tego żeby zarówno smartfon jak i PC był w tej samej sieci. Podobnie do tego jak działa ochrona zaawansowana google gdzie albo używamy U2F / albo zatwierdzamy logowanie smartfonem i przez bluettoth muszą się urządzenia dogadać albo jak korzysta się z kodu generowanego przez smarton /PC żeby zalogować inne urządzenia to urządzenia muszą być w tej samej sieci.

Jest dużo możliwości żeby wyeliminować znacząco skutki phisingu. A na ten moment dalej żaden bank nic sensownego nie wprowadził.

Bo mBank wymaga tego tylko jak uzna, że to nie my korzystamy z aplikacji, więc nie daje to 100% ochrony, a ING niby klucze U2F wprowadziło, ale po pierwsze aplikacji nie da się dodać do zaufanych a po drugie b. często nie wymagają żadnej autoryzacji przelewu, więc jak np zostawimy zalogowaną sesję w banku to domownik może w ciągu 5 min wysłać przelew bez potwierdzenia czegokolwiek :(

Kurczę

U mnie ten numer z bankiem znowu nie przejdzie, bo do strony logowania banku sobie zrobiłem osobną zakładkę w przeglądarce.
Lewa strona banku z resztą, nawet, jakby się jakimś cudem otworzyła, to sobie w Noscripcie sama nie pozwoli sama na wykonanie kodu JS, bez którego żaden nowoczesny formularz logowania nie przejdzie, natomiast formularz nie używający JS poznam na pierwszy rzut oka.

Noscript genialnie wykonuje identyfikację na strony zaufane (którym się tworzy wyjątki dla JS) i nieznane, jak się go sensownie skonfiguruje.
xD

Pozdro

Domena utworzona 3.06
Ciekaw jestem dlaczego akurat wybrali wyróżnik .com